hacktricks/binary-exploitation/array-indexing.md

Indeksowanie tablic

Nauka hakowania AWS od zera do bohatera z htARTE (HackTricks AWS Red Team Expert)!

Inne sposoby wsparcia HackTricks:

• Jeśli chcesz zobaczyć swoją firmę reklamowaną w HackTricks lub pobrać HackTricks w formacie PDF, sprawdź PLANY SUBSKRYPCYJNE!
• Zdobądź oficjalne gadżety PEASS & HackTricks
• Odkryj Rodzinę PEASS, naszą kolekcję ekskluzywnych NFT
• Dołącz do 💬 grupy Discord lub grupy telegramowej lub śledź nas na Twitterze 🐦 @hacktricks_live.
• Podziel się swoimi sztuczkami hakowania, przesyłając PR-y do HackTricks i HackTricks Cloud na GitHubie.

Podstawowe informacje

Ta kategoria obejmuje wszystkie podatności, które występują, ponieważ możliwe jest nadpisanie pewnych danych poprzez błędy w obsłudze indeksów w tablicach. Jest to bardzo szeroka kategoria bez konkretnej metodyki, ponieważ mechanizm eksploatacji zależy całkowicie od warunków podatności.

Jednakże można znaleźć kilka przykładów:

• https://guyinatuxedo.github.io/11-index/swampctf19_dreamheaps/index.html
• Istnieją 2 kolidujące tablice, jedna dla adresów, w których przechowywane są dane, a druga z rozmiarami tych danych. Możliwe jest nadpisanie jednej z drugą, umożliwiając zapisanie dowolnego adresu wskazującego na rozmiar. Pozwala to zapisać adres funkcji free w tabeli GOT, a następnie nadpisać go adresem do system, i wywołać free z pamięci zawierającej /bin/sh.
• https://guyinatuxedo.github.io/11-index/csaw18_doubletrouble/index.html
• 64 bity, brak nx. Nadpisz rozmiar, aby uzyskać rodzaj przepełnienia bufora, gdzie wszystko będzie używane jako liczba podwójna i posortowane od najmniejszej do największej, dlatego konieczne jest stworzenie shellcode, który spełnia to wymaganie, biorąc pod uwagę, że canary nie powinien być przesunięty z swojej pozycji, a następnie nadpisując RIP adresem do ret, który spełnia wcześniejsze wymagania i umieszczając największy adres nowego adresu wskazującego na początek stosu (wyciekający przez program), dzięki czemu możliwe jest użycie ret do skoku tam.
• https://faraz.faith/2019-10-20-secconctf-2019-sum/
• 64 bity, brak relro, canary, nx, brak pie. Istnieje off-by-one w tablicy na stosie, który pozwala kontrolować wskaźnik przyznający WWW (zapisuje sumę wszystkich liczb z tablicy w nadpisanym adresie przez off-by-one w tablicy). Stos jest kontrolowany, więc adres exit w GOT jest nadpisywany przez pop rdi; ret, a na stosie dodawany jest adres do main (powrót do main). Następnie używany jest łańcuch ROP do wycieku adresu put w GOT za pomocą puts (exit zostanie wywołane, więc wywoła pop rdi; ret, wykonując ten łańcuch na stosie). Na koniec używany jest nowy łańcuch ROP wykonujący ret2lib.
• https://guyinatuxedo.github.io/14-ret_2_system/tu_guestbook/index.html
• 32 bity, brak relro, brak canary, nx, pie. Wykorzystaj złe indeksowanie do wycieku adresów libc i sterty ze stosu. Wykorzystaj przepełnienie bufora do wykonania ret2lib wywołującego system('/bin/sh') (adres sterty jest potrzebny do obejścia sprawdzenia).