hacktricks/binary-exploitation/array-indexing.md

배열 인덱싱

{% hint style="success" %} AWS 해킹 학습 및 실습:HackTricks Training AWS Red Team Expert (ARTE)
GCP 해킹 학습 및 실습: HackTricks Training GCP Red Team Expert (GRTE)

HackTricks 지원

• 구독 요금제를 확인하세요!
• 💬 디스코드 그룹에 가입하거나 텔레그램 그룹에 참여하거나 트위터 🐦 @hacktricks_live를 팔로우하세요.
• HackTricks 및 HackTricks Cloud 깃헙 저장소에 PR을 제출하여 해킹 트릭을 공유하세요.

{% endhint %}

기본 정보

이 범주에는 배열의 인덱스 처리 오류로 인해 특정 데이터를 덮어쓸 수 있는 취약점이 모두 포함됩니다. 취약점의 조건에 완전히 의존하기 때문에 이는 특정 방법론이 없는 매우 넓은 범주입니다.

그러나 여기에서 몇 가지 좋은 예시를 찾을 수 있습니다:

• https://guyinatuxedo.github.io/11-index/swampctf19_dreamheaps/index.html
• 2개의 충돌하는 배열이 있습니다. 데이터가 저장된 주소를 나타내는 하나와 해당 데이터의 크기를 나타내는 다른 하나가 있습니다. 한 배열에서 다른 배열로 덮어쓸 수 있어 임의의 주소를 크기로 지정할 수 있습니다. 이를 통해 free 함수의 주소를 GOT 테이블에 쓰고, 그 주소를 system의 주소로 덮어쓴 다음 /bin/sh가 있는 메모리에서 free를 호출할 수 있습니다.
• https://guyinatuxedo.github.io/11-index/csaw18_doubletrouble/index.html
• 64비트, nx 없음. 크기를 덮어쓰면 모든 것이 더블 숫자로 사용되고 가장 작은 것부터 가장 큰 것까지 정렬되는 버퍼 오버플로우가 발생합니다. 이를 충족하는 셸코드를 작성해야 하며, 캐너리가 위치에서 이동되어서는 안 되며, 마지막으로 RIP를 ret 주소로 덮어쓰고, 스택의 시작을 가리키는 새 주소를 가장 큰 주소로 놓아야 합니다. 이를 통해 ret를 사용하여 해당 위치로 점프할 수 있습니다.
• https://faraz.faith/2019-10-20-secconctf-2019-sum/
• 64비트, relro 없음, 캐너리 없음, nx 없음, pie 없음. 스택의 배열에서 발생하는 off-by-one을 통해 포인터를 제어할 수 있어 모든 숫자의 합을 배열의 off-by-one으로 덮어쓴 주소에 쓸 수 있습니다. 스택을 제어하여 GOT exit 주소를 pop rdi; ret로 덮어쓰고, 스택에 main 주소를 추가합니다 (main으로 다시 이동). puts를 사용하여 GOT에 있는 put 주소를 노출하는 ROP 체인을 사용합니다 (exit이 호출되어 pop rdi; ret이 호출되므로 스택에서 이 체인을 실행합니다). 마지막으로 ret2lib를 실행하는 새로운 ROP 체인을 사용합니다.
• https://guyinatuxedo.github.io/14-ret_2_system/tu_guestbook/index.html
• 32비트, relro 없음, 캐너리 없음, nx, pie. 잘못된 인덱싱을 악용하여 스택에서 libc 및 힙의 주소를 노출합니다. 버퍼 오버플로우를 악용하여 system('/bin/sh')를 호출하는 ret2lib를 수행합니다 (힙 주소가 필요하여 체크를 우회해야 함).