二进制基础渗透方法论

从零开始学习AWS黑客技术，成为专家 htARTE（HackTricks AWS Red Team Expert）！

支持HackTricks的其他方式：

ELF基础信息

在开始利用任何东西之前，了解ELF二进制文件的结构的一部分是很有趣的：

{% content-ref url="elf-tricks.md" %} elf-tricks.md {% endcontent-ref %}

{% content-ref url="tools/" %} tools {% endcontent-ref %}

有这么多技术，有一个方案在何时使用每种技术会很有帮助。请注意，相同的保护措施会影响不同的技术。您可以在每个保护部分找到绕过保护的方法，但在此方法论中没有提及。

有不同的方法可以控制程序的流程：

您可以在以下位置找到写入何处执行技术：

{% content-ref url="../arbitrary-write-2-exec/" %} arbitrary-write-2-exec {% endcontent-ref %}

需要考虑的一点是通常仅利用漏洞一次可能不足以执行成功的利用，特别是需要绕过某些保护措施。因此，有趣的是讨论一些选项，使单个漏洞在二进制文件的同一执行中可多次利用：

在ROP链中写入**main函数的地址**或漏洞发生的地址。
通过控制正确的ROP链，您可能能够执行该链中的所有操作
在GOT中的exit地址（或二进制文件在结束前使用的任何其他函数）中写入返回到漏洞的地址
如.fini_array所述，这里存储2个函数，一个用于再次调用漏洞，另一个用于调用**__libc_csu_fini**，后者将再次调用.fini_array中的函数。

(Stack) Shellcode：这对于在覆盖返回指针之前或之后在栈中存储shellcode，然后跳转到它以执行它非常有用：
在任何情况下，如果有 canary**，在常规bof中您将需要绕过（泄漏）它
没有 ASLR 和 nx，可以跳转到栈的地址，因为它永远不会改变
有 ASLR，您将需要使用技术，如ret2esp/ret2reg来跳转到它
有 nx，您将需要使用一些ROP 来调用memprotect，使某些页面rwx，然后在那里存储shellcode（例如调用read）然后跳转到那里。
这将混合shellcode与ROP链。

Ret2lib: 用于调用库中的函数（通常是**libc）如system并带有一些准备好的参数（例如'/bin/sh'）。您需要二进制文件加载包含要调用的函数的库**（通常是libc）。
如果静态编译且没有PIE，则system和/bin/sh的地址不会改变，因此可以静态使用它们。
没有ASLR 且知道加载的libc版本，system和/bin/sh的地址不会改变，因此可以静态使用它们。
具有ASLR 但没有PIE，知道libc并且二进制文件使用system函数时，可以ret到GOT中system的地址，参数为'/bin/sh'的地址（您需要弄清楚这一点）。
具有ASLR但没有PIE，知道libc但二进制文件不使用system：
使用ret2dlresolve解析system的地址并调用它。
绕过ASLR并计算内存中system和'/bin/sh'的地址。
具有ASLR 和 PIE 但不知道libc版本：您需要：
绕过PIE
找到使用的**libc版本**（泄漏几个函数地址）
检查具有ASLR的先前情况以继续。

Pointers Redirecting: 如果堆栈包含将要调用的函数或将要被有趣函数（如system或printf）使用的字符串的指针，可以覆盖该地址。
ASLR或PIE可能会影响地址。
Uninitialized variables: 永远不知道。