8

Estou tentando chamar a função execve("bin/sh"...) usando assembly, porém na instrução: mov %rsi,0x8(%rsi) eu levo um erro de segmentação. Essa é a versão de 64bits do código do artigo "smash the stack for fun and profit".

void main()
{

__asm__(
    "jmp caller           \n"

    "jumper:              \n"
    "pop    %rsi          \n"
    "mov    %rsi,0x8(%rsi)\n"
    "xor    %rax,%rax     \n"
    "mov    %rax,0x7(%rsi)\n"
    "mov    %rax,0xc(%rsi)\n"
    "mov    0x3b,%al      \n"

    "mov    %rsi,%rbx     \n"
    "lea    0x8(%rsi),%rcx\n"
    "lea    0xc(%rsi),%rdx\n"
    "syscall              \n"

    "xor    %rbx,%rbx     \n"
    "mov    %rbx,%rax     \n"
    "inc    %rax          \n"
    "syscall              \n"

    "caller:              \n"
    "call jumper          \n"
    ".string \"/bin/sh\"  \n"


);
}
4
  • 3
    Esta pergunta parece ser descontextualizada porque está em inglês. Commented 8/04/2014 às 2:23
  • 1
    malz, primeira pergunta aqui, e aqui ta em inglês, guenta aê Commented 8/04/2014 às 2:24
  • Estou a procurar o código em questão e não o encontro no artigo. De onde ele vem ele? Smashing The Stack For Fun And Profit - Aleph One Commented 8/04/2014 às 13:31
  • está entre as páginas 14 e 15, eu alterei aqui e alí já que meu processador é de 64 Bits, aliás, sua explicação foi boa mas eu já sabia essa parte da memória protegida, sei que não posso executar código fora do .text. Não formulei bem minha pergunta, gostaria de saber como posso consertar isso sem alterar as permições. De qualquer maneira, muito obrigado pela ajuda. Commented 8/04/2014 às 16:24

2 Respostas 2

3

Primeiramente um pouco de teoria:

A memória é dividida em páginas, cada qual com permissões de acesso diferente. Logo ao iniciar o processo o código do mesmo é carregado em uma parte legível e executável (mas não escritível) da memória, logo no topo. Em seguida entram dados de variáveis globais inicializadas e não inicializadas (zeradas) e os dados constantes (como strings literais e floats). Após isso começa o heap, que tem um inicio definido e cresce para baixo.

No fundo da memória do processo (lá proximo ao endereço 0xffffffffffffffff) está o inicio da stack. Essa cresce para cima e há o ponteiro de stack apontando para o seu topo. Para fazer a stack crescer basta decrementar esse ponteiro.

Descreverei a execução do código passo a passo:

  jmp caller       # Pular imediatamente para o label caller.  
caller:
  call jumper      # Escreva o endereço da próxima instrução no topo da stack e
                   # decremente o ponteiro. Em seguida, pule para jumper.
jumper:
  pop %rsi         # Leia o endereço no topo da stack para o registrador RSI e incremente
                   # o ponteiro. Agora RSI (registrador usado nas instruções de iteração
                   # sob strings) contém o endereço de onde o código está.
  mov %rsi, 0x8(%rsi)     # Calcule o endereço RSI+8 e escreva o valor de RSI (um endereço)
                          # essa memória. BUUM! Segmentation Fault
                          # Equivalente em C: *(RSI+8) = (uint64_t)RSI  // RSI é um ponteiro

O que aconteceu é simples: Você tentou escrever em uma página não escritível (a de código). E o sistema operacional vai te impedir de fazer isso, matando seu processo por tentar algo ilegal. A solução seria primeiro mudar as permissões das páginas em questão. A forma de fazer isso varia de sistema para sistema. No Linux pode usar a função mprotect, e no Windows, VirtualProtect.

0

Para escrever as instruções em 64 bits é necessário usar o sufixo 'q':

"movq   %rsi,0x8(%rsi)\n"

Com exceção para as operações de pilha (pop, push, call, ret, enter, leave).

Espero ter ajudado.

1
  • Especificar o sufixo não é necessário nesse caso. (Na pergunta ele afirma que o problema está na execução, o código compila.) "If the suffix is not specified, and there are no memory operands for the instruction, GAS infers the operand size from the size of the destination register operand (the final operand)." (wikibooks) Commented 8/04/2014 às 13:17

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .