EIP kontrollieren

Sie kennen den Offset und können daher beliebige vier Bytes in EIP schreiben. Die Frage lautet nun: Welche Adresse sollten Sie dort eintragen?

EIP soll auf Ihren Shellcode zeigen. Sie können die Stackadresse jedoch nicht einfach fest eintragen; Sie benötigen einen zuverlässigen Sprung.

Die Stackadresse, an der sich Ihr Shellcode befindet, kann sich zwischen Durchläufen und Systemen ändern. Selbst kleine Änderungen an der Umgebung verschieben sie.

Stattdessen verwenden Sie eine stabile, bereits im Speicher vorhandene Anweisung, die die Ausführung an die aktuelle Adresse von ESP umleitet.

Wenn ESP zum Zeitpunkt des Absturzes auf Ihren Shellcode zeigt, können Sie EIP auf die Adresse einer JMP ESP-Anweisung setzen. Sobald EIP diese Adresse lädt, führt die CPU jmp esp aus und springt in Ihren Shellcode.

Diese Indirektion macht den Exploit unabhängig von der exakten Stackadresse zuverlässig.

Durchsuchen Sie geladene Module (vorzugsweise solche ohne ASLR) nach den Opcode-Bytes FF E4. Die Basisadresse des Moduls bleibt konstant, wodurch dieses Gadget zuverlässig ist.

Werkzeuge wie mona.py finden geeignete Anweisungen automatisch.

Bestimmte Bytewerte beschädigen die Eingabe, bevor sie unverändert den Puffer erreicht. Das klassische Beispiel ist das Nullbyte 0x00, das C-Zeichenketten beendet. Weitere Beispiele sind 0x0a (Zeilenumbruch) und 0x0d (Wagenrücklauf).

Die JMP-ESP-Adresse darf keines dieser problematischen Zeichen enthalten.

Um herauszufinden, welche Bytes problematisch sind, senden Sie alle Bytewerte von 0x00 bis 0xff im Puffer und untersuchen den Speicher im Debugger. Bytes, die verändert wurden oder fehlen, sind problematische Zeichen.

Sie schließen diese sowohl aus der Rücksprungadresse als auch aus dem Shellcode aus.

Setzen Sie nun die Eingabe zusammen: Auffüllbytes bis zum Offset, anschließend die JMP-ESP-Adresse in Little-Endian-Reihenfolge.

Wenn sich JMP ESP bei 0x625011AF befindet, werden die Bytes in umgekehrter Reihenfolge geschrieben.

Setzen Sie im Debugger einen Haltepunkt auf die JMP-ESP-Adresse und führen Sie den Exploit aus. Wenn EIP diese Adresse erreicht und über ESP weiterspringt, haben Sie die zuverlässige Umleitung bestätigt.

Zu diesem Zeitpunkt zeigt EIP auf die Stelle, an der Ihr Shellcode platziert wird.

Hinter der Rücksprungadresse enthält der verbleibende Puffer, auf den ESP zeigt, Ihren Shellcode. Wenn der Platz knapp ist, benötigen Sie möglicherweise einen kurzen Sprung oder müssen den Shellcode an eine andere Stelle verschieben.

Ein NOP-Sled (eine Folge von 0x90-No-Operation-Bytes) vor dem Shellcode schafft Toleranz, sodass der Sprung an jeder Stelle im Sled landen kann.

Die vollständige Struktur des Exploits ist nun klar:

• Auffüllbytes bis zum Offset.
• Die JMP-ESP-Adresse (ohne problematische Zeichen, in Little-Endian-Reihenfolge).
• Ein NOP-Sled.
• Der Shellcode.

Sie sind nur noch einen Schritt von einer Shell entfernt.

JMP ESP ist die klassische Umleitung, aber nicht die einzige. Wenn ein anderes Register auf Ihren Puffer zeigt, können Sie ein jmp eax-, call esp- oder push esp; ret-Gadget verwenden.

Das Prinzip bleibt dasselbe: Finden Sie eine stabile Anweisung, die die Kontrolle an die Stelle überträgt, an der sich Ihr Shellcode befindet.

Rufen Sie sich in Erinnerung, warum JMP ESP einer fest eingetragenen Stackadresse vorgezogen wird.

Sie kontrollieren nun den Kontrollfluss:

• Überschreiben Sie EIP mit der Adresse eines JMP-ESP-Gadgets statt mit einer unsicheren Stackadresse.
• Finden Sie das Gadget in einem Modul ohne ASLR und vermeiden Sie problematische Zeichen wie 0x00.
• Schreiben Sie die Adresse in Little-Endian-Reihenfolge und fügen Sie vor dem Shellcode ein NOP-Sled ein.

Als Nächstes erzeugen Sie Shellcode und öffnen eine Shell.