Control del EIP

Ya conoce el desplazamiento, por lo que puede colocar cuatro bytes cualesquiera en EIP. La pregunta ahora es: ¿qué dirección debe colocar ahí?

Quiere que EIP apunte al shellcode. Sin embargo, no puede codificar sin más la dirección de la pila; necesita un salto fiable.

La dirección de la pila donde se encuentra el shellcode puede cambiar entre ejecuciones y sistemas. Incluso pequeños cambios en el entorno pueden desplazarla.

En su lugar, utilizará una instrucción estable que ya esté en la memoria y redirija la ejecución a donde apunte ESP en ese momento.

Si ESP apunta al shellcode en el momento del fallo, puede establecer EIP en la dirección de una instrucción JMP ESP. Cuando EIP cargue esa dirección, la CPU ejecutará jmp esp y saltará al shellcode.

Esta indirección hace que el exploit sea fiable independientemente de la dirección exacta de la pila.

Busque en los módulos cargados (preferiblemente aquellos sin ASLR) los bytes de código de operación FF E4. La dirección base del módulo permanece constante, por lo que este gadget es fiable.

Herramientas como mona.py encuentran automáticamente instrucciones adecuadas.

Algunos valores de byte corrompen la entrada antes de que llegue intacta al búfer. El más clásico es el byte nulo 0x00, que termina las cadenas de C. Otros son 0x0a (salto de línea) y 0x0d (retorno de carro).

La dirección de JMP ESP no debe contener ninguno de estos caracteres problemáticos.

Para descubrir qué bytes son problemáticos, envíe todos los valores de byte de 0x00 a 0xff en el búfer e inspeccione la memoria en el depurador. Los bytes que aparezcan modificados o falten son caracteres problemáticos.

Los excluirá tanto de la dirección de retorno como del shellcode.

Ahora construya la entrada: primero el relleno hasta el desplazamiento y después la dirección de JMP ESP en orden little-endian.

Si JMP ESP se encuentra en 0x625011AF, los bytes escritos se invierten.

Establezca un punto de interrupción en la dirección de JMP ESP en el depurador y ejecute el exploit. Cuando EIP llegue a ella y avance hasta ESP, habrá confirmado que la redirección es fiable.

En este punto, EIP apunta al lugar donde irá el shellcode.

Después de la dirección de retorno, el búfer restante (al que apunta ESP) contiene el shellcode. Si el espacio es limitado, quizá necesite un salto corto o reubicarlo.

Un tobogán de NOP (una secuencia de bytes no operativos 0x90) antes del shellcode proporciona margen, de modo que el salto pueda aterrizar en cualquier punto de la secuencia.

La estructura completa del exploit ya está clara:

• Relleno hasta el desplazamiento.
• La dirección de JMP ESP (sin caracteres problemáticos y en formato little-endian).
• Un tobogán de NOP.
• El shellcode.

Está a un paso de obtener un shell.

JMP ESP es la redirección clásica, pero no es la única. Si otro registro apunta al búfer, puede utilizar jmp eax, call esp o un gadget push esp; ret.

El principio es el mismo: encontrar una instrucción estable que transfiera el control al lugar donde se encuentra el shellcode.

Recuerde por qué se prefiere JMP ESP a una dirección de pila codificada.

Ahora controla el flujo de ejecución:

• Sobrescriba EIP con la dirección de un gadget JMP ESP en lugar de utilizar una dirección de pila poco fiable.
• Encuentre el gadget en un módulo sin ASLR y evite caracteres problemáticos como 0x00.
• Escriba la dirección en formato little-endian y añada un tobogán de NOP antes del shellcode.

A continuación, generará el shellcode y abrirá un shell.