Mengendalikan EIP

Anda sudah memiliki offset, sehingga dapat menempatkan empat bita apa pun ke dalam EIP. Sekarang pertanyaannya: alamat apa yang harus Anda masukkan?

Anda ingin EIP menunjuk ke kode shell. Namun, Anda tidak dapat langsung menetapkan alamat stack; Anda memerlukan lompatan yang andal.

Alamat stack tempat kode shell Anda berada dapat berubah di antara eksekusi dan sistem. Bahkan perubahan kecil pada lingkungan dapat memindahkannya.

Sebagai gantinya, gunakan instruksi stabil yang sudah ada di memori untuk mengalihkan eksekusi ke lokasi yang sedang ditunjuk ESP.

Jika ESP menunjuk ke kode shell saat keruntuhan terjadi, Anda dapat mengatur EIP ke alamat instruksi JMP ESP. Saat EIP memuat alamat tersebut, CPU mengeksekusi jmp esp dan melompat ke kode shell Anda.

Pengalihan tidak langsung ini membuat eksploit andal, terlepas dari alamat stack yang sebenarnya.

Cari modul yang dimuat (sebaiknya modul tanpa ASLR) untuk menemukan bita opcode FF E4. Alamat dasar modul tetap konstan, sehingga gadget ini dapat diandalkan.

Alat seperti mona.py dapat menemukan instruksi yang sesuai secara otomatis.

Beberapa nilai bita merusak input sebelum mencapai buffer secara utuh. Contoh klasiknya adalah bita null 0x00, yang mengakhiri string C. Contoh lainnya adalah 0x0a (baris baru) dan 0x0d (carriage return).

Alamat JMP ESP tidak boleh mengandung karakter terlarang mana pun.

Untuk menemukan bita yang bermasalah, kirim semua nilai bita 0x00-0xff di dalam buffer, lalu periksa memori pada debugger. Bita yang berubah atau hilang adalah karakter terlarang.

Anda akan mengecualikan bita tersebut dari alamat pengembalian maupun kode shell.

Sekarang susun input: padding hingga offset, lalu alamat JMP ESP dalam urutan little-endian.

Jika JMP ESP berada di 0x625011AF, bita yang ditulis dibalik urutannya.

Pasang breakpoint pada alamat JMP ESP di debugger, lalu jalankan eksploit. Saat EIP mencapainya dan melangkah ke lokasi ESP, Anda telah memastikan pengalihan yang andal.

Pada titik ini EIP menunjuk ke lokasi kode shell Anda nantinya.

Setelah alamat pengembalian, buffer yang tersisa (yang ditunjuk ESP) menampung kode shell Anda. Jika ruangnya sempit, Anda mungkin perlu melakukan lompatan singkat atau memindahkan posisinya.

NOP sled (rangkaian bita no-op 0x90) sebelum kode shell memberikan toleransi sehingga lompatan dapat mendarat di mana saja dalam sled.

Struktur eksploit lengkapnya kini jelas:

• Padding hingga offset.
• Alamat JMP ESP (tanpa karakter terlarang, dalam urutan little-endian).
• NOP sled.
• Kode shell.

Anda tinggal selangkah lagi untuk mendapatkan shell.

JMP ESP adalah pengalihan klasik, tetapi bukan satu-satunya. Jika register lain menunjuk ke buffer Anda, Anda dapat menggunakan jmp eax, call esp, atau gadget push esp; ret.

Prinsipnya sama: temukan instruksi stabil yang mengalihkan kendali ke lokasi kode shell Anda.

Ingat kembali alasan JMP ESP lebih dipilih daripada alamat stack yang ditetapkan secara langsung.

Sekarang Anda mengendalikan alur eksekusi:

• Timpa EIP dengan alamat gadget JMP ESP, bukan alamat stack yang mudah berubah.
• Temukan gadget dalam modul non-ASLR dan hindari karakter terlarang seperti 0x00.
• Tulis alamat dalam format little-endian dan tambahkan NOP sled sebelum kode shell.

Berikutnya Anda akan membuat kode shell dan membuka shell.