Basi del reversing e del pwn

Due categorie CTF strettamente correlate riguardano i programmi compilati:

• Reverse engineering (rev) — analizzare un binario per capire cosa fa, spesso per recuperare un controllo della password o una logica nascosta che stampa la flag.
• Pwn (binary exploitation) — individuare una vulnerabilità di sicurezza della memoria in un binario in esecuzione e sfruttarla per dirottare l'esecuzione, spesso per avviare una shell su un servizio remoto che contiene la flag.

Il rev consiste nel capire; il pwn nel compromettere. Entrambi richiedono familiarità con i concetti di basso livello.

Non apra mai un binario alla cieca in un disassembler. Lo sottoponga prima a un rapido triage con strumenti da riga di comando, per determinarne il tipo, l'architettura e individuare eventuali stringhe evidenti.

È possibile analizzare i binari in due modi complementari:

• Analisi statica — leggere il codice senza eseguirlo, usando un disassembler o un decompiler come Ghidra oppure una vista disassemblata. Si vede l'intero flusso di controllo, ma occorre dedurre i valori a runtime.
• Analisi dinamica — eseguire il programma sotto un debugger come GDB e osservare i valori reali nei registri e nella memoria. Si vede esattamente cosa accade, ma solo lungo il percorso eseguito.

Gli esperti alternano i due approcci: leggono staticamente per formulare una teoria e la verificano dinamicamente eseguendo il programma passo passo.

Per fare reversing, si legge l'assembly. Non è necessario saperlo scrivere fluentemente, ma occorre riconoscere alcuni pattern:

• cmp / test seguiti da un salto (je, jne) costituiscono un confronto e un branch — spesso il controllo della password.
• call invoca una funzione; subito prima, gli argomenti sono stati inseriti nei registri o nello stack.
• mov sposta dati tra registri, memoria e costanti.

Quando trova un cmp a confronto con il Suo input, seguito da un branch verso un messaggio di successo, ha trovato il controllo. Ora recuperi o aggiri il valore previsto.

I decompiler moderni riconvertono l'assembly in una forma approssimativa del C, molto più rapida da leggere rispetto alle istruzioni grezze. Un controllo della password decompilato potrebbe avere questo aspetto:

Le challenge di pwn sfruttano programmi che leggono l'input in un buffer di dimensione fissa senza verificarne la lunghezza. Lo stack contiene le variabili locali e l'indirizzo di ritorno salvato, che indica alla CPU dove proseguire quando una funzione termina.

Se l'input supera la capacità di un buffer locale, può sovrascrivere quell'indirizzo di ritorno salvato. Chi controlla l'indirizzo di ritorno controlla dove proseguirà l'esecuzione.

Il pwn più semplice consiste nel sovrascrivere l'indirizzo di ritorno per saltare a una funzione che il programma non intendeva chiamare: una funzione win() nascosta che stampa la flag.

I passaggi:

• Individuare l'offset esatto dall'inizio del buffer all'indirizzo di ritorno (uno strumento per pattern ciclici consente di farlo rapidamente).
• Individuare l'indirizzo della funzione di destinazione.
• Inviare il padding fino all'offset, quindi sovrascrivere l'indirizzo di ritorno con quello della destinazione.

I binari reali abilitano difese che bloccano gli overflow ingenui. Deve riconoscerle con checksec:

• Stack canary — un valore segreto inserito prima dell'indirizzo di ritorno; se cambia, il programma si interrompe. È necessario farne prima il leak.
• NX (No-eXecute) — lo stack non è eseguibile, quindi non è possibile eseguire shellcode inserito al suo interno.
• ASLR / PIE — gli indirizzi vengono randomizzati a ogni esecuzione, quindi serve un leak di un indirizzo prima di poterlo usare come bersaglio.
• RELRO — protegge la global offset table dalle sovrascritture.

Ogni mitigazione spinge verso tecniche più avanzate.

Quando NX impedisce di eseguire codice proprio, la Return-Oriented Programming riutilizza il codice già presente nel binario.

Si concatenano brevi sequenze di istruzioni chiamate gadget, ciascuna terminante con ret, per eseguire azioni un pezzo alla volta — per esempio caricare un registro e chiamare una funzione di libreria per avviare una shell. La catena viene costruita sullo stack, in modo che ogni ret salti al gadget successivo.

La ROP è il ponte tra i buffer overflow dei principianti e lo sfruttamento reale, in cui il codice dell'attaccante raramente è eseguibile direttamente.

Un'altra primitiva classica del pwn è la vulnerabilità di format string, in cui l'input dell'utente viene passato direttamente come argomento di formato a una funzione di stampa.

Si impara a sfruttare con precisione i bug di memoria proprio per poterli prevenire. Le conseguenze pratiche per la difesa sono concrete:

• Non usi mai funzioni di input senza limiti come gets o strcpy; usi equivalenti che verificano la lunghezza.
• Mantenga attive le mitigazioni: canary, NX, ASLR/PIE completo e RELRO completo per impostazione predefinita.
• Preferisca linguaggi memory-safe quando il modello di minaccia lo consente.
• Consideri una scoperta grave in fase di code review qualsiasi valore controllato dall'utente che raggiunga una format string o una copia in un buffer.

Ora dispone di una visione d'insieme del reversing e del pwn:

• Sottoponga ogni binario a triage con file, strings e checksec prima dell'analisi approfondita.
• Combini l'analisi statica (disassembler/decompiler) e dinamica (debugger) per comprendere la logica.
• Il pwn inizia con lo stack buffer overflow che sovrascrive un indirizzo di ritorno; le mitigazioni (canary, NX, ASLR/PIE, RELRO) alzano l'asticella.
• La ROP aggira NX riutilizzando gadget esistenti; i bug di format string nascono da argomenti di formato non attendibili.
• Ogni tecnica offre anche una lezione difensiva per scrivere e revisionare codice più sicuro.

Ora costruirà un toolkit e imparerà a redigere i writeup delle Sue soluzioni.