Return-Oriented Programming (ROP)

NX/DEP가 적용되면 주입된 셸코드를 실행할 수 없습니다. 반환 지향 프로그래밍(ROP)은 ret 명령으로 끝나는 짧은 기존 코드 시퀀스(가젯)를 연결하여 이를 우회합니다. 새 코드는 주입하지 않고 스택과 기존 코드만 사용합니다.

가젯은 ret로 끝나는 짧은 명령어 시퀀스로, 바이너리나 로드된 라이브러리에서 찾을 수 있습니다. 예를 들면 pop rdi; ret, pop rsi; ret, mov eax, 0; ret이 있습니다. 가젯은 ROP 체인을 구성하는 기본 요소입니다.

바이너리에서 ROP 가젯을 찾는 도구:

ROP 체인은 스택에 있는 반환 주소의 시퀀스입니다. 덮어써진 반환 주소에 도달하면 가젯 1로 점프합니다. 가젯 1은 유용한 작업을 수행한 다음 ret를 실행하고, 다음 주소를 꺼내 가젯 2로 점프합니다. 이 과정이 계속 반복됩니다.

ret2plt는 PLT(프로시저 연결 테이블)를 통해 함수를 호출합니다. 이는 puts()를 호출해 libc 주소를 유출한 다음, 그 주소를 사용해 system()을 호출할 때 유용합니다. ASLR이 적용되어도 PIE가 없는 기본 바이너리에서는 PLT/GOT 구조를 예측할 수 있습니다.

ROP는 puts(GOT_entry)를 호출하는 가젯을 사용해 GOT에서 libc 함수 주소를 유출할 수 있습니다. 유출된 주소로 libc 기준 주소를 확인할 수 있습니다. system() 오프셋을 계산합니다: system_addr = leak - libc.symbols["puts"] + libc.symbols["system"].

SROP는 sigreturn 시스템 호출을 사용해 가짜 sigcontext 프레임을 로드하고, 하나의 가젯에서 모든 레지스터를 공격자가 제어하는 값으로 설정합니다. 가젯을 거의 사용할 수 없을 때 유용합니다.

ROP를 넘어선 기법:

• JOP(점프 지향 프로그래밍) — ret 대신 jmp로 끝나는 가젯을 연결합니다
• COP(호출 지향 프로그래밍) — call로 끝나는 가젯을 연결합니다

CFI(제어 흐름 무결성)와 같은 방어 기법은 이러한 모든 기법을 차단하는 것을 목표로 합니다.

CFI는 간접 분기(호출과 반환)가 유효한 대상에만 점프하도록 강제합니다. 반환 대상을 섀도 스택 또는 허용 목록과 대조하여 검증함으로써 ROP를 차단합니다. Intel CET(제어 흐름 시행 기술)는 하드웨어 수준의 CFI를 구현합니다.

ROP를 통한 64비트 ret2libc:

ROP에 대한 보호 기법:

• CFI — 분기 대상 검증
• 섀도 스택(CET) — 하드웨어로 보호되는 반환 주소 복사본
• RELRO(전체) — GOT를 읽기 전용으로 만들어 덮어쓰기 방지
• PIE — 바이너리 기준 주소를 무작위화하므로 가젯을 찾으려면 유출이 필요함

ROP 가젯이란 무엇입니까?

ROP는 기존 코드 시퀀스(ret로 끝나는 가젯)를 연결하여 NX/DEP를 우회하므로 셸코드를 주입할 필요가 없습니다. 가젯을 찾는 도구로는 ROPgadget과 ropper가 있습니다. ret2plt는 libc 주소를 유출하여 ASLR을 무력화합니다. 방어 기법으로는 CFI, 섀도 스택(Intel CET), PIE, 전체 RELRO가 있습니다. ROP는 현대 바이너리 익스플로잇의 기반입니다.