Kontrolowanie EIP

Znają już Państwo przesunięcie, więc mogą umieścić dowolne cztery bajty w EIP. Pozostaje pytanie: jaki adres należy tam wstawić?

Celem jest ustawienie EIP tak, aby wskazywał shellcode. Nie można jednak po prostu wpisać na stałe adresu stosu — potrzebny jest niezawodny skok.

Adres stosu, pod którym znajduje się shellcode, może zmieniać się między uruchomieniami i systemami. Nawet niewielkie zmiany środowiska mogą go przesunąć.

Zamiast tego należy użyć stabilnej instrukcji znajdującej się już w pamięci, która przekieruje wykonanie tam, gdzie aktualnie wskazuje ESP.

Jeśli w chwili awarii ESP wskazuje shellcode, można ustawić EIP na adres instrukcji JMP ESP. Po załadowaniu tego adresu do EIP procesor wykona jmp esp i przejdzie do shellcode.

Takie pośrednie przekierowanie zwiększa niezawodność exploita niezależnie od dokładnego adresu stosu.

Należy przeszukać załadowane moduły (najlepiej takie bez ASLR) pod kątem bajtów kodu maszynowego FF E4. Adres bazowy modułu pozostaje stały, dzięki czemu ten gadżet jest niezawodny.

Narzędzia takie jak mona.py automatycznie znajdują odpowiednie instrukcje.

Niektóre wartości bajtów uszkadzają dane wejściowe, zanim dotrą one do bufora w niezmienionej postaci. Klasycznym przykładem jest bajt null 0x00, który kończy łańcuchy C. Inne przykłady to 0x0a (znak nowej linii) i 0x0d (powrót karetki).

Adres JMP ESP nie może zawierać żadnego z tych niedozwolonych znaków.

Aby ustalić, które bajty są niedozwolone, należy wysłać do bufora wszystkie wartości bajtów z zakresu 0x00-0xff, a następnie obejrzeć pamięć w debuggerze. Bajty, które zostały zmienione lub zniknęły, są niedozwolonymi znakami.

Należy wykluczyć je zarówno z adresu powrotu, jak i z shellcode.

Teraz należy złożyć dane wejściowe: dopełnienie do przesunięcia, a następnie adres JMP ESP w kolejności little-endian.

Jeśli JMP ESP znajduje się pod adresem 0x625011AF, zapisywane bajty będą odwrócone.

Należy ustawić punkt przerwania na adresie JMP ESP w debuggerze i uruchomić exploit. Gdy EIP dotrze pod ten adres i wykona skok przez ESP, będzie to potwierdzenie niezawodnego przekierowania.

W tym momencie EIP wskazuje miejsce, w którym znajdzie się shellcode.

Za adresem powrotu pozostała część bufora (na którą wskazuje ESP) zawiera shellcode. Jeśli miejsca jest mało, może być potrzebny krótki skok lub przeniesienie kodu.

Ślizg NOP (ciąg bajtów 0x90 oznaczających brak operacji, 0x90) przed shellcode zwiększa tolerancję, dzięki czemu skok może trafić w dowolne miejsce tego ciągu.

Pełna struktura exploita jest już jasna:

• Dopełnienie do przesunięcia.
• Adres JMP ESP (bez niedozwolonych znaków, w kolejności little-endian).
• Ślizg NOP.
• Shellcode.

Do uruchomienia powłoki pozostał już tylko jeden krok.

JMP ESP to klasyczny sposób przekierowania, ale nie jedyny. Jeśli inny rejestr wskazuje bufor, można użyć jmp eax, call esp lub gadżetu push esp; ret.

Zasada pozostaje taka sama: należy znaleźć stabilną instrukcję, która przekaże sterowanie w miejsce, gdzie znajduje się shellcode.

Proszę przypomnieć sobie, dlaczego JMP ESP jest preferowane zamiast wpisanego na stałe adresu stosu.

Mają już Państwo kontrolę nad przebiegiem wykonania:

• Należy nadpisać EIP adresem gadżetu JMP ESP zamiast zawodnym adresem stosu.
• Gadżetu należy szukać w module bez ASLR, unikając niedozwolonych znaków, takich jak 0x00.
• Adres należy zapisać w kolejności little-endian i dodać ślizg NOP przed shellcode.

W następnym kroku wygenerują Państwo shellcode i uruchomią powłokę.