EIP'yi Denetleme

Uzaklığı biliyorsunuz; dolayısıyla EIP'ye herhangi dört baytı yerleştirebilirsiniz. Şimdi soru şu: oraya hangi adresi koymalısınız?

EIP'nin kabuk kodunuzu göstermesini istersiniz. Ancak yığın adresini doğrudan sabitleyemezsiniz; güvenilir bir atlamaya ihtiyacınız vardır.

Kabuk kodunuzun bulunduğu yığın adresi çalıştırmalar ve sistemler arasında değişebilir. Ortamdaki küçük değişiklikler bile bu adresi hareket ettirir.

Bunun yerine bellekte zaten bulunan ve yürütmeyi ESP'nin o anda gösterdiği yere yönlendiren kararlı bir komut kullanırsınız.

Çökme anında ESP kabuk kodunuzu gösteriyorsa EIP'yi bir JMP ESP komutunun adresine ayarlayabilirsiniz. EIP bu adresi yüklediğinde CPU jmp esp komutunu çalıştırır ve kabuk kodunuza atlar.

Bu dolaylı yönlendirme, kesin yığın adresinden bağımsız olarak istismarı güvenilir hâle getirir.

Yüklenen modüllerde (tercihen ASLR'siz olanlarda) FF E4 işlem kodu baytlarını ararsınız. Modülün taban adresi sabit kaldığından bu aygıt güvenilirdir.

mona.py gibi araçlar uygun komutları otomatik olarak bulur.

Bazı bayt değerleri, girdi arabelleğe bozulmadan ulaşmadan önce onu bozar. Klasik örnek, C dizelerini sonlandıran null baytıdır 0x00. Diğer örnekler arasında 0x0a (yeni satır) ve 0x0d (satır başı) bulunur.

JMP ESP adresi bu hatalı karakterlerden hiçbirini içermemelidir.

Hangi baytların hatalı olduğunu bulmak için arabelleğe 0x00-0xff arasındaki tüm bayt değerlerini gönderin ve hata ayıklayıcıda belleği inceleyin. Değiştirilmiş veya eksik olan baytlar hatalı karakterlerdir.

Bunları hem dönüş adresinden hem de kabuk kodundan çıkaracaksınız.

Şimdi girdiyi birleştirin: uzaklığa kadar dolgu, ardından little-endian sırasıyla JMP ESP adresi.

JMP ESP 0x625011AF adresinde bulunuyorsa yazılan baytlar ters çevrilir.

Hata ayıklayıcıda JMP ESP adresine bir kesme noktası koyun ve istismarı çalıştırın. EIP bu adrese ulaşıp ESP'ye geçtiğinde güvenilir yönlendirmeyi doğrulamış olursunuz.

Bu noktada EIP, kabuk kodunuzun gideceği yeri gösterir.

Dönüş adresinden sonra kalan arabellek (ESP'nin gösterdiği bölüm) kabuk kodunuzu içerir. Alan darsa kısa bir atlama kullanmanız veya kodu başka yere taşımanız gerekebilir.

Kabuk kodundan önce bir NOP kızağı (0x90 no-op baytlarından oluşan bir dizi) bulunması tolerans sağlar; böylece atlama kızağın herhangi bir yerine ulaşabilir.

Artık tam istismar yapısı açıktır:

• Uzaklığa kadar dolgu.
• JMP ESP adresi (hatalı karakter içermeyen, little-endian biçiminde).
• Bir NOP kızağı.
• Kabuk kodu.

Kabuk açmaya bir adım kaldı.

JMP ESP klasik yönlendirmedir, ancak tek seçenek değildir. Farklı bir yazmaç arabelleğinizi gösteriyorsa jmp eax, call esp veya push esp; ret aygıtını kullanabilirsiniz.

İlke aynıdır: kabuk kodunuzun bulunduğu yere denetimi aktaran kararlı bir komut bulun.

JMP ESP'nin doğrudan sabitlenmiş bir yığın adresine neden tercih edildiğini hatırlayın.

Artık yürütme akışını denetliyorsunuz:

• Kırılgan bir yığın adresi yerine EIP'nin üzerine bir JMP ESP aygıtının adresini yazın.
• 0x00 gibi hatalı karakterlerden kaçınarak aygıtı ASLR kullanmayan bir modülde bulun.
• Adresi little-endian biçiminde yazın ve kabuk kodundan önce bir NOP kızağı ekleyin.

Sonraki adımda kabuk kodu oluşturacak ve kabuk açacaksınız.