pwn.college - Return Oriented Programming - Techniques

Summary

Dans cette vidéo, l'instructeur explore les concepts et techniques avancés de la programmation orientée retour (ROP). Il couvre des stratégies pour stocker des données dans une chaîne ROP, comment gérer les gadgets de nettoyage, et l'importance des gadgets de type 'ret' et 'pop'. Il explique aussi comment utiliser des instructions de type 'exchange' et 'add' pour manipuler la pile et les registres. L'instructeur met également en avant les outils modernes pour trouver des gadgets ROP et comment éviter les pièges courants dans la construction de chaînes ROP complexes, tout en partageant des conseils pratiques pour les utilisateurs dans un contexte de capture de drapeau.

Takeaways

• 😀 Lorsque vous créez un shellcode, il est important de savoir où stocker les données sur la pile. Vous pouvez utiliser des instructions comme 'lea' (load effective address) pour pointer vers des chaînes de caractères comme '/flag'.
• 😀 Lorsque vous créez une chaîne ROP, veillez à ne pas traiter vos données comme une adresse de retour. Utilisez des gadgets de nettoyage de pile pour éviter des problèmes lors de l'exécution.
• 😀 Les gadgets de nettoyage de pile, ou 'janitorial gadgets', sont essentiels pour éliminer les données corrompues ou inutiles sur la pile, ce qui facilite l'exécution de chaînes ROP complexes.
• 😀 Pour stocker des valeurs dans vos registres, vous pouvez utiliser des gadgets qui effectuent des opérations comme 'pop rdi' ou 'pop rsi' pour charger des valeurs spécifiques dans les registres avant de les utiliser dans une chaîne ROP.
• 😀 Les gadgets courants incluent des instructions comme 'ret', 'leave' et 'pop' pour divers registres. Ces gadgets sont très utiles pour manipuler l'exécution du programme dans une chaîne ROP.
• 😀 Une technique courante pour faciliter une chaîne ROP est l'utilisation d'un 'ret sled', où plusieurs gadgets 'ret' sont empilés pour couvrir la pile et exécuter progressivement votre chaîne ROP.
• 😀 L'instruction 'leave' est courante dans les fonctions, mais elle peut causer des problèmes si le registre 'rbp' est corrompu. Soyez vigilant lors de son utilisation dans une chaîne ROP.
• 😀 Pour transférer des adresses dans des registres, vous pouvez utiliser des gadgets qui manipulent l'adresse de la pile, comme 'push rsp; pop rax' ou des alternatives comme 'add rax, rsp'.
• 😀 Les échanges de registres comme 'exchange rax, rsp' sont puissants, mais dangereux, car ils modifient le pointeur de pile, ce qui peut entraîner des effets indésirables si mal utilisés.
• 😀 Pour rechercher des gadgets ROP, utilisez des outils comme 'rp++' qui vous permettent de trouver rapidement des gadgets dans un binaire. Vous pouvez ensuite filtrer les gadgets utiles en utilisant des expressions régulières.
• 😀 La compréhension de l'environnement du programme est cruciale pour exploiter efficacement une chaîne ROP. Analysez les valeurs des registres et de la pile avant de commencer votre attaque.

Q & A

Qu'est-ce que la programmation orientée retour (ROP) et pourquoi est-elle importante ?

La programmation orientée retour (ROP) est une technique d'exploitation utilisée pour contourner les protections de sécurité des systèmes, notamment la protection contre l'exécution de code et la protection de la pile. Elle permet à un attaquant de manipuler le contrôle de l'exécution d'un programme en enchaînant des 'gadgets' (petites séquences d'instructions) pour effectuer des actions malveillantes sans nécessiter d'injection directe de code malveillant.

Pourquoi est-il important de gérer correctement l'emplacement de stockage des données dans une chaîne ROP ?

Il est essentiel de gérer correctement l'emplacement de stockage des données dans une chaîne ROP pour éviter d'écraser les adresses de retour ou d'interférer avec d'autres valeurs de registre utilisées dans la chaîne. Cela garantit que les gadgets sont correctement exécutés et que l'exécution ne se termine pas de manière inattendue ou ne provoque pas de plantage du programme.

Que sont les 'gadgets' janitoriels dans une chaîne ROP ?

Les 'gadgets' janitoriels sont des gadgets conçus pour nettoyer ou ajuster l'état de la pile ou des registres dans une chaîne ROP. Ils sont utilisés pour contourner des problèmes tels que des données corrompues ou mal alignées sur la pile, permettant ainsi de s'assurer que les données nécessaires sont correctement manipulées sans compromettre l'exécution de la chaîne.

Comment fonctionne un gadget qui 'pop' un registre dans une chaîne ROP ?

Un gadget qui 'pop' un registre extrait une valeur de la pile et la place dans un registre spécifié. Cela permet de manipuler directement les valeurs des registres pour stocker des données importantes, comme des adresses ou des chaînes de caractères, sans avoir à les coder directement dans la chaîne ROP.

Quel est l'intérêt d'utiliser des gadgets 'ret' dans une chaîne ROP ?

Les gadgets 'ret' (retour) sont utilisés pour gérer le flux de contrôle dans une chaîne ROP. Ils permettent de manipuler l'adresse de retour dans la pile pour faire sauter d'autres instructions, en créant des 'sleds' de retours qui peuvent enchaîner plusieurs gadgets sans interrompre l'exécution. C'est une méthode efficace pour surmonter les protections de la pile.

Quels sont les risques associés à l'utilisation du gadget 'leave' dans une chaîne ROP ?

Le gadget 'leave' peut être risqué car il déplace le pointeur de pile (RSP) et restaure le pointeur de base (RBP). Si le RBP est corrompu ou mal configuré, cela peut entraîner une manipulation incorrecte de la pile, provoquant des erreurs d'exécution ou un comportement inattendu du programme.

Pourquoi certains gadgets de ROP peuvent sembler rares dans les binaires ?

Certains gadgets de ROP, en particulier ceux qui impliquent des instructions longues comme 'load effective address', sont rares parce qu'ils occupent plus d'espace dans le binaire. De plus, certains gadgets peuvent ne pas être trouvés facilement si les instructions sont mal alignées ou si les gadgets sont situés au début des fonctions.

Quelle est la fonction d'un 'stack pivot' dans une chaîne ROP et quand est-il nécessaire ?

Un 'stack pivot' permet de modifier l'emplacement de la pile pendant l'exécution d'une chaîne ROP. Cela peut être nécessaire si la pile actuelle est trop limitée pour contenir un grand nombre de gadgets ou si l'on veut éviter des restrictions imposées par le programme. Le 'stack pivot' permet de rediriger la pile vers une adresse plus favorable pour continuer l'exécution de l'attaque.

Comment la technique 'exchange rax, rsp' peut-elle être dangereuse dans une chaîne ROP ?

'Exchange rax, rsp' échange les registres RAX et RSP, ce qui peut avoir des conséquences dangereuses si RAX pointe vers une adresse incorrecte. Cela peut perturber la pile et l'exécution de la chaîne ROP, car le retour à une mauvaise adresse peut entraîner une écriture ou une lecture de données non souhaitées, provoquant des erreurs ou des crashes.

Qu'est-ce que le 'syscall' et pourquoi est-il rare dans une chaîne ROP ?

Le 'syscall' est une instruction utilisée pour effectuer des appels systèmes directement depuis le code. Cependant, il est rare dans une chaîne ROP car la plupart des programmes modernes ne contiennent pas cette instruction de manière évidente. Les attaquants doivent souvent appeler des fonctions de bibliothèques (par exemple, dans la table des liaisons de procédure) plutôt que d'utiliser des appels systèmes directs.