在启用了NX(DEP)和ASLR的x86-64上利用基于字符串的溢出

Question

考虑以下易受攻击的代码/程序:

#include <string.h>

int main(int argc, char *argv[]) {
    char buf[16];
    strcpy(buf, argv[1]);

    return 0;
}

在启用了NX和ASLR的运行Linux的IA-32(x86,32位)上,我将使用GOT覆盖技术来利用它,它基本上包括以下步骤:

1. 溢出缓冲区直到RIP
2. 使用地址覆盖RIP strcpy@plt
3. 使用干净的小工具.text,例如pop edi ; pop ebp ; ret,作为返回地址strcpy
4. 写入以下参数strcpy:&bss-address as destination和one byte of /bin/shusing.text
5. 重复步骤2-4直到/bin/sh完全写入&bss
6. 覆盖GOT-entry strcpywith system(使用偏移量,需要了解Libc的使用版本 - 让我们在这里忽略它)
7. 写入strcpy@plt堆栈,然后写入一些4字节的块,最后&bss指向的地址/bin/sh
8. 利润

我想在x86-64上利用这一点,同时启用相同的缓解措施.但这更像想象的那样困难.基本上由于以下原因:

1. x86-64基于寄存器的调用约定:函数参数使用寄存器而不是堆栈传递.因此,需要一些额外的ROP小工具将参数从堆栈传输到适当的寄存器中.这是一个小问题,但也受以下问题的影响:

2. 64位返回地址:x86-64中的RIP指向.text甚至不是32位长的RIP .因此,必须在堆栈上写入NULL字节以进行链函数调用.基本上,可以使用链式调用写入尽可能多的NULL字节,strcpy并利用NULL终止字符strcpy 始终写入.但是,只能strcpy通过覆盖RIP的最低有效字节来调用一次.

   |0x00000000|        (most significant bytes)
   |0x00deadbe| <- RIP (least significant bytes)
   |0x41414141|
   |0x41414141| <- SFP
   |   ...    | 
   

这些是我在启用NX和ASLR的x86-64上利用该程序时遇到的主要问题.有没有解决这些问题的技术？或者x86-64真的阻止了一个可行的,开壳的漏洞吗？

Answer 1

x86-64 无法阻止此类攻击。请参阅本教程。