ROP(Return Oriented Programming)原理解析

た入场券 2022-12-08 01:39 111阅读 0赞

先看一个代码：

#include <stdio.h>
    #include <stdlib.h>
    
    // 下面的dummy_libc_part1和dummy_libc_part2假设是GLIBC库里的任意两段函数
    void dummy_libc_part1()
    { 
    	// ... 这里可能会有别的指令
    	__asm("mov 0(%rsp), %rdi");
    	__asm("popq %r13");
    	__asm("call *%r14");
    	__asm("ret");
    	// ... 这里可能会有别的指令
    }
    
    void dummy_libc_part2()
    { 
    	// ... 这里可能会有别的指令
    	__asm("popq %r14");
    	__asm("ret");
    	// ... 这里可能会有别的指令
    }
    
    int main(int argc, char **argv)
    { 
    	__asm("pushq $0x400545");
    	__asm("pushq $0x62");
    	__asm("pushq $0x400521");
    	__asm("pushq $0x400400");
    	__asm("pushq $0x40052f");
    	__asm("ret");
    	printf(".");
    }

猜猜会是什么结果？不要试图去编译运行，它在你的机器上不一定和我们的机器上表现一致。

我们假设dummy\_libc\_part1/dummy\_libc\_part2均是已经存在的序列，类似GLIBC中那样的，那么利用这些指令序列，不需要写任何指令，只需要在stack上堆砌数据，就可以实现程序逻辑的任意跳转。这就是ROP！利用现成的ret指令，精心布置stack上的内容，实现代码注入。

在一个程序的地址空间中，我们最容易touch的地方，也就是stack了，如此一来，ROP的一个首要问题就是如何巧妙在stack布置数据。

GLIBC是个指令序列的宝库，在里面你可以找到几乎任何可以利用的序列。但问题就在于你如何把一些零散的序列拼接成基于push/call和return/pop的逻辑，这并不是一件容易的事，就好像李白的诗中的每一个字都在字典中，但给你一本字典你却写不出李白级别的诗。

还是看下本文最初代码中stack的堆砌逻辑吧：  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2RvZzI1MA_size_16_color_FFFFFF_t_70_pic_center]

在ROP实践中，肯定不会像上述代码一样采用push的方式进行stack构建，而是采用缓冲区溢出的方式。拥有缓冲区溢出漏洞的最臭名昭著的比方说字符串函数。

不过在x86\_64体系结构中，字符串函数终于被洗白了，因为进程地址空间的高16bit强制为0，这意味着使用见0截断的字符串函数来进行溢出时，最多只能覆盖一个地址。类似下面的stack frame，用字符串函数是万万不能构建的：

0x00007fffffffe498
    0x00007fffffffe3b0
    0x00007fffffffdcb8
    0x00007ffff7aa39aa

因此，ROP的编写是极具技巧性的手艺，你的任务就是在GLIBC或者被注入进程所link的LIB中寻找可以利用的指令序列。原理只是让你理解字词句段篇章，而真正的断章取义，则是一种艺术。

如今的系统均自带了ASLR(Address space layout randomization)保护，因此，即便你成功hack了一个程序，hack代码也是不可重用，你不得不每次做一遍相同的艺术性的工作，当这种工作不断重复后，它也就不再是一种艺术了，实施者也随即退化成了产线工人。

而不是经理。

--------------------

浙江温州皮鞋湿，下雨进水不会胖。

[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2RvZzI1MA_size_16_color_FFFFFF_t_70_pic_center]: /images/20221123/e4fa74e0e2a142758b33d80e59a11b7a.png