BROP

BROP对存在栈溢出的ELF进行指令盲注，Papper描述攻击可谓充满了艺术。要满足BROP，需要几个条件：１.进程crash后可以自动重启，类似于httpd、nginx等Daemned服务。2.进程通过fork重启、而非execve()，fork clone父进程状态，从而多次restart间能保持状态，如canary不变等。

指令盲注基于几个特性：

１.Stop gadgets，如sleep、loop代码，通过连接timeout来判定（non loss connection）。

2.trap gadgets,即crash gadgets，如 \0 pointer dereferences。

3.Probe  gadgets，当时正在探测。

盲注判断条件：

１.正常返回，nocrash。

2.超时返回，inf，即为stop gadgets。

3.丢失连接，crashed，即为stop gadgets。

攻击目标最终要拿到shell，即要指行execv('/bin/sh',0)，需要能够ret2plt执行（如果有execv），或者syscall execv。X86-64位机器下需要rax传syscall number，rdi、rsi、rdx传参。Paper通过 __libc_csu_init函数指令偏移解决了rdi和rsi问题：

pop RDX;ret在文件中罕见，使用strcmp系列函数来指定rdx：rdx保存cmp的内存字节数。

最后只缺RAX，这个使用ret2plt来绕过。　plt区域判断比较有艺术性，特征如下：

１.每个plt长20 bytes。

2.+6和+b两路径执行不会挂，+b为上面下箭头处，自己在栈上放plt num。

Paper exp使用ruby编写，有如下几个过程：

１.find_overflow_len，获取溢出长度，代码比较简单，暴力猜测。

2.find_rip　获取原RIP，同上，猜测各字节内容，单字节范围在(0-255)间，捕获inf和nocrash两种情况，inf即为stop gadget，nocrash为正确内容，另外rip有个判断条件

[0x400000,0x400000 + 0x600000]

内存:AAAAAAAAA + canary + rip。在找到rip之前，已经把canary找到了。有一段canary检查代码，又是一些特征的运用，文章作者几乎是二进制层面的hacker,canary８字节，最后一字节不为0。

3.find_inf 查找stop gadgets，即未断连接，但是超时返回gadget，从0x400000 + 0x1000，即0x401000开始，每隔0x10字节发送['AAAA'*olen,canary,addr,addr,DEATH]进行盲注，选择inf返回的addr，另外通过paranoid_inf()二次验证，二次验证规则如下：

验证5次，从inf addr + 0x10开始，每次地址+ 0x10，发送

['AAAA'*olen,canary,addr,addr +6,inf,inf]　注，本次发送未判断，及下面

['AAAA'*olen,canary,addr,addr +6,DEATH]，用判断plt逻辑来查找plt。在前面也提到了，对于plt，plt + 0,plt + 6,plt+b都会正常执行，不会死。

4.find_depth，查找嵌套函数调用深度。

i in 1..30层探测后面有几个ret指令，发送['AAAA'*olen,canary, @plt*i]，通过正常返回来判断(no_crash)，如５层调用堆栈如下

[canary,rip,rip,rip,rip,rip,others]，探测时栈变成[canary,plt,plt,plt,plt,plt,others] 这个地方有个bug，代码执行plt及其后指令，有可能其后就有crash指令

5.find_gadget 查找BROP，即__libc_csu_init6个连续pop，

addr 初始值设为@plt + 0x200（plt section或者text section），

while true 循环，addr + 7开始，每次探测地址+7（原因在后面有提)

一、通过check_instr() 来验证是否是六个brop。

a:depth为0时，发送

['AAAA'*olen,canary,addr,6个@plt,inf,inf,death]，通过返回值为inf来检测（probe addr为6个pop，会把6个@plt弹出，Paper用6个death，对应exp用6个plt，6个pop并ret之后来到inf）。

b，当depth> 0时，发送

['AAAA'*olen,canary,addr,6个@plt,@plt直到depth]，通过返回值为no_crash判断。这个地方和find_depth有同样的问题。

二、通过verify_gadget()做二次验证，同时设置RDI：

a.通过get_dist()函数探测left:pop rsp和right:pop rdi，这也是Paper最难理解的部分，上面提到了+7，下面解释为啥是+7，

６个连续pop+ret共11 bytes，如下：

加７是想让addr落到 pop rbp(第６个字节)处，

以depth=0为例，

a1:left探测(图pop rbp往上)， 发送

['AAAA'*olen,canary,(41 rex.B),6个@plt,inf,inf,death] 返回inf，正常

['AAAA'*olen,canary,(5c pop rsp),6个@plt,inf,inf,death]，pop rsp会令进程crash，与期望的inf相违背，异常，left为1。

a2:right探测(图pop rbp往下)，发送

['AAAA'*olen,canary,(41 rex.B),6个@plt,inf,inf,death]正常

['AAAA'*olen,canary,(5e pop rsi),6个@plt,inf,inf,death]正常

['AAAA'*olen,canary,(41 rex.B),6个@plt,inf,inf,death]正常

['AAAA'*olen,canary,(5f pop rdi),6个@plt,inf,inf,death]异常

pop rdi会令进程crash,这里有疑问，rdi不像rsp那样破坏堆栈，怎么会crash?

right为3.rex.b指令为amd64新增，扩操作数长度，单独执行不会crash，另有rex.w等。

通过left(1) + right(3) == 3做进一步校验，

获取ret: = gadget + right + 2，发送

['AAAA'*olen,canary,6个@ret,inf,inf,death]，通过返回值inf做进一步校验。

获取rdi = ret -1　，通过check_rdi_bad_inf()检验，发送

['AAAA'*olen,canary,death]让程序挂(why?)，通过test_vsyscall()验证，发送

['AAAA'*olen,canary,(time = VSYSCALL + 0x400),inf,inf,death]是否返回inf进一步校验

发送'AAAA'*olen,canary,death]让程序挂(why?)，

通过find_writable（）查找到写内存区域：

add从rip开始，循环检测，每次+0x10000，发送

['AAAA'*olen,canary,pop rdi,addr,(time = VSYSCALL + 0x400),inf,inf,death]，判断是否为inf来验证是否可写,

vsyscall + 400 time函数定义：time_t time(time_t *tloc)

通过vsyscall把返回的时间存到addr(pop rdi,addr实现参数)

通过check_rdi()做进一步校验，发送

['AAAA'*olen,canary,brop,6个death,inf,inf,death]，判断是否为inf校验。

通过paranoia_checks()做进一步检验，发送

['AAAA'*olen,canary,pop rdi,0,pop rsi,0,0,inf,inf,death] 判断是否为inf校验。

6.find_strcmp ，获取strcmp函数，设置rdx.

声明：int strcmp(const char *s1, const char *s2);

利用good/bad参数组合来校验，good参数:rip，俩bad参数 300和500，原理：

strcmp(bad,bad)/strcmp(bad,good)/strcmp(good,bad)都报错，

strcmp(good,good)成功返回。

另外还利用了vsyscall page最后一个字节：

strcmp(VSYSCALL + 0x1000 - 1,good)，超vsyscall page时正常返回，不会报错。

并把good地址存为strcmp_addr地址。

7.find_write()，查找write()函数

plt num 0至300循环探测，

7.1 max_fd上设置初始调用参数，write(fd,addr,len)相关参数

len参数通过strcmp设置：[@strcmp,@strcmp_addr,@strcmp_addr]

设置函数和第一二个参数:[pop rdi,max_fd,pop rsi,@strcmp_addr,0,@plt + 0xb,@write_plt_num]

注：plt+0xb进入plt第三条指令，直接jmp到plt start,后栈上存在@write_plt_num

7.2 chain多个socket write, for fd in [0,max_fd-1]:

设置rdi:[fd]。

设置调用函数[@plt + 0xb,@write_plt_num]

最后的发送rop为[@strcmp,@strcmp_addr,@strcmp_addr,pop rdi,max_fd,pop rsi,@strcmp_addr,0,@plt + 0xb,@write_plt_num, max_fd-1个 (pop rdi ,fd,@plt + 0xb,@write_plt_num),DEATH]

表示max_fd个write函数串起来向客户端写东西，总有一个会成功。

后面这个connection用一个select(conns,nil,nil)来做返回测试。

只要客户端接收到服务端的数据，即探测到write函数。这块牛Ｂ在探测多个fds。

８.find_fd，获取打开的句柄

循环10次，构造{fd:count(fd)} map,可用fd通过下面的do_find_fd实现：

do_find_fd  从20往下至0循环探测，发送

[@strcmp,@strcmp_addr,@strcmp_addr,pop rdi,fd,pop rsi,@strcmp_addr,0,@plt + 0xb,@write_plt_num,death]，即write(fd,strcmp_addr,len)，通过检测是否返回值来验证可用的fd。

最后保存被验证次数最多的fd，及最小、最大的fd。

另外设置@max_fd = 最大fd + 3

9.find_good_rdx，在比较内容小于16或者没找到strcmp \0地址的情况下，查找相对好的strcmp_addr，即cmp的地址内容足够长。

探测addr从strcmp_addr开始，循环探测，当探测到 \0时，addr + 8(６４位数）继续，未找到比16大的场景时，addr +（探测到的长度+１）　+１即跳过\0

[@strcmp,@strcmp_addr,@strcmp_addr,pop rdi,max_fd,pop rsi,@strcmp_addr,0,@plt + 0xb,@write_plt_num, max_fd-1个 (pop rdi ,fd,@plt + 0xb,@write_plt_num),DEATH]

根据read响应来判断，当read响应为０或者响应长度>16时，分别更新strcmp_zero地址和strcmp_addr。更长的响应代表找到更好的rdx。

10,dump_bin()方法，从服务端内存dump bin

addr 从0x400000循环，每次addr + dump_len

10.1 dump bin

fd in [0,max_fd] chain write，即write(fd0,addr,strcmp_len)|write(fd1,addr,strcmp_len)|...|write(max_fd,addr,strcmp_len)

注：本地没有在rop尾加death。

dump内容写本地文件。

10.2 analyze_bin，分析bin

10.2.1分析更长的字符串，更新strcmp_addr,以找到更大的rdx。

10.2.2分析dynamic string section，二进制正则

/[[:alnum:]]{4,}\0[[:alnum:]]{4,}/　即00([数据或者字符]{4,}0[数据或者字符]{4,})

string以\0结束，查找多个string.

10.2.3 find_sym分析查找dynamic symbol section,正则@bin.rindex(/\0{24}/, @dynstr)

@dynstr为10.2.2分析结果，ELF文件 dyn sym section在dyn str section正上面。

上术正则表示dyn str 上面第一个24个0区域

Elf64_Sym第一项全０，每项长度２４bytes。

10.2.4 dump_sym，解析dynamic symbol table

while 循环，循环起始地址是dynamic sym，结束条件是地址<dynamic str

数据解析成Elf64_sym结构数组。

10.2.5 dump_rel，解析relocation 结构

rela section 在dynstr之下

idx = @bin.index(/(.{8}\07\0\0\0.{4}\0{8}){3}/, @dynstr)

.{8}代表Elf64_Rela结构的r_offset成员，r_info由dynsym 索引和type组成

#define ELF64_R_INFO(sym,type) ((((Elf64_Xword) (sym)) << 32) + (type))

故\07\0\0\0表示 type为7即R_X86_64_JUMP_SLOT类型，.{4}表示sym ，即dynsym索引

\0{8}表示r_addend，R_X86_64_JUMP_SLOT relocation修正值为symbol value，无须r_addend。

num 即为dynsym num，这里需要提的是relocation table，做为桥梁把symbol定义和symbol引用结合在一块。symbol引用即为r_offset，也就是got地址(Dynamic通过got写引用)。symbol定义在dynsym中，通过 rela section的sh_link指向对应dynsym table，见https://www.intezer.com/executable-and-linkable-format-101-part-3-relocations/

最后构造对应的pltf map，这里relocation函数对应plt num。

10.2.6 find_gadgets,查找dump bin中的gadgets

即syscall、pop rax,pop rdx,pop rsi

10.3 build_exp_rop()构造 exp

用到如下函数

a

10.3.1　构造sleep函数调用 sleep(delay) or usleep(1000 * 1000 * delay)

10.3.2   构造read(expfd,writable) & write(expfd,writable)调用

注：writable为@got_end + 100,进入data section

10.3.3 dup fd to 0,1,2

dup2存在时构造set_plt(rop, dup2, expfd, fd)或者　close and fcntl存在时

即把网络fd　map到std_in、std_out、std_err上，从而完成read和write操作。

10.3.4，执行execve('/bin/sh',0,0)，通过execve plt或者syscall　execve

最终的rop+death。

11.正式exp。

11.1通过10.3生成exp rop

11.2生成50个链接

11.3发送11.1生成的exp，发送链接放入11.2中，共51个链接

11.4往51个链接发送'/bin/sh'字串，以便写入服务端data section中

11.5 find_sock()找到有影响的链接，这时候服务端已经read数据到data section，同时会write 同一区域数据到客户端，需判断是否包括'/bin/sh'字串。

11.6到此可以输入shell command。

.............................................................DONE...................................................……