scryptosオンサイト勉強会のスライドです

1. ASLR+PIEのbypass方法

2. 自己紹介
● るくす(@RKX1209)
● 神戸大学 情報知能工学科 B3 20歳
● kernelが好き(pwnもkernel exploitがやりたくて
始めました)
● 最近はCTFも少し

3. ASLRとは
● Adress Space Layout Randomizationの略
● アドレス空間をランダム化する技術
● 攻撃者が事前にアドレスを予測する事が困難に
なりexploitの成功率が格段に下がる
● 最近のCTFでは殆どASLR環境が多い(ような気
がする)

4. PIEとは
● Position Independent Executableの略
● EIPを動的に取得するようなバイナリを生成(こ
れにより位置独立となる)
● libcアドレスに加え、 .text .got .pltなどのセク
ションもランダム化される

5. ASLR+PIE
● ASLR環境下でPIEバイナリを実行させるとほぼ全て
のセクションアドレスがランダム化される
● ASLR onlyならばbypass手法はいろいろある
が、GOTやPLTアドレスを利用しているケースが多い
● →よってGOTやPLTアドレスが予測不可能になると殆
ど使い物にならない
● 非常に厄介
● しかしその厄介さ故に攻撃手法が限られてくる

6. ASLR+PIE bypass手法
● ulimit -s unlimited
● Brute force
● Partial overwrite
● Information leak
● Information leak(+ ret2vuln)

7. ulimit -s unlimited
● ulimit -s unlimitedを実行しスタックサイズを無
限に指定する事でASLRが無効になる
● root権限は必要ない
● カーネルの実装に依存
● ターゲットのサーバーにログインできる事が前
提

8. Brute force
● ランダム化されたアドレスを総当りで求める力技
● 32bitアドレスなら2^32通り全て試すことも可
● 実際は全て試す必要はない(意外とエントロピーが低い)
● 例えば0xb7X??000(X=5 or 6)などかなり絞られているケー
スがある(カーネルの実装依存)
● [欠点] 64bitアドレスには使えない,サーバーに負荷をかける
ため大会では禁止されているケースが多いなど

9. Partial overwrite
● アドレスの一部(下位バイト)のみを書き換える手法
● リトルエンディアンの場合0x12345678はスタック上で
0x78563412と格納されている
● よってBofなどにより例えば0x78の下位2バイトのみを書
き換える事で、近いアドレスにジャンプさせる事ができ
る。
● [欠点]飛ばせる先が限られている(他の手法と組み合わせ
て使う場合が多い),リトルエンディアンでしか使えない

10. Information leak
● FSBやBuffer-over-Readを利用してアドレスなどの必要な情
報を得る手法
● libcやplt(got)といったアドレスの情報が動的に得られるた
め、これを利用してret2libcやROPにつなげられる
● SSPなどの情報も得られるためかなりのセキュリティ機構を
bypassできる
● さいつよ
● [欠点]情報を何度も読める必要がある。Buffer-over-Readが成
功してもその後コネクションが切られれば意味がない。1回
キリの実行バイナリには弱い

11. Information leakの欠点回避
● 一度キリで処理が終了してしまう場合return-to-vuln
を利用するとうまく行く事がある
● return-to-vulnという名前はinaz2さんによる物(もも
テク参照)
● 脆弱性のある関数に繰り返しreturnする事で何度も
攻撃を行うというもの
● これにより何度もinformation leakを繰り返し、必要
な情報を取得した後適切な攻撃を行う事ができる

12. Information leakの欠点回避(手順)
● まず脆弱性のある関数FにおいてInformation
leakを行い必要な情報を取得する
● Partial overwriteによりreturnアドレスを関数F
の先頭に上書きし、再度Fを実行する
● 上記同様Information leakを行う。これを必要な
情報が得られるまで繰り返す
● 最後にlibcなどに飛び攻撃を行う

13. まとめ
● Information leak+Partial overwrite+return-to-
vuln+(行いたい攻撃)が非常に強い
● Information leakが使えない場合はかなり無理
ゲー化してくる