problema ret2libc sacando direccion d memoria system()

[rmdma()]

buenas xaki

estoy tratando d explotar un programilla, peo al sacar la direccion de system, me duelve una direccion de 3bytes , system()->0x168950 , el problema es k no me accede a esa direccion por que supongo que correra parte de otra direccion pa llenar los 4 bytes, nose haber si alguien puede echarme un cable!

[Ivanchuk]

No podes meter bytes nulos?
La pila no es ejecutable ?
Si no podes pasar bytes nulos podes intentar buscando pedazos de codigos, en las libs o tu modulo, que te sean utiles para formar la direccion de system que buscas a partir de bytes no nulos.

Estas en windows o linux?

[rmdma()]

estoy trabajando bajo mac pero tngo una maquina virtual con ubuntu 11,  como puedo hacer para cambiar byte nulos?

[rmdma()]

entonces el problema es la direccion corta o los bytes nulos o las 2?

grcias x kontestar

[Ivanchuk]

El hecho que haya bytes nulos te complica la vida, si es que es una cadena que le estas pasando.
La direccion es corta porque debe ser la que va directamente hacia libc, a mi me pasa lo mismo en linux. Danos mas detalles, que programa intentas explotar?

Una solucion para tener una direccion sin bytes nulos seria usar la PLT del programa vulnerable, pero la entrada de system no la vas a tener si no es usada por el programa. Si es algo que escribiste vos para testear el ret2libc podes probar de agregarla a mano:

Código (bash) [Seleccionar] Expandir


if (argc < 0)
system("no se va a ejecutar");


Y ahi te deberia aparecer. En gdb la sacas con "x system" y te deberia dar una direccion dentro del espacio del programa vulnerable.

Proba asi, sino va a ser mas dificil explotarlo.

Saludos.

[rmdma()]

Código [Seleccionar] Expandir

#include <stdio.h>
#include <string.h>

fvuln(char *temp1, char *temp2)
{
  char name[512];

  strcpy(name, temp2);
  printf("Hello, %s %s\n", temp1, name);
}

int main(int argc, char *argv[])
{
  fvuln(argv[1],argv[2]);
  printf("Bye %s %s\n", argv[1], argv[2]);

  return 0;
}

el programa es este en concreto el q trato de explotar, estoy siguiendo un paper de los SET, te voy a dejar el link del paper

http://www.set-ezine.org/ezines/set/37/0x05.txt

Código [Seleccionar] Expandir


gdb> p system
0x168950


[Ivanchuk]

Ah, bueno como te decia agregale el if y busca la dir de system en la plt:

Código (bash) [Seleccionar] Expandir


#include <stdio.h>
#include <string.h>

fvuln(char *temp1, char *temp2)
{
   char name[512];

   strcpy(name, temp2);
   printf("Hello, %s %s\n", temp1, name);
}

int main(int argc, char *argv[])
{
   fvuln(argv[1],argv[2]);
   printf("Bye %s %s\n", argv[1], argv[2]);
   
   if (argc < 0)
      system("");


   return 0;
}


Y en gdb la sacas asi:

Código (bash) [Seleccionar] Expandir


p 'system@plt'