Android ARM32 ROP level8学习笔记

2018年12月16日 by Guge Leave a Comment

首先Android上的ASLR是伪ASLR，因为所有程序都是由zygote fork出来的，因此系统中的所有library的基址都是相同的，并且和zygote的内存布局一样，可以通过cat /proc/xxx/maps得到证实：

#!bash
root@hammerhead:/ # cat /proc/1698/maps
400e8000-400ed000 r-xp 00000000 b3:19 8201       /system/bin/app_process
400ed000-400ee000 r--p 00004000 b3:19 8201       /system/bin/app_process
400ee000-400ef000 rw-p 00005000 b3:19 8201       /system/bin/app_process
400ef000-400fe000 r-xp 00000000 b3:19 8248       /system/bin/linker
400fe000-400ff000 r-xp 00000000 00:00 0          [sigpage]
400ff000-40100000 r--p 0000f000 b3:19 8248       /system/bin/linker
40100000-40101000 rw-p 00010000 b3:19 8248       /system/bin/linker
40101000-40104000 rw-p 00000000 00:00 0 
40104000-40105000 r--p 00000000 00:00 0 
40105000-40106000 rw-p 00000000 00:00 0          [anon:libc_malloc]
40106000-40109000 r-xp 00000000 b3:19 49324      /system/lib/liblog.so
40109000-4010a000 r--p 00002000 b3:19 49324      /system/lib/liblog.so
4010a000-4010b000 rw-p 00003000 b3:19 49324      /system/lib/liblog.so
4010b000-40153000 r-xp 00000000 b3:19 49236      /system/lib/libc.so
40153000-40155000 r--p 00047000 b3:19 49236      /system/lib/libc.so
40155000-40158000 rw-p 00049000 b3:19 49236      /system/lib/libc.so



root@hammerhead:/ # cat /proc/1720/maps
400e8000-400ed000 r-xp 00000000 b3:19 8201       /system/bin/app_process
400ed000-400ee000 r--p 00004000 b3:19 8201       /system/bin/app_process
400ee000-400ef000 rw-p 00005000 b3:19 8201       /system/bin/app_process
400ef000-400fe000 r-xp 00000000 b3:19 8248       /system/bin/linker
400fe000-400ff000 r-xp 00000000 00:00 0          [sigpage]
400ff000-40100000 r--p 0000f000 b3:19 8248       /system/bin/linker
40100000-40101000 rw-p 00010000 b3:19 8248       /system/bin/linker
40101000-40104000 rw-p 00000000 00:00 0 
40104000-40105000 r--p 00000000 00:00 0 
40105000-40106000 rw-p 00000000 00:00 0          [anon:libc_malloc]
40106000-40109000 r-xp 00000000 b3:19 49324      /system/lib/liblog.so
40109000-4010a000 r--p 00002000 b3:19 49324      /system/lib/liblog.so
4010a000-4010b000 rw-p 00003000 b3:19 49324      /system/lib/liblog.so
4010b000-40153000 r-xp 00000000 b3:19 49236      /system/lib/libc.so
40153000-40155000 r--p 00047000 b3:19 49236      /system/lib/libc.so
40155000-40158000 rw-p 00049000 b3:19 49236      /system/lib/libc.so

1

2

3

4

5

6

7

8

9

10

11

12

13

14

15

16

17

18

19

20

21

22

23

24

25

26

27

28

29

30

31

32

33

34

35

36

37

38

#!bash

root@hammerhead:/ # cat /proc/1698/maps

400e8000-400ed000 r-xp 00000000 b3:19 8201 /system/bin/app_process

400ed000-400ee000 r--p 00004000 b3:19 8201 /system/bin/app_process

400ee000-400ef000 rw-p 00005000 b3:19 8201 /system/bin/app_process

400ef000-400fe000 r-xp 00000000 b3:19 8248 /system/bin/linker

400fe000-400ff000 r-xp 00000000 00:00 0 [sigpage]

400ff000-40100000 r--p 0000f000 b3:19 8248 /system/bin/linker

40100000-40101000 rw-p 00010000 b3:19 8248 /system/bin/linker

40101000-40104000 rw-p 00000000 00:00 0

40104000-40105000 r--p 00000000 00:00 0

40105000-40106000 rw-p 00000000 00:00 0 [anon:libc_malloc]

40106000-40109000 r-xp 00000000 b3:19 49324 /system/lib/liblog.so

40109000-4010a000 r--p 00002000 b3:19 49324 /system/lib/liblog.so

4010a000-4010b000 rw-p 00003000 b3:19 49324 /system/lib/liblog.so

4010b000-40153000 r-xp 00000000 b3:19 49236 /system/lib/libc.so

40153000-40155000 r--p 00047000 b3:19 49236 /system/lib/libc.so

40155000-40158000 rw-p 00049000 b3:19 49236 /system/lib/libc.so

root@hammerhead:/ # cat /proc/1720/maps

400e8000-400ed000 r-xp 00000000 b3:19 8201 /system/bin/app_process

400ed000-400ee000 r--p 00004000 b3:19 8201 /system/bin/app_process

400ee000-400ef000 rw-p 00005000 b3:19 8201 /system/bin/app_process

400ef000-400fe000 r-xp 00000000 b3:19 8248 /system/bin/linker

400fe000-400ff000 r-xp 00000000 00:00 0 [sigpage]

400ff000-40100000 r--p 0000f000 b3:19 8248 /system/bin/linker

40100000-40101000 rw-p 00010000 b3:19 8248 /system/bin/linker

40101000-40104000 rw-p 00000000 00:00 0

40104000-40105000 r--p 00000000 00:00 0

40105000-40106000 rw-p 00000000 00:00 0 [anon:libc_malloc]

40106000-40109000 r-xp 00000000 b3:19 49324 /system/lib/liblog.so

40109000-4010a000 r--p 00002000 b3:19 49324 /system/lib/liblog.so

4010a000-4010b000 rw-p 00003000 b3:19 49324 /system/lib/liblog.so

4010b000-40153000 r-xp 00000000 b3:19 49236 /system/lib/libc.so

40153000-40155000 r--p 00047000 b3:19 49236 /system/lib/libc.so

40155000-40158000 rw-p 00049000 b3:19 49236 /system/lib/libc.so

[详细阅读…]

Android ARM 32 ROP学习&爬坑记

2018年11月5日 by Guge Leave a Comment

一、首先编写level6.c文件，代码如下：

#include<stdio.h>
#include<stdlib.h>
#include<unistd.h>

void callsystem()
{
	system("/system/bin/sh");
}

void vulnerable_function() {
	char buf[128];
	read(STDIN_FILENO, buf, 256);
}

int main(int argc, char** argv) {
	if (argc==2&&strcmp("passwd",argv[1])==0)
		callsystem();
		write(STDOUT_FILENO, "Hello, World\n", 13);
		vulnerable_function();
}

1

2

3

4

5

6

7

8

9

10

11

12

13

14

15

16

17

18

19

20

#include<stdio.h>

#include<stdlib.h>

#include<unistd.h>

void callsystem()

{

system("/system/bin/sh");

}

void vulnerable_function() {

char buf[128];

read(STDIN_FILENO, buf, 256);

}

int main(int argc, char** argv) {

if (argc==2&&strcmp("passwd",argv[1])==0)

callsystem();

write(STDOUT_FILENO, "Hello, World\n", 13);

vulnerable_function();

}

二、使用arm-linux-gcc编译，开始使用的是win10自带的ubuntu16.04编译，发现死活安装不了arm-linux-gcc的交叉编译环境，各种报错（坑）。最后果断用了自己的Centos虚拟机，妥妥的一次OK（编译时这里有个坑，开始没有使用-static参数编译，发现编译后的level6执行时提示错误）：

#./arm-linux-gcc level6.c -o level6 -static -fno-stack-protector

1	#./arm-linux-gcc level6.c -o level6 -static -fno-stack-protector

三、需要使用socat这个神器，但是android的LINUX上没有该工具，于是又是一番Google（继续跳坑），找到一个android下使用的socat，另外还有两个神器，一起打包的下载地址：

打包下载

[详细阅读…]

一周信息安全干货分享【第140期】

2018年10月15日 by Guge Leave a Comment

安全资讯

1.PS4 玩家遭到基于消息的拒绝访问攻击

PS4 玩家报告，他们通过主机的消息应用收到陌生人的消息之后整个系统遭到硬锁定，重启之后也没能恢复

2.首个在 F-Droid 上发布的端对端加密邮件服务 Tutanota

Linux Journal 介绍了支持端对端加密的安全邮件服务 Tutanota

3.PaX/Grsecurity发布Respectre编译器插件

近日，美国开源安全厂商Open Source Security Inc.公布了PaX/Grsecurity最新的基于GCC编译器插件Respectre

技术干货

1.Git Submodule 漏洞(CVE-2018-17456)分析

国庆节的时候，Git爆了一个RCE的漏洞

2.Not a fair game, Dice2win 公平性分析

Dice2win 目前是以太坊上一款异常火爆的区块链博彩游戏

[详细阅读…]

一周信息安全干货分享【第139期】

2018年10月9日 by Guge Leave a Comment

安全资讯

1.PaX/Grsecurity发布Respectre编译器插件

近日，美国开源安全厂商Open Source Security Inc.公布了PaX/Grsecurity最新的基于GCC编译器插件Respectre

2.中国究竟有没有利用微型芯片渗透亚马逊和苹果？

上一篇文章介绍了中国利用微型芯片渗透亚马逊和苹果的技术可行性，但技术可行不代表事实如此

3.源自中国的软件供应链攻击

彭博商业周刊在报道了硬件供应链攻击之后，又报道了软件方面的供应链攻击

4.平台固件安全防御

美国安全厂商PreOS Security在2018年感谢系统管理员日为系统管理员们献上了一份大礼

5.Intel ME制造模式漏洞曝光

俄罗斯厂商Positive Technologies的安全研究人员公开了借助Intel ME的制造模式（俄文版本）实现INTEL-SA-00086的漏洞利用

6.Facebook 遭网络攻击影响五千万用户

Facebook 举行新闻发布会（发布会文字记录，PDF 格式），宣布遭到网络攻击

[详细阅读…]

一周信息安全干货分享【第138期】

2018年9月26日 by Guge Leave a Comment

安全资讯

1.腾讯安全工程师利用酒店 WiFi 漏洞访问内部服务器被罚 5000 美元

腾讯的一位安全工程师在出席新加坡举行的网络安全会议期间将入侵酒店 WiFi 系统作为消遣

2.加州考虑禁止默认密码

加州参议院向州长 Jerry Brown 递交法律草案

3.“我是管理员” bug 将西部数据的 My Cloud 设备变成每个人的云

Securify 的安全研究人员披露了西部数据 My Cloud 的一个漏洞

4.新蛋的结帐页面被植入窃取信用卡数据的恶意代码

美国消费者电子产品零售商新蛋的结帐页面被植入了窃取信用卡数据的恶意代码，时间长达一个月之久

5.华住称在暗网出售其数据的嫌疑人已被捕

上月底，有黑客被发现正在“中文暗网市场交易网站”出售华住集团旗下酒店的数据库

6.恶意 Kodi 扩展将用户的机器变成矿机挖掘门罗币

流行的开源多媒体播放器 Kodi 支持扩展，部分扩展支持盗版内容

[详细阅读…]

一周信息安全干货分享【第137期】

2018年9月17日 by Guge Leave a Comment

安全资讯

1.恶意 Kodi 扩展将用户的机器变成矿机挖掘门罗币

流行的开源多媒体播放器 Kodi 支持扩展，部分扩展支持盗版内容

2.研究人员警告现代计算机都易受冷启动攻击

F-Secure 的安全研究人员重新发现了冷启动攻击，该漏洞影响几乎所有现代计算机

3.云服务攻击突显供应链风险

去年中国黑客组织 Red Apollo（aka APT10）发动了史上规模最大的持续全球网络间谍攻势之一

4.流行 VPN 包含允许执行任意代码的安全漏洞

Cisco Talos 安全研究员报告，流行 VPN 软件 ProtonVPN 和 NordVPN 存在能导致任意代码执行的漏洞

5.趋势科技声称它的数据收集是一次性的，是出于安全目的

安全公司趋势科技旗下的软件被发现会收集用户的浏览历史并上传到其服务器上

[详细阅读…]

一周信息安全干货分享【第136期】

2018年9月10日 by Guge Leave a Comment

安全资讯

1.研究人员利用来自扬声器的声纳信号窃取解锁模式

兰开斯特大学的研究人员在预印本网站 arXiv 发表论文，演示了利用智能手机麦克风和扬声器来窃取解锁模式

2.MEGA 官方 Chrome 扩展被加入窃取密码和数字货币私钥的恶意代码

未知攻击者向 Google 官方扩展商店 Google Chrome webstore 上传了文件共享服务 MEGA.nz 的一个木马版本

3.7500 台 MikroTik 路由器被植入挖矿代码和流量转发

奇虎旗下的安全实验室报告，7500+ 台 MikroTik 路由器被植入挖矿代码并将用户流量转发给攻击者指定的 IP 地址

4.Mozilla 公布 DNS over HTTPS 实验结果

Mozilla 早些时候发布了 Firefox 的 Nightly 版本，引入了 DNS over HTTPS (DoH) 功能

5.ECSHOP多个版本远程代码执行漏洞

漏洞预警

[详细阅读…]

一周信息安全干货分享【第135期】

2018年9月4日 by Guge Leave a Comment

安全资讯

1.Google 披露 Fortnite Android 版安全漏洞，Epic 抨击 Google 不负责任

Epic 的热门大逃杀游戏 Fortnite 已发布了 Android 的 Beta 版本，但它没有通过 Google 控制的应用商店发布

2.黑客在暗网出售华住酒店记录

有黑客正在“中文暗网市场交易网站（需注册，需 Tor 浏览器）”出售华住集团旗下酒店的数据库

3.千名西澳大利亚公务员用 password123 作为密码

西澳大利亚州的审计长公布了该州的安全审计报告（PDF），发现 26% 的政府公务员使用了弱密码

4.OpenBSD 停用英特尔处理器的超线程功能

OpenBSD 创始人在邮件列表上宣布 OpenBSD -current（6.4）将停用英特尔处理器的超线程功能

技术干货

1.ecshop2.x 代码执行

问题发生在user.php的display函数，模版变量可控，导致注入

[详细阅读…]

一周信息安全干货分享【第134期】

2018年8月21日 by Guge Leave a Comment

安全资讯

1.高功率设备组成的物联网僵尸网络能干扰电网

物联网设备以不安全著称，利用物联网僵尸网络，攻击者可以发动各种攻击

2.恶意传真向黑客打开企业内网之门

利用 1980 年代定义传真信息格式的协议漏洞，恶意传真图像能让黑客悄悄潜入企业内网

3.深圳警方破获拦截短信盗刷银行卡的犯罪团伙

“一夜醒来，卡上存款不翼而飞。”近期，全国多地接连发生银行卡被盗刷案件，引起了网民广泛关注。

4.TLS 1.3 正式版释出

互联网工程指导委员会(IETF)释出了传输层安全性协议的最新版本 TLS 1.3

5.研究人员披露英特尔处理器新漏洞

德国 Saarland 大学的两名研究人员公布论文《ret2spec: Speculative Execution Using Return Stack Buffers》（PDF）

6.黑客利用友讯路由器漏洞改变 DNS 设置诱骗用户访问假的银行网站

黑客正在利用友讯路由器漏洞的改变 DNS 设置诱骗用户访问假的银行网站窃取登录凭证

[详细阅读…]

Art模式下的通用脱壳

2018年8月20日 by Guge Leave a Comment

参考文章：http://www.freebuf.com/articles/terminal/166307.html

国外大神源码：https://github.com/CheckPointSW/android_unpacker

系统源代码：Android6.0.1_r2

修改源码中的dex_file.cc文件：

[详细阅读…]

Guge's blog

以大多数人的努力程度之低，根本轮不到去拼天赋

Author: Guge

Android ARM32 ROP level8学习笔记

Android ARM 32 ROP学习&爬坑记

一周信息安全干货分享【第140期】

安全资讯

技术干货

一周信息安全干货分享【第139期】

安全资讯

一周信息安全干货分享【第138期】

安全资讯

一周信息安全干货分享【第137期】

安全资讯

一周信息安全干货分享【第136期】

安全资讯

一周信息安全干货分享【第135期】

安全资讯

技术干货

一周信息安全干货分享【第134期】

安全资讯

Art模式下的通用脱壳