시스템 해킹

1576,

1/79

h2spice

iOS 에서 NX-bit 우회 중입니다....

http://www.hackerschool.org/HS_Boards/zboard.php?AllArticle=true&no=1577 [복사]

mprotect( ) 를 사용하여 스택의 NX를 해제한뒤,
삽입한 쉘 코드로 점프하려고 합니다.
Chain RTL을 사용해서 mprotect( )함수는 동작합니다.
문제는 RWX 권한을 모두 줘야 할 것 같은데 R-X 까지 밖에 주지 못하네요..
인자값으로 7 (PROT_WRITE | PROT_READ | PROT_EXEC) 를 줘도 그렇습니다.

제 생각에는 R-X 권한만주어도 스택에 들어간 쉘코드를 읽고 실행이 될 것 같았지만
그렇지 않았습니다.

쉘코드를 넣지 않고 테스트하였을때 RW-일때 오류가 발생하지않지만 R-X일때는 오류가 발생하더군요 퍼미션문제같았습니다.
물론 쉘코드를 넣었을때도 마찬가지고요. (RWX일때 가능할것으로 추측)

최대 RWX를 다 줄 수 있을것같은데 원래 되지 않나요??
Payload 가 잘못되었나 싶어 그냥 코드상에서 mprotect()를 이용해도 마찬가지에요.

Hit : 3551 Date : 2012/05/23 08:33


pwn3r	IOS에선 메모리가 rwx권한을 가질수 없도록 설계되었다고하네요 ~ 메모리를 rw- 권한으로 만들어주고 쉘코드를 복사시킨후에 , r-x 권한으로 만들어주고 쉘코드를 실행시키시면 됩니다ㅎㅎ	2012/05/27
h2spice	넵 ㅎㅎㅎ저같은경우는 스택이아니라 아예다른영역에 복사시킨뒤 r-x 권한으로 만들어주고 실행시켰어요. 근데 스택이 경우? 쉘코드까지는 넘어가는데 실행은안되네요 ㅎㅎㅎ이부분 조금 더 연구해봐야겠어요	2012/05/28