boyan-milanov/ropiumAutomatisierter ROP-Chain-Builder, der Gadgets aus Binärdateien mit semantischen Abfragen extrahiert und analysiert und X86/X64-Architekturen mit einer Python-API und CLI unterstützt.
ROPium (ehemals ROPGenerator) ist eine Bibliothek/ein Werkzeug, das ROP-Exploits einfach macht. Es extrahiert und analysiert automatisch Gadgets aus Binärdateien und ermöglicht es Ihnen, ROP-Ketten mit semantischen Abfragen zu finden. ROPium unterstützt X86- und X64-Architekturen, bald erweitert um ARM.
Hauptmerkmale:
rax=rbx+8, [rdi+0x20]=rax, rsi=[rbx+16], 0x08040212(1, 2, rax), [0xdeadbeaf] = "/bin/sh\x00", sys_execve(0xdeadbeef, 0, 0), sys_0x1(0), ...Installieren Sie zuerst das Capstone-Disassembly-Framework:
sudo apt-get install libcapstone-dev
Sie benötigen auch die neueste ROPgadget-Version:
git clone https://github.com/JonathanSalwan/ROPgadget && cd ROPgadget
python setup.py install --user
Um das CLI-Werkzeug zu nutzen, installieren Sie prompt_toolkit:
pip3 install prompt_toolkit
Installieren Sie abschließend ROPium:
git clone https://github.com/Boyan-MILANOV/ropium && cd ropium
make
make test
sudo make install
Dank einer Command-Line-Interface-Umhüllung können Sie ROPium interaktiv nutzen, um schnell ROP-Ketten zu erstellen:
Müssen Sie ROP-Ketten direkt in Ihre Skripte einbinden? Gute Nachrichten: ROPium hat eine Python-API!
Laden einer Binärdatei und Finden von ROP-Ketten:
from ropium import *
rop = ROPium(ARCH.X64)
rop.load('/lib/x86_64-linux-gnu/libc-2.27.so')
chain = rop.compile('rbx = [rax + 0x20]')
Ausgabe einer ROP-Kette in verschiedenen Formaten:
>>> print( chain.dump() )
0x000000000009a851 (sub rax, 0x10; ret)
0x0000000000130018 (mov rax, qword ptr [rax + 0x30]; ret)
0x0000000000052240 (push rax; pop rbx; ret)
>>> print(chain.dump('python'))
from struct import pack
off = 0x0
p = ''
p += pack('<Q', 0x000000000009a851+off) # sub rax, 0x10; ret
p += pack('<Q', 0x0000000000130018+off) # mov rax, qword ptr [rax + 0x30]; ret
p += pack('<Q', 0x0000000000052240+off) # push rax; pop rbx; ret
>>> print(chain.dump('raw'))
b'Q\xa8\t\x00\x00\x00\x00\x00\x18\x00\x13\x00\x00\x00\x00\x00@"\x05\x00\x00\x00\x00\x00'
Einschränkungen für ROP-Ketten festlegen:
# Bytes, die in der ROP-Kette nicht vorkommen sollen
rop.bad_bytes = [0x00, 0x0a, 0x0b]
# Register, die von der ROP-Kette nicht überschrieben werden sollen
rop.keep_regs = ['rsi', 'rdx']
# Aktivieren/Deaktivieren, dass die ROP-Kette Register dereferenziert, die ungültige Adressen enthalten könnten
# Der sichere Modus ist standardmäßig 'True'
rop.safe_mem = False
# Festlegen, welche ABI beim Aufrufen von Funktionen verwendet werden soll
rop.abi = ABI.X86_CDECL
# Festlegen, welches System bei Syscalls angesprochen werden soll
rop.os = OS.LINUX
Falls nötig, können Sie ROPium in einem Docker-Container ausführen. Der Container kann aus der Dockerfile wie folgt erstellt werden:
# Erstellen Sie Ihr Docker-Image (das wird Zeit in Anspruch nehmen!)
docker build . --tag ropium
# Führen Sie das Image im interaktiven Modus aus und binden Sie die zu analysierende Datei ein
docker run --rm -it -v /FULL/HOST/PATH/FILE:/tmp/FILE:ro ropium
(ropium)> load -a X86 /tmp/FILE
Das tatsächliche Image ist etwa 200 MB groß und basiert auf Debian Stretch mit installiertem Python 3.7.3.
Boyan MILANOV - boyan.milanov (at) hotmail (dot) fr
ROPium wird unter der MIT-Lizenz bereitgestellt.
Mitwirkende:
ROPium verwendet die folgenden großartigen Projekte: