Acerca de

ROPium (anteriormente ROPGenerator) es una biblioteca/herramienta que facilita la creación de exploits ROP. Extrae y analiza automáticamente gadgets de binarios y permite encontrar cadenas ROP con consultas semánticas. ROPium soporta las arquitecturas X86 y X64, próximamente se ampliará con ARM.

Características principales:

• Sin esfuerzo: ROPium funciona de inmediato con una interfaz de línea de comandos fluida
• API de Python: Es fácil integrar ROPium en scripts gracias a su API de Python
• Encadenamiento automático: ROPium combina automáticamente gadgets para crear cadenas ROP complejas
• Funciones avanzadas: ROPium soporta llamadas a funciones para varias ABI, syscalls, ...
• Consultas semánticas: Las consultas de ROPium son rápidas y cómodas de escribir: rax=rbx+8, [rdi+0x20]=rax, rsi=[rbx+16], 0x08040212(1, 2, rax), [0xdeadbeaf] = "/bin/sh\x00", sys_execve(0xdeadbeef, 0, 0), sys_0x1(0), ...

Contenido

• Acerca de
• Instalación
• Primeros pasos
  • Herramienta CLI
  • API de Python
• Docker
• Contacto
• Licencia
• Agradecimientos especiales

Instalación

Primero instala el framework de desensamblado Capstone:

  sudo apt-get install libcapstone-dev

También necesitas la última versión de ROPgadget:

  git clone https://github.com/JonathanSalwan/ROPgadget && cd ROPgadget
  python setup.py install --user

Para usar la herramienta CLI, instala prompt_toolkit:

  pip3 install prompt_toolkit

Finalmente instala ROPium:

  git clone https://github.com/Boyan-MILANOV/ropium && cd ropium
  make
  make test
  sudo make install

Primeros pasos

Herramienta CLI

Gracias a un envoltorio de interfaz de línea de comandos, puedes usar ROPium de forma interactiva para construir rápidamente cadenas ROP:

API de Python

¿Necesitas integrar cadenas ROP directamente en tus scripts? ¡Buenas noticias, ROPium tiene una API de Python!

Cargando un binario y encontrando cadenas ROP:

from ropium import *
rop = ROPium(ARCH.X64)
rop.load('/lib/x86_64-linux-gnu/libc-2.27.so')

chain = rop.compile('rbx = [rax + 0x20]')

Volcando una cadena ROP en varios formatos:

>>> print( chain.dump() )

0x000000000009a851 (sub rax, 0x10; ret)
0x0000000000130018 (mov rax, qword ptr [rax + 0x30]; ret)
0x0000000000052240 (push rax; pop rbx; ret)

>>> print(chain.dump('python'))

from struct import pack
off = 0x0
p = ''
p += pack('<Q', 0x000000000009a851+off) # sub rax, 0x10; ret
p += pack('<Q', 0x0000000000130018+off) # mov rax, qword ptr [rax + 0x30]; ret
p += pack('<Q', 0x0000000000052240+off) # push rax; pop rbx; ret

>>> print(chain.dump('raw'))

b'Q\xa8\t\x00\x00\x00\x00\x00\x18\x00\x13\x00\x00\x00\x00\x00@"\x05\x00\x00\x00\x00\x00'

Establecer restricciones en las cadenas ROP:

# Bytes that should not appear in the ropchain
rop.bad_bytes = [0x00, 0x0a, 0x0b]

# Register that should not be clobbered by the ropchain
rop.keep_regs = ['rsi', 'rdx']

# Enable/Forbid ropchain to dereference registers that might hold invalid addresses
# Safe mode is 'True' by default
rop.safe_mem = False

# Specify which ABI you want to use when calling functions
rop.abi = ABI.X86_CDECL

# Specify which system to target when doing syscalls
rop.os = OS.LINUX

Docker

Si es necesario, puedes ejecutar ROPium en un contenedor Docker. El contenedor se puede generar a partir del Dockerfile de la siguiente manera:

# Create your docker image (this will take time!)
docker build . --tag ropium

# Run the image in interactive mode, bind mounting the file to analyze
docker run --rm -it -v /FULL/HOST/PATH/FILE:/tmp/FILE:ro ropium

(ropium)> load -a X86 /tmp/FILE

La imagen actual tiene alrededor de 200 MB y está basada en Debian Stretch con Python 3.7.3 instalado.

Contacto

Boyan MILANOV - boyan.milanov (at) hotmail (dot) fr

Licencia

ROPium se proporciona bajo la licencia MIT.

Agradecimientos especiales

Contribuyentes:

• Soporte de contenedores Docker: migounette, clslgrnc

ROPium utiliza los siguientes proyectos increíbles:

• capstone : Framework de desensamblado
• ROPgadget : Extractor de gadgets
• prompt-toolkit : Biblioteca de interfaz CLI de Python