À propos

C'est ici que je publierai l'analyse d'exploits publics, ou certains de mes exploits 1day.

[ Analyse d'exploits publics ]

Personnellement, je pense que la meilleure façon d'apprendre un exploit public est de le comprendre ligne par ligne jusqu'à ce que je puisse le comprendre pleinement. Je publierai certains de ces exploits (surchargés de commentaires ;) ) afin que d'autres puissent en apprendre, et pour tenter de rendre quelque chose à la communauté. Aussi à des fins de documentation, car ces choses s'estompent un peu de ma mémoire au fil du temps.

CVE-2016-8655

• Ceci est une analyse détaillée de l'exploit de rebel.
• Merci à rebel pour cet incroyable exploit ! :D

CVE-2016-5342

version mp3

• Ceci est une version commentée de l'exploit LPE Android de freener
• arm32
• Débordement de tas
• Cet exploit écrase directement un pointeur de fonction d'un autre objet.

version tty

• Ceci est une version commentée de l'exploit LPE Android de freener
• arm32
• Débordement de tas
• Cet exploit écrase un pointeur d'objet dans un autre objet. Il utilise l'attaque ret2dir pour faire pointer le pointeur corrompu vers une adresse fixe prédictible dans le noyau qui contient la charge utile de l'exploit. Cette technique d'exploit contourne PXN et PAN.

CVE-2016-2434

• Ceci est une version commentée de l'exploit LPE Android de Jianqiang Zhao
• arm64
• Mise à zéro de 16 octets à une adresse arbitraire
• Cet exploit efface 16 octets d'un objet global utile, situé à une adresse fixe dans le noyau.
• Un pointeur d'objet corrompu dans l'objet global référence la charge utile de l'exploit depuis l'espace utilisateur. Ce type d'attaque ne fonctionne pas sur les appareils/noyaux avec PAN (ou émulation de PAN).

extra_recipe

• Ma tentative de comprendre le jailbreak extra_recipe
• J'étais particulièrement intéressé par la partie concernant le contournement de kpp. Bien qu'il y ait eu quelques diapositives sur le sujet où je pouvais entrevoir une image vague du contournement, je voulais vraiment creuser les détails fins et voir ce qui se passe réellement dans le code.
• Je voulais aussi comprendre les ingrédients finaux d'un jailbreak (installation de Cydia, etc.)

yalu102 (ViewController.m)

• J'ai commenté la partie pertinente pour le bug réel, et comment il a été exploité.
• La raison pour laquelle j'ai examiné yalu102 plutôt que l'exploit original est que la technique de port-feng-shui semblait plus propre et plus simple à comprendre.
• L'analyse s'arrête juste avant le contournement de kpp.

extra_recipe-master de xerub (jailbreak.c, unjail.m, patchfinder64.c, pte_stuff.h)

• Je passe ici parce qu'il contenait un peu plus d'informations sur les différents offsets numériques.
• De plus, patchfinder.c est intact, contrairement à yalu102 où il n'y a qu'un fichier objet.
• La partie Cydia est en quelque sorte incomplète, donc je passe à la branche Cydia après kpp.

extra_recipe-cydia de xerub (unjail.m)

• Essayer de comprendre les ingrédients d'un jailbreak après tfp0 et la post-exploitation.

empty_list (sploit.c)

• Une analyse détaillée de l'exploit noyau empty_list de Ian Beer.
• Il utilise des techniques étonnantes pour partir de primitives vraiment faibles, construire un AAR plus puissant, et enfin construire un task port complet. La magie des ports derrière le code de l'exploit est incroyable. Tout cela avec un débordement de tas de 8 octets NULL. Absolument époustouflant.
• J'ai griffonné quelques idées naïves pour améliorer la fiabilité. Espérons que quelqu'un publiera une version plus fiable de l'exploit à l'avenir. :)
• Merci à Ian Beer pour cet incroyable exploit !

CVE-2018-4233

• Ceci est une version commentée de l'exploit WebKit iOS de @niklas_b.
• Un immense merci à kudima (@begger_dd) pour l'analyse très claire, concise et minutieusement annotée ! :)
• L'analyse explique le bug de type confusion JIT, certaines limitations des conversions de boxing/unboxing (qui peuvent introduire de l'instabilité), et une description détaillée de la façon dont les primitives AAR/AAW précoces/tardives sont construites. Il donne également un aperçu des changements dans les techniques d'exploitation après la récente série de mitigations (index masking, empoisonnement du backing store d'ArrayBuffer, quelques changements dans le mécanisme du JIT W^X, changements dans la structure JSObject, etc.)

jsc_ConcatMemcpy_infoleak

• Ceci est une version commentée de l'exploit d'infoleak WebKit de kudima (corrigé en 2018.8.27).
• Il provient d'un correctif incomplet de l'un des bugs rapportés par lokihardt. Le patch du rapport de lokihardt a corrigé la primitive de type confusion Double -> Object, mais ne l'a pas corrigée dans l'autre sens ; Object -> Double.
• Il pulvérise le tas de WebKit avec des butterflies contenant un seul objet et un marqueur, puis déclenche le bug de concat et remplit une grande partie de plusieurs tableaux de doubles avec des données de tas non initialisées. Il parcourt les tableaux de doubles non initialisés et bogués produits par concat jusqu'à ce qu'il trouve l'adresse de l'objet précédemment pulvérisé, et la fuit.
• Merci encore à kudima (@begger_dd) pour le bel exploit et l'analyse ! :)

[ 1Day ]

CVE-2017-2547

• Un jour, j'ai regardé l'exploit de singi après sa présentation à Zer0con 2018, et j'ai décidé de l'améliorer.
• Ceci est une version autonome de l'exploit, avant que je ne l'intègre dans pwnjs.
• Les améliorations comprennent :
  • Amélioré la fiabilité (fonctionne parfaitement après de longues sessions de navigation avec une mémoire contaminée)
  • Supprimé tous les offsets codés en dur pour le rendre compatible avec diverses versions de navigateur
  • Utilisé une technique d'exploitation différente (la technique de désalignement standard)
  • Finalement intégré dans le framework pwnjs en créant un prototype WebKit
  • Rendu le code beaucoup plus lisible et ajouté beaucoup de commentaires
• Remerciements spéciaux
  • qwertyoruiop & Samuel Grob pour l'incroyable article Phrack et les exploits publics.
  • Brian Pak & Andrew Wesie pour l'incroyable framework pwnjs !