Sobre

ROPium (anteriormente ROPGenerator) é uma biblioteca/ferramenta que torna os exploits ROP fáceis. Ela extrai e analisa gadgets automaticamente de binários e permite que você encontre cadeias ROP com consultas semânticas. O ROPium suporta as arquiteturas X86 e X64, em breve será estendido para ARM.

Principais características:

• Sem esforço: ROPium funciona imediatamente com uma Interface de Linha de Comando fluida
• API Python: É fácil integrar ROPium em scripts graças à sua API Python
• Encadeamento automático: ROPium combina automaticamente gadgets para criar cadeias ROP complexas
• Funcionalidades avançadas: ROPium suporta chamadas de função para várias ABIs, syscalls, ...
• Consultas semânticas: As consultas ROPium são rápidas e convenientes de escrever : rax=rbx+8, [rdi+0x20]=rax, rsi=[rbx+16], 0x08040212(1, 2, rax), [0xdeadbeaf] = "/bin/sh\x00", sys_execve(0xdeadbeef, 0, 0), sys_0x1(0), ...

Conteúdo

• Sobre
• Instalação
• Primeiros passos
  • Ferramenta CLI
  • API Python
• Docker
• Contato
• Licença
• Agradecimentos especiais

Instalação

Primeiro instale o framework de desmontagem Capstone:

  sudo apt-get install libcapstone-dev

Você também precisa da última versão do ROPgadget:

  git clone https://github.com/JonathanSalwan/ROPgadget && cd ROPgadget
  python setup.py install --user 

Para usar a ferramenta CLI, instale o prompt_toolkit:

  pip3 install prompt_toolkit

Finalmente instale o ROPium:

  git clone https://github.com/Boyan-MILANOV/ropium && cd ropium
  make
  make test
  sudo make install 

Primeiros passos

Ferramenta CLI

Graças a um invólucro de Interface de Linha de Comando, você pode usar o ROPium interativamente para construir rapidamente cadeias ROP:

API Python

Você precisa integrar cadeias ROP diretamente em seus scripts? Boas notícias, o ROPium possui uma API Python!

Carregando um binário e encontrando cadeias ROP:

from ropium import *
rop = ROPium(ARCH.X64)
rop.load('/lib/x86_64-linux-gnu/libc-2.27.so')

chain = rop.compile('rbx = [rax + 0x20]')

Despejando uma cadeia ROP em vários formatos:

>>> print( chain.dump() )

0x000000000009a851 (sub rax, 0x10; ret)
0x0000000000130018 (mov rax, qword ptr [rax + 0x30]; ret)
0x0000000000052240 (push rax; pop rbx; ret)

>>> print(chain.dump('python'))

from struct import pack
off = 0x0
p = ''
p += pack('<Q', 0x000000000009a851+off) # sub rax, 0x10; ret
p += pack('<Q', 0x0000000000130018+off) # mov rax, qword ptr [rax + 0x30]; ret
p += pack('<Q', 0x0000000000052240+off) # push rax; pop rbx; ret

>>> print(chain.dump('raw'))

b'Q\xa8\t\x00\x00\x00\x00\x00\x18\x00\x13\x00\x00\x00\x00\x00@"\x05\x00\x00\x00\x00\x00'

Definindo restrições nas cadeias ROP:

# Bytes that should not appear in the ropchain
rop.bad_bytes = [0x00, 0x0a, 0x0b]

# Register that should not be clobbered by the ropchain
rop.keep_regs = ['rsi', 'rdx']

# Enable/Forbid ropchain to dereference registers that might hold invalid addresses
# Safe mode is 'True' by default
rop.safe_mem = False

# Specify which ABI you want to use when calling functions
rop.abi = ABI.X86_CDECL

# Specify which system to target when doing syscalls
rop.os = OS.LINUX

Docker

Se necessário, você pode executar o ROPium em um contêiner Docker. O contêiner pode ser gerado a partir do Dockerfile da seguinte forma:

# Create your docker image (this will take time!)
docker build . --tag ropium

# Run the image in interactive mode, bind mounting the file to analyze
docker run --rm -it -v /FULL/HOST/PATH/FILE:/tmp/FILE:ro ropium

(ropium)> load -a X86 /tmp/FILE

A imagem real tem cerca de 200 MB baseada em um Debian Stretch com Python 3.7.3 instalado.

Contato

Boyan MILANOV - boyan.milanov (at) hotmail (dot) fr

Licença

ROPium é fornecido sob a licença MIT.

Agradecimentos especiais

Contribuidores:

• Suporte a contêiner Docker: migounette, clslgrnc

ROPium usa os seguintes projetos incríveis:

• capstone : Framework de desmontagem
• ROPgadget : Extrator de gadgets
• prompt-toolkit : Biblioteca de interface de linha de comando Python