September 28, 2019 / Exploit

Câu chuyện về GDB

Dạo gần đây mình bắt đầu nghiêm túc tìm hiểu về heap exploitation. Ắt hẳn bạn nào mới tìm hiểu về exploit trên linux đều thường sử dụng GDB. Tuy nhiên, heap exploitation khá là chua so với stack exploitation :)) Bạn phải biết sử dụng GDB nâng cao hơn chút, ngoài việc chỉ biết các lệnh b, c, x, n, s, p. Bài viết của mình nhằm mục đích bôi trơn, giảm độ chua khi debug một chương trình (bao gồm glibc). Tất nhiên mình chỉ là một newbie nên mình cũng chỉ chia sẻ được một chút thôi 😀

Hiện tại có rất nhiều plugin hỗ trợ cho gdb như peda, pwndbg, gef,... Mình thì chỉ sử dụng mỗi peda, nhưng gần đây mình muốn tìm hiểu thêm heap exploitation nên cài thêm pwngdb. Cả pwndbg và gef cũng đều hỗ trợ cho việc phân tích heap nhưng 2 cái đó có nhiều tính năng quá, trình mình cùi nên không biết xài 🙁

Debug with source

GDB có tính năng ánh xạ lệnh asm tại địa chỉ 0xAAAA sẽ tương ứng với dòng lênh C nào trong file source. Tuy nhiên không phải lúc nào GDB cũng có thể ánh xạ được, bạn phải có source code và debug symbols của chương trình. Nếu bạn có source code của chương trình, khi compile bằng gcc hoặc g++ thêm option -g để có debug symbols.
Ví dụ mình có chương trình sau:

#include <stdio.h>

int main() {

printf("Hello world!");

return 0;

}

Tiến hành compile và debug bằng gdb

1 2	gcc -m32 -g -o helloworld helloworld.c gdb helloworld -ex "b hellworld.c:4" -ex "r"

GDB sẽ hiển thị kiểu như này

[----------------------------------registers-----------------------------------]

EAX: 0xf7fb6dbc --> 0xffffcf6c --> 0xffffd170 ("LC_PAPER=de_CH.UTF-8")

EBX: 0x0

ECX: 0xffffced0 --> 0x1

EDX: 0xffffcef4 --> 0x0

ESI: 0xf7fb5000 --> 0x1afdb0

EDI: 0xf7fb5000 --> 0x1afdb0

EBP: 0xffffceb8 --> 0x0

ESP: 0xffffceb0 --> 0xf7fb53dc --> 0xf7fb61e0 --> 0x0

EIP: 0x804841c (<main+17>: sub esp,0xc)

EFLAGS: 0x282 (carry parity adjust zero SIGN trap INTERRUPT direction overflow)

[-------------------------------------code-------------------------------------]

0x8048416 <main+11>: mov ebp,esp

0x8048418 <main+13>: push ecx

0x8048419 <main+14>: sub esp,0x4

=> 0x804841c <main+17>: sub esp,0xc

0x804841f <main+20>: push 0x80484c0

0x8048424 <main+25>: call 0x80482e0 <[email protected]>

0x8048429 <main+30>: add esp,0x10

0x804842c <main+33>: mov eax,0x0

[------------------------------------stack-------------------------------------]

0000| 0xffffceb0 --> 0xf7fb53dc --> 0xf7fb61e0 --> 0x0

0004| 0xffffceb4 --> 0xffffced0 --> 0x1

0008| 0xffffceb8 --> 0x0

0012| 0xffffcebc --> 0xf7e1d637 (<__libc_start_main+247>: add esp,0x10)

0016| 0xffffcec0 --> 0xf7fb5000 --> 0x1afdb0

0020| 0xffffcec4 --> 0xf7fb5000 --> 0x1afdb0

0024| 0xffffcec8 --> 0x0

0028| 0xffffcecc --> 0xf7e1d637 (<__libc_start_main+247>: add esp,0x10)

[------------------------------------------------------------------------------]

Legend: code, data, rodata, value

Breakpoint 1, main () at helloworld.c:4

4 printf("Hello world!");

gdb-peda$

Để ý dòng thứ 16, 33 và 34. Lệnh tại địa chỉ 0x804841c tương ứng với printf("Hello world!") (tất nhiên còn một số lệnh phía sau nó cũng tương ứng với printf)
Còn nếu không có source code thì sao? Ví dụ như bạn muốn debug glibc như mình :v Đơn giản thôi, Ubuntu cung cấp sẵn gói debug symbols và source code luôn rồi, bạn chỉ cần cài đặt là được.

$ sudo apt install libc6-dbg

$ sudo apt install libc6-dbg:i386 # cài gói debug symbols của 32-bit nếu máy bạn 64-bit

$ sudo apt install libc6-source

Giờ thử debug glibc của fastbin_dup_consolidate.c trong https://github.com/shellphish/how2heap

1	gdb fastbin_dup_consolidate -ex "b fastbin_dup_consolidate.c:12" -ex "r" -ex "s"

Thì sẽ ra thế này:

[----------------------------------registers-----------------------------------]

RAX: 0x0

RBX: 0x0

RCX: 0x7ffff7b04200 (<__openat_2+16>: cmp eax,0x410000)

RDX: 0x0

RSI: 0x7ffff7dd1b40 --> 0x602000 --> 0x0

RDI: 0x400

RBP: 0x7fffffffdc60 --> 0x400790 (<__libc_csu_init>: push r15)

RSP: 0x7fffffffdc28 --> 0x4006c0 (<main+122>: mov QWORD PTR [rbp-0x18],rax)

RIP: 0x7ffff7a91130 (<__GI___libc_malloc>: push rbp)

R8 : 0x602010 --> 0x0

R9 : 0x7ffff7dd2500 --> 0x7ffff7b9b997 --> 0x636d656d5f5f0043 ('C')

R10: 0x8b8

R11: 0x7ffff7a914f0 (<__GI___libc_free>: push r13)

R12: 0x400550 (<_start>: xor ebp,ebp)

R13: 0x7fffffffdd40 --> 0x1

R14: 0x0

R15: 0x0

EFLAGS: 0x202 (carry parity adjust zero sign trap INTERRUPT direction overflow)

[-------------------------------------code-------------------------------------]

0x7ffff7a91120 <__malloc_check_init+96>: mov DWORD PTR [rip+0x34269e],0x0 # 0x7ffff7dd37c8 <disallow_malloc_check>

0x7ffff7a9112a <__malloc_check_init+106>: ret

0x7ffff7a9112b: nop DWORD PTR [rax+rax*1+0x0]

=> 0x7ffff7a91130 <__GI___libc_malloc>: push rbp

0x7ffff7a91131 <__GI___libc_malloc+1>: push rbx

0x7ffff7a91132 <__GI___libc_malloc+2>: sub rsp,0x8

0x7ffff7a91136 <__GI___libc_malloc+6>: mov rax,QWORD PTR [rip+0x33fdb3] # 0x7ffff7dd0ef0

0x7ffff7a9113d <__GI___libc_malloc+13>: mov rax,QWORD PTR [rax]

[------------------------------------stack-------------------------------------]

0000| 0x7fffffffdc28 --> 0x4006c0 (<main+122>: mov QWORD PTR [rbp-0x18],rax)

0008| 0x7fffffffdc30 --> 0x0

0016| 0x7fffffffdc38 --> 0x602010 --> 0x0

0024| 0x7fffffffdc40 --> 0x602060 --> 0x0

0032| 0x7fffffffdc48 --> 0x400550 (<_start>: xor ebp,ebp)

0040| 0x7fffffffdc50 --> 0x7fffffffdd40 --> 0x1

0048| 0x7fffffffdc58 --> 0x0

0056| 0x7fffffffdc60 --> 0x400790 (<__libc_csu_init>: push r15)

[------------------------------------------------------------------------------]

Legend: code, data, rodata, value

__GI___libc_malloc (bytes=0x400) at malloc.c:2902

2902 malloc.c: No such file or directory.

gdb-peda$

Dòng 40, 41 báo lỗi vì mình chưa chỉ cho GDB biết file malloc.c nằm ở đâu. Giả sử source code glibc của mình ở ~/glibc-2.23 thì chỉ cần thêm lệnh directory ~/glibc-2.23/malloc cho GDB tìm file malloc.c

1	gdb fastbin_dup_consolidate -ex "b fastbin_dup_consolidate.c:12" -ex "r" -ex "directory ~/glibc-2.23/malloc" -ex "s"

[----------------------------------registers-----------------------------------]

RAX: 0x0

RBX: 0x0

RCX: 0x7ffff7b04200 (<__openat_2+16>: cmp eax,0x410000)

RDX: 0x0

RSI: 0x7ffff7dd1b40 --> 0x602000 --> 0x0

RDI: 0x400

RBP: 0x7fffffffdc60 --> 0x400790 (<__libc_csu_init>: push r15)

RSP: 0x7fffffffdc28 --> 0x4006c0 (<main+122>: mov QWORD PTR [rbp-0x18],rax)

RIP: 0x7ffff7a91130 (<__GI___libc_malloc>: push rbp)

R8 : 0x602010 --> 0x0

R9 : 0x7ffff7dd2500 --> 0x7ffff7b9b997 --> 0x636d656d5f5f0043 ('C')

R10: 0x8b8

R11: 0x7ffff7a914f0 (<__GI___libc_free>: push r13)

R12: 0x400550 (<_start>: xor ebp,ebp)

R13: 0x7fffffffdd40 --> 0x1

R14: 0x0

R15: 0x0

EFLAGS: 0x202 (carry parity adjust zero sign trap INTERRUPT direction overflow)

[-------------------------------------code-------------------------------------]

0x7ffff7a91120 <__malloc_check_init+96>: mov DWORD PTR [rip+0x34269e],0x0 # 0x7ffff7dd37c8 <disallow_malloc_check>

0x7ffff7a9112a <__malloc_check_init+106>: ret

0x7ffff7a9112b: nop DWORD PTR [rax+rax*1+0x0]

=> 0x7ffff7a91130 <__GI___libc_malloc>: push rbp

0x7ffff7a91131 <__GI___libc_malloc+1>: push rbx

0x7ffff7a91132 <__GI___libc_malloc+2>: sub rsp,0x8

0x7ffff7a91136 <__GI___libc_malloc+6>: mov rax,QWORD PTR [rip+0x33fdb3] # 0x7ffff7dd0ef0

0x7ffff7a9113d <__GI___libc_malloc+13>: mov rax,QWORD PTR [rax]

[------------------------------------stack-------------------------------------]

0000| 0x7fffffffdc28 --> 0x4006c0 (<main+122>: mov QWORD PTR [rbp-0x18],rax)

0008| 0x7fffffffdc30 --> 0x0

0016| 0x7fffffffdc38 --> 0x602010 --> 0x0

0024| 0x7fffffffdc40 --> 0x602060 --> 0x0

0032| 0x7fffffffdc48 --> 0x400550 (<_start>: xor ebp,ebp)

0040| 0x7fffffffdc50 --> 0x7fffffffdd40 --> 0x1

0048| 0x7fffffffdc58 --> 0x0

0056| 0x7fffffffdc60 --> 0x400790 (<__libc_csu_init>: push r15)

[------------------------------------------------------------------------------]

Legend: code, data, rodata, value

__GI___libc_malloc (bytes=0x400) at malloc.c:2902

2902 {

gdb-peda$

Vậy là xong, chúng ta đã biết tại địa chỉ ứng với dòng source code nào, sau đó mở lên đối chiếu thôi, dễ debug hơn hẳn :v

Reverse debug

Đây là một tính năng cực bá của GDB từ bản 7.0 :)) Có khi nào trong lúc debug bạn lỡ tay ấn c, n hoặc s liên tục rồi tự dưng chương trình kết thúc. Và bạn vừa nhận ra bạn đã bỏ qua những đoạn code quan trọng :)) Cái này mình gặp hoài, và thường thì mình sẽ set thêm breakpoint và ấn r để chương trình chạy từ đầu :v Nhưng không, GDB có khả năng chạy ngược, tức là bạn có thể trở về địa chỉ trước đó mà bạn đã lở bỏ qua. Chi tiết nằm ở http://www.sourceware.org/gdb/wiki/ProcessRecord/Tutorial Vì cái này đơn giản nên mình chẳng giải thích gì, các bạn tự làm theo là được :))
UPDATE: mình mới biết được một số tool cho phép record và replay debugging như Mozilla’s rr, Microsoft’s TTD, MIT Lincoln Lab’s PANDA và GeoHot’s QIRA từ bài viết Timeless Debugging of Complex Software

Ngoài ra gdb có thể chạy python script (chắc ai cũng biết :p), bạn có thể tham khảo các API tại đây. Mình cũng từng sử dụng API để tự động đặt toàn bộ breakpoint trong bảng GOT để xem có ai gọi đến để mình ghi đè địa chỉ đó :v