0x9000 · Exploitation du noyau
KASLR, KPTI et défenses modernes du noyau
Randomisation d'adresses, isolation des tables de pages et options de configuration qui durcissent un noyau Linux : ce que chacune arrête et comment l'activer.
Florian Amette
Security engineer writing about memory safety, exploit mitigations, sanitizers and fuzzing, from the secure-coder's side of the fence.
0x9000 · Exploitation du noyau
Exploitation du noyau : d'un bug à root
Un bug mémoire du noyau vise le privilège, pas un shell : modèle de credentials, charge commit_creds(prepare_kernel_cred(0)), retour propre en userspace.
0x9000 · Exploitation du noyau
ret2usr, SMEP et SMAP
Le noyau faisait confiance à la mémoire userspace. SMEP et SMAP y ont mis fin — et voici comment le ROP noyau les contourne.
0x2000 · Mitigations d'exploitation
La pile de mitigations : quelles défenses, dans quel ordre
Chaque exploit suit les mêmes étapes : bug, corruption, détournement, exécution, escalade. Quelle mitigation les arrête, sous Linux, ARM, Windows, noyau.
0xa000 · Exploitation Windows
Contourner DEP sous Windows avec ROP
DEP rend le shellcode sur la pile inexécutable ; une chaîne ROP appelle VirtualProtect pour rendre la région exécutable, puis y saute.
0xa000 · Exploitation Windows
Mitigations d'intégrité de flux Windows : CFG et CET
Comment SafeSEH, SEHOP, ASLR, CFG et le CET matériel ferment chacun une technique d'exploitation Windows : vérifications, activation et limites.
0xa000 · Exploitation Windows
Écrasement de SEH : détourner les exceptions Windows
Windows garde une liste chaînée de gestionnaires d'exceptions sur la pile. Débordez-y, pointez vers un pop-pop-ret, et le contrôle est à vous.
0x8000 · Exploitation ARM64
Exploitation ARM64 : le registre de lien et ret2win
Sur AArch64 l'adresse de retour vit dans un registre, pas sur la pile — jusqu'à ce qu'une fonction non-feuille la sauvegarde. Construisez le ret2win ARM.
0x8000 · Exploitation ARM64
PAC et BTI : la réponse d'ARM à la réutilisation de code
L'authentification de pointeur signe les adresses de retour ; une falsification fait fauter le processus. BTI contraint les branchements indirects.
0x8000 · Exploitation ARM64
ROP sur ARM64 : les gadgets et le registre de lien
Les gadgets AArch64 finissent par ret, qui branche vers x30 : la chaîne s'enfile dans le registre de lien via des gadgets ldp. Puis PAC et BTI la brisent.
0x7000 · Techniques d'exploitation
one-gadget : une adresse vers un shell
Parfois vous ne contrôlez qu'un pointeur. Un one-gadget est une seule adresse libc qui appelle execve("/bin/sh") si ses contraintes tiennent.
0x7000 · Techniques d'exploitation
ret2dlresolve : résoudre un symbole sans fuite
Sans fuite libc : forgez la relocation que lit l'éditeur de liens dynamique pour lui faire résoudre et appeler system. Et pourquoi Full RELRO y met fin.
0x7000 · Techniques d'exploitation
Bacs à sable seccomp et la chaîne open-read-write
Une politique seccomp qui bannit execve retire le shell du jeu ; les attaquants pivotent : ouvrir le flag, le lire, le renvoyer. La chaîne ORW.
0x7000 · Techniques d'exploitation
Attaques FSOP : détourner un objet FILE
Les hooks partis, l'objet FILE devient la cible : un appel stdio passe par un pointeur de vtable inscriptible — corrompez-le et le prochain fwrite tombe.
0x7000 · Techniques d'exploitation
Fuites d'information : vaincre l'ASLR et les canaris
Les exploits modernes sont fuiter-puis-agir. Construisez une lecture hors limites, puis servez-vous-en pour retrouver un canari de pile, la base PIE et la base libc.
0x7000 · Techniques d'exploitation
ret2csu : emprunter le gadget universel du runtime
Pas de gadget pop rdx ? Le code de démarrage du runtime C a une séquence universelle qui charge plusieurs registres et fait un appel contrôlé. Construisez-la avec pwntools.
0x7000 · Techniques d'exploitation
SROP : exploiter avec un faux cadre de signal
Quand les gadgets sont rares, forgez un cadre de signal. Un appel sigreturn restaure tous les registres depuis la pile d'un coup — construisez-en un avec pwntools pour appeler execve.
0x7000 · Techniques d'exploitation
Stack pivoting : relocaliser la chaîne ROP
Quand le débordement dépasse à peine l'adresse de retour, déplacez rsp vers un tampon maîtrisé et exécutez-y la vraie chaîne. Tutoriel pwntools.
0x7000 · Techniques d'exploitation
Bugs de chaîne de format : lecture et écriture arbitraires
Un printf(entrée_utilisateur) est une primitive de lecture/écriture complète. Fuitez avec %p, écrasez avec %n via pwntools, puis regardez -Wformat=2 et FORTIFY_SOURCE le neutraliser.
0x7000 · Techniques d'exploitation
Détourner la GOT : rediriger un appel à la libc
La liaison paresseuse laisse la GOT inscriptible : une écriture arbitraire sur une entrée transforme puts() en system() — jusqu'à ce que Full RELRO la fige.
0x7000 · Techniques d'exploitation
Exploitation du tas : tcache et use-after-free
Les métadonnées du tas sont la primitive d'écriture. Un use-after-free empoisonne le tcache de la glibc pour allouer un chunk à une adresse choisie.
0x7000 · Techniques d'exploitation
Détourner le flot d'exécution : la technique ret2win
Tutoriel de labo : écraser une adresse de retour sauvegardée avec pwntools pour rediriger l'exécution, puis voir chaque mitigation casser l'exploit.
0x7000 · Techniques d'exploitation
Retourner dans la libc : la technique ret2libc
NX est actif et le binaire est minuscule, mais la libc est mappée et pleine de code utile. Fuitez sa base malgré l'ASLR, puis retournez dans system("/bin/sh").
0x7000 · Techniques d'exploitation
Construire une chaîne ROP pas à pas
Avec NX, le shellcode injecté est mort : on réutilise le code existant. Trouver des gadgets, bâtir une chaîne execve avec pwntools, puis voir CET et CFI la casser.
0x6000 · Parcours d'apprentissage
Un parcours d'apprentissage de l'exploitation via les CTF
Un parcours légal et progressif du C et de l'assembleur aux défis pwn de CTF : quoi apprendre et dans quel ordre, plateformes de pratique, règles de labo.
0x5000 · Développement sécurisé
Langages sûrs pour la mémoire et migration réaliste
Pourquoi les langages sûrs pour la mémoire éliminent des classes de bugs, ce que garantit la propriété de Rust, et où unsafe et le FFI restent risqués.
0x3000 · Trouver les bugs
Fuzzing guidé par couverture avec libFuzzer et AFL++
Écrire un harnais de fuzzing, le compiler avec des sanitizers, lancer libFuzzer et AFL++, gérer corpus et dictionnaires, et fuzzer en continu en CI.
0x4000 · Triage des crashs
Lire un rapport de crash : signaux, backtraces, core dumps
Trier les crashs natifs en défenseur : sens de SIGSEGV et SIGABRT, messages d'abort de glibc, gdb et core dumps, rapports ASan, WinDbg, et priorisation.
0x3000 · Trouver les bugs
AddressSanitizer, UBSan et compagnie : guide pratique
Comment fonctionnent ASan, UBSan, MSan, TSan et HWASan, quels flags et options utiliser, comment lire un rapport ASan ligne par ligne, et les lancer en CI.
0x2000 · Mitigations d'exploitation
Intégrité du flot de contrôle : CFI, CET et PAC/BTI
L'intégrité du flot de contrôle sur les arêtes avant et arrière, de Clang CFI à Intel CET et l'authentification de pointeur Arm, et ses limites.
0x2000 · Mitigations d'exploitation
Canaris de pile, NX, ASLR/PIE, RELRO et FORTIFY_SOURCE
Ce que protège chaque mitigation classique, les drapeaux GCC et Clang qui l'activent, son coût, et comment vérifier un binaire avec checksec et readelf.
0x1000 · Classes de vulnérabilités
Débordements d'entier et bugs de chaîne de format, expliqués
Comment débordement d'entier, troncature et erreurs de signe mènent à la corruption mémoire, et pourquoi les chaînes de format contrôlées sont risquées.
0x1000 · Classes de vulnérabilités
Débordements de tas, use-after-free et double free
Comment les bugs mémoire du tas corrompent l'allocateur et l'état des objets, pourquoi le use-after-free est si dangereux, et les défenses qui les arrêtent.
0x1000 · Classes de vulnérabilités
Les débordements de tampon de pile expliqués aux défenseurs
Pourquoi écrire au-delà d'un tampon de pile est dangereux, les schémas C qui le causent, comment les compilateurs et sanitizers le détectent, et les corrections et mitigations qui le contiennent.
0x0000 · Fondamentaux de la mémoire
L'agencement mémoire d'un processus : pile, tas et ELF
Visite guidée pour défenseur de l'espace d'adressage d'un processus Linux : segments ELF, pile et conventions d'appel, tas, mmap, et le rôle des permissions.