0x9000 · Exploitation du noyau
KASLR, KPTI et défenses modernes du noyau
Randomisation d'adresses, isolation des tables de pages et options de configuration qui durcissent un noyau Linux : ce que chacune arrête et comment l'activer.
Guides
Guides approfondis sur les classes de vulnérabilités mémoire, les mitigations d'exploitation, les sanitizers, le fuzzing et le triage des crashs.
0x9000 · Exploitation du noyau
Exploitation du noyau : d'un bug à root
Un bug mémoire du noyau vise le privilège, pas un shell : modèle de credentials, charge commit_creds(prepare_kernel_cred(0)), retour propre en userspace.
0x9000 · Exploitation du noyau
ret2usr, SMEP et SMAP
Le noyau faisait confiance à la mémoire userspace. SMEP et SMAP y ont mis fin — et voici comment le ROP noyau les contourne.
0x2000 · Mitigations d'exploitation
La pile de mitigations : quelles défenses, dans quel ordre
Chaque exploit suit les mêmes étapes : bug, corruption, détournement, exécution, escalade. Quelle mitigation les arrête, sous Linux, ARM, Windows, noyau.
0xa000 · Exploitation Windows
Contourner DEP sous Windows avec ROP
DEP rend le shellcode sur la pile inexécutable ; une chaîne ROP appelle VirtualProtect pour rendre la région exécutable, puis y saute.
0xa000 · Exploitation Windows
Mitigations d'intégrité de flux Windows : CFG et CET
Comment SafeSEH, SEHOP, ASLR, CFG et le CET matériel ferment chacun une technique d'exploitation Windows : vérifications, activation et limites.
0xa000 · Exploitation Windows
Écrasement de SEH : détourner les exceptions Windows
Windows garde une liste chaînée de gestionnaires d'exceptions sur la pile. Débordez-y, pointez vers un pop-pop-ret, et le contrôle est à vous.
0x8000 · Exploitation ARM64
Exploitation ARM64 : le registre de lien et ret2win
Sur AArch64 l'adresse de retour vit dans un registre, pas sur la pile — jusqu'à ce qu'une fonction non-feuille la sauvegarde. Construisez le ret2win ARM.
0x8000 · Exploitation ARM64
PAC et BTI : la réponse d'ARM à la réutilisation de code
L'authentification de pointeur signe les adresses de retour ; une falsification fait fauter le processus. BTI contraint les branchements indirects.
0x8000 · Exploitation ARM64
ROP sur ARM64 : les gadgets et le registre de lien
Les gadgets AArch64 finissent par ret, qui branche vers x30 : la chaîne s'enfile dans le registre de lien via des gadgets ldp. Puis PAC et BTI la brisent.
0x7000 · Techniques d'exploitation
one-gadget : une adresse vers un shell
Parfois vous ne contrôlez qu'un pointeur. Un one-gadget est une seule adresse libc qui appelle execve("/bin/sh") si ses contraintes tiennent.
0x7000 · Techniques d'exploitation
ret2dlresolve : résoudre un symbole sans fuite
Sans fuite libc : forgez la relocation que lit l'éditeur de liens dynamique pour lui faire résoudre et appeler system. Et pourquoi Full RELRO y met fin.
0x7000 · Techniques d'exploitation
Bacs à sable seccomp et la chaîne open-read-write
Une politique seccomp qui bannit execve retire le shell du jeu ; les attaquants pivotent : ouvrir le flag, le lire, le renvoyer. La chaîne ORW.
0x7000 · Techniques d'exploitation
Attaques FSOP : détourner un objet FILE
Les hooks partis, l'objet FILE devient la cible : un appel stdio passe par un pointeur de vtable inscriptible — corrompez-le et le prochain fwrite tombe.
0x7000 · Techniques d'exploitation
Fuites d'information : vaincre l'ASLR et les canaris
Les exploits modernes sont fuiter-puis-agir. Construisez une lecture hors limites, puis servez-vous-en pour retrouver un canari de pile, la base PIE et la base libc.
0x7000 · Techniques d'exploitation
ret2csu : emprunter le gadget universel du runtime
Pas de gadget pop rdx ? Le code de démarrage du runtime C a une séquence universelle qui charge plusieurs registres et fait un appel contrôlé. Construisez-la avec pwntools.
0x7000 · Techniques d'exploitation
SROP : exploiter avec un faux cadre de signal
Quand les gadgets sont rares, forgez un cadre de signal. Un appel sigreturn restaure tous les registres depuis la pile d'un coup — construisez-en un avec pwntools pour appeler execve.
0x7000 · Techniques d'exploitation
Stack pivoting : relocaliser la chaîne ROP
Quand le débordement dépasse à peine l'adresse de retour, déplacez rsp vers un tampon maîtrisé et exécutez-y la vraie chaîne. Tutoriel pwntools.
0x7000 · Techniques d'exploitation
Bugs de chaîne de format : lecture et écriture arbitraires
Un printf(entrée_utilisateur) est une primitive de lecture/écriture complète. Fuitez avec %p, écrasez avec %n via pwntools, puis regardez -Wformat=2 et FORTIFY_SOURCE le neutraliser.
0x7000 · Techniques d'exploitation
Détourner la GOT : rediriger un appel à la libc
La liaison paresseuse laisse la GOT inscriptible : une écriture arbitraire sur une entrée transforme puts() en system() — jusqu'à ce que Full RELRO la fige.
0x7000 · Techniques d'exploitation
Exploitation du tas : tcache et use-after-free
Les métadonnées du tas sont la primitive d'écriture. Un use-after-free empoisonne le tcache de la glibc pour allouer un chunk à une adresse choisie.
0x7000 · Techniques d'exploitation
Détourner le flot d'exécution : la technique ret2win
Tutoriel de labo : écraser une adresse de retour sauvegardée avec pwntools pour rediriger l'exécution, puis voir chaque mitigation casser l'exploit.
0x7000 · Techniques d'exploitation
Retourner dans la libc : la technique ret2libc
NX est actif et le binaire est minuscule, mais la libc est mappée et pleine de code utile. Fuitez sa base malgré l'ASLR, puis retournez dans system("/bin/sh").
0x7000 · Techniques d'exploitation
Construire une chaîne ROP pas à pas
Avec NX, le shellcode injecté est mort : on réutilise le code existant. Trouver des gadgets, bâtir une chaîne execve avec pwntools, puis voir CET et CFI la casser.