_call_tls_dtors exploit

이건 정리를 해두어야 할 것 같아서 글을 쓴다.

 

요약하자면 FS 세그먼트 부분과 , libc 메모리 쪽 컨트롤이 가능할 때 원하는 함수 실행이 가능하다

 

exit 함수에서는 필수적으로 _call_tls_dtors가 호출이 되는데, 

 

ida에 문제가 생겨서 좀 이상해졌지만 저 memory 부분은 free함수이다. 

따라서 0x3f0b18과 fs 쪽 메모리를 건드려 줄 수  있다면 원하는 함수를 호출 시킬 수 있다. 

이때 free hook 까지 이용하기 위해서는 메모리 세팅을 

rdi=[rbx+8]=0

rax=[rbx+0x10]=아무 주소(실제 존재하는)

rdx=[rbx+0x18]

으로 맞춰줘야 한다. rdi가 0인이유는 xor연산을 무시하기 위함이다.   저 rax에 주소를 넣어주는 이유는

 

 

lock을 하기 때문이다.