Shellcode und Exploitation

Shellcode ist ein kleines Stück Maschinencode, das bei seiner Ausführung eine Aktion ausführt, klassischerweise das Starten einer Shell. Er ist die Payload, auf die Sie die Ausführung nach der Kontrolle über EIP umleiten.

Er wird als rohe Bytes (Opcodes) geschrieben, damit er direkt in den Speicher eingeschleust werden kann.

Zu den häufigen Zielen von Payloads gehören:

• Bind Shell: öffnet einen lauschenden Port auf dem Opferrechner.
• Reverse Shell: verbindet sich zurück mit dem Angreifer (funktioniert besser durch Firewalls und NAT).
• Befehl ausführen: führt einen einzelnen Befehl aus, etwa zum Anlegen eines Benutzers.

Reverse Shells sind bei realen Einsätzen am häufigsten.

msfvenom erzeugt Payloads. Sie geben den Payload-Typ, die Adresse und den Port des Listeners, das Ausgabeformat sowie alle zu vermeidenden problematischen Zeichen an.

Das Flag -b schließt problematische Zeichen aus; -f legt das Ausgabeformat fest.

Roher Shellcode enthält häufig problematische Zeichen (z. B. Nullbytes). Ein Encoder transformiert die Payload, um diese Bytes zu vermeiden, und stellt ihr anschließend einen Decoder-Stub voran, der den ursprünglichen Code zur Laufzeit wiederherstellt.

Der klassische Encoder ist x86/shikata_ga_nai.

Codierter Shellcode decodiert sich selbst im Speicher, bevor er ausgeführt wird. Diese Selbstmodifikation benötigt etwas zusätzlichen Platz auf dem Stack. Das ist ein Grund dafür, dass ein NOP-Sled und ausreichend Pufferplatz hilfreich sind.

Manchmal müssen Sie ESP zunächst anpassen, damit der Decoder seinen eigenen Code nicht beschädigt.

Der vollständige Exploit-Puffer besteht aus:

• Auffüllbytes bis zum Offset.
• Der Rücksprungadresse JMP ESP.
• Einem NOP-Sled.
• Dem codierten Shellcode.

Senden Sie dies an die verwundbare Eingabe, woraufhin die Ausführung in Ihre Payload übergeht.

Für eine Reverse Shell müssen Sie auf Ihrem Rechner lauschen, bevor Sie den Exploit auslösen. Ein einfacher Netcat-Listener nimmt die eingehende Verbindung entgegen.

Für gestufte Payloads verwenden Sie stattdessen Metasploits multi/handler.

Wenn der Listener bereit ist, senden Sie den präparierten Puffer an das Ziel. Wenn alles passt, wird der Shellcode ausgeführt und Ihr Listener empfängt eine Shell auf dem Zielsystem.

Sie können nun Befehle mit den Berechtigungen des verwundbaren Prozesses ausführen.

Wenn es fehlschlägt, überprüfen Sie die häufigsten Ursachen:

• Ein ungültiges Zeichen ist in den Shellcode oder die Rücksprungadresse gelangt.
• Der NOP-Sled ist zu kurz.
• Der Decoder hatte nicht genügend Platz auf dem Stack (ESP anpassen).
• Falscher Offset oder falsche Byte-Reihenfolge.

Durch systematisches Debugging im Debugger lässt sich das Problem eingrenzen.

Wenn DEP und ASLR aktiviert sind, wird einfacher Shellcode auf dem Stack nicht ausgeführt. Moderne Exploits verwenden Return-Oriented Programming (ROP), um vorhandene Code-Gadgets zu verketten, sowie Informationslecks, um ASLR zu umgehen.

In diesem Kurs wurden die Grundlagen vermittelt, auf denen diese fortgeschrittenen Techniken aufbauen.

Payloads gibt es in zwei Varianten. Ein stageless-Payload enthält den vollständigen Shellcode in einem Block. Ein staged-Payload sendet ein winziges Stub, das den Rest von Ihrem Handler herunterlädt.

Staged-Payloads passen in kleinere Puffer, benötigen aber einen passenden Handler wie Metasploits multi/handler, um die zweite Stufe bereitzustellen.

Rufen Sie sich ins Gedächtnis, warum Shellcode häufig kodiert wird.

Sie haben die Exploit-Kette abgeschlossen:

• Shellcode ist die Payload; Reverse Shells sind in der Praxis am nützlichsten.
• Generieren und kodieren Sie ihn mit msfvenom, um ungültige Zeichen zu vermeiden.
• Setzen Sie Padding + JMP ESP + NOP-Sled + Shellcode zusammen, starten Sie einen Listener und lösen Sie den Exploit aus.
• Moderne Ziele erfordern ROP und Informationslecks, um DEP/ASLR zu überwinden.

Sie haben den Kurs zur Ausnutzung von Buffer Overflows abgeschlossen.