Shellcode y explotación

El shellcode es un pequeño fragmento de código máquina que realiza una acción al ejecutarse; tradicionalmente, inicia un shell. Es la carga útil a la que redirige la ejecución después de controlar EIP.

Está escrito como bytes sin formato (códigos de operación) para poder inyectarlo directamente en la memoria.

Entre los objetivos habituales de las cargas útiles se incluyen:

• Bind shell: abre un puerto a la escucha en la víctima.
• Reverse shell: se conecta de vuelta al atacante (funciona mejor a través de firewalls/NAT).
• Ejecutar un comando: ejecuta un único comando, como añadir un usuario.

Las reverse shells son las más habituales en operaciones reales.

msfvenom genera cargas útiles. Debe especificar el tipo de carga útil, la dirección y el puerto del listener, el formato de salida y los caracteres problemáticos que se deben evitar.

La opción -b excluye los caracteres problemáticos; -f establece el formato de salida.

El shellcode sin formato suele contener caracteres problemáticos (como bytes nulos). Un codificador transforma la carga útil para evitar esos bytes y antepone un stub decodificador que restaura el código original durante la ejecución.

El codificador clásico es x86/shikata_ga_nai.

El shellcode codificado se decodifica a sí mismo en la memoria antes de ejecutarse. Esta automodificación necesita un pequeño margen adicional en la pila, por lo que un tobogán de NOP y un espacio de búfer suficiente resultan útiles.

A veces debe ajustar ESP primero para que el decodificador no corrompa su propio código.

El búfer completo del exploit es:

• Relleno hasta el desplazamiento.
• La dirección de retorno JMP ESP.
• Un tobogán de NOP.
• El shellcode codificado.

Envíe esto a la entrada vulnerable y la ejecución pasará a su carga útil.

Para una shell inversa, debe escuchar en su máquina antes de activar el exploit. Un listener sencillo de Netcat captura la conexión entrante.

Para payloads por etapas, use en su lugar multi/handler de Metasploit.

Con el listener preparado, envíe el búfer diseñado al objetivo. Si todo encaja, el shellcode se ejecuta y su listener recibe una shell en la víctima.

Ahora dispone de ejecución de comandos con los privilegios del proceso vulnerable.

Si falla, compruebe las causas habituales:

• Se ha introducido un carácter no válido en el shellcode o en la dirección de retorno.
• El trineo de NOP es demasiado corto.
• El decodificador no tenía suficiente espacio en la pila (ajuste ESP).
• El offset o el orden de bytes son incorrectos.

Depurar metódicamente en el depurador permite aislar el problema.

Con DEP y ASLR activados, el shellcode colocado directamente en la pila no se ejecutará. Los exploits modernos usan programación orientada al retorno (ROP) para encadenar gadgets de código existentes y filtraciones de información para superar ASLR.

Este curso ha enseñado los fundamentos sobre los que se basan esas técnicas avanzadas.

Los payloads se presentan en dos variantes. Un payload sin etapas contiene todo el shellcode en un único bloque. Un payload por etapas envía un stub diminuto que descarga el resto desde su handler.

Los payloads por etapas caben en búferes más pequeños, pero necesitan un handler compatible, como multi/handler de Metasploit, para entregar la segunda etapa.

Recuerde por qué el shellcode suele codificarse.

Ha completado la cadena de explotación:

• El shellcode es el payload; las shells inversas son las más prácticas.
• Genérelo y codifíquelo con msfvenom para evitar caracteres no válidos.
• Ensamble el relleno + JMP ESP + trineo de NOP + shellcode, inicie un listener y active el exploit.
• Los objetivos modernos necesitan ROP y filtraciones de información para superar DEP/ASLR.

Ha completado el curso de explotación de desbordamientos de búfer.