Shellcode ja hyväksikäyttö

Shellcode on pieni konekoodinpätkä, joka suorittaa toiminnon, kun se suoritetaan; klassinen toiminto on komentotulkin käynnistäminen. Se on hyötykuorma, johon ohjaatte suorituksen otettuasi EIP:n hallintaan.

Se kirjoitetaan raakatavuina (opkoodeina), jotta se voidaan syöttää suoraan muistiin.

Yleisiä hyötykuormien tavoitteita ovat:

• Bind shell: avaa kuuntelevan portin uhrin järjestelmään.
• Reverse shell: muodostaa yhteyden takaisin hyökkääjään (toimii paremmin palomuurien/NAT:n läpi).
• Komennon suorittaminen: suorittaa yksittäisen komennon, kuten käyttäjän lisäämisen.

Reverse shellit ovat yleisimpiä oikeissa hyökkäystilanteissa.

msfvenom luo hyötykuormia. Määritätte hyötykuorman tyypin, kuuntelijan osoitteen ja portin, tulostusmuodon sekä vältettävät haitalliset merkit.

Lippu -b jättää haitalliset merkit pois; -f määrittää tulostusmuodon.

Raaka shellcode sisältää usein haitallisia merkkejä, kuten nollatavuja. Kooderi muuntaa hyötykuorman näiden tavujen välttämiseksi ja lisää sen alkuun purkurutiinin, joka palauttaa alkuperäisen koodin suorituksen aikana.

Klassinen kooderi on x86/shikata_ga_nai.

Koodattu shellcode purkaa itsensä muistissa ennen suorittamista. Tämä itsensä muokkaaminen tarvitsee pinosta hieman lisätilaa, mikä on yksi syy siihen, että NOP-liukuma ja riittävä puskuritila ovat hyödyllisiä.

Joskus ESP:tä on säädettävä ensin, jotta purkurutiini ei korruptoi omaa koodiaan.

Täydellinen exploit-puskuri sisältää:

• Täyte siirtymään asti.
• JMP ESP -paluuosoite.
• NOP-liukuma.
• Koodattu shellcode.

Lähettäkää tämä haavoittuvalle syötteelle, jolloin suoritus siirtyy hyötykuormaanne.

Reverse shell -yhteyttä varten koneenne on asetettava kuuntelemaan ennen haavoittuvuuden hyödyntämistä. Yksinkertainen Netcat-kuuntelija vastaanottaa saapuvan yhteyden.

Staged-payload-kuormille käyttäkää sen sijaan Metasploitin multi/handler-käsittelijää.

Kun kuuntelija on valmis, lähettäkää muodostettu puskuri kohteeseen. Jos kaikki osuu kohdalleen, shellkoodi suoritetaan ja kuuntelijanne vastaanottaa komentotulkin kohdekoneelta.

Teillä on nyt komennonsuoritusoikeus haavoittuvan prosessin oikeuksilla.

Jos suoritus epäonnistuu, tarkistakaa yleiset syyt:

• Virheellinen merkki on päätynyt shellkoodiin tai paluuosoitteeseen.
• NOP-liuku on liian lyhyt.
• Dekooderilla ei ollut riittävästi tilaa pinossa (säätäkää ESP:tä).
• Väärä siirtymä tai tavujärjestys.

Järjestelmällinen virheenkorjaus debuggerissa auttaa paikantamaan ongelman.

Kun DEP ja ASLR ovat käytössä, pinossa oleva tavallinen shellkoodi ei suoritu. Nykyaikaisissa hyökkäyksissä käytetään Return-Oriented Programming (ROP) -tekniikkaa olemassa olevien koodigadgettien ketjuttamiseen sekä tietovuotoja ASLR:n kiertämiseen.

Tällä kurssilla opetettiin perusta, jonka varaan nämä edistyneet tekniikat rakentuvat.

Kuormia on kahta tyyppiä. Stageless-kuorma sisältää koko shellkoodin yhtenä kokonaisuutena. Staged-kuorma lähettää pienen aloitusosan, joka lataa loput kuormasta käsittelijältänne.

Staged-kuormat mahtuvat pienempiin puskureihin, mutta tarvitsevat sopivan käsittelijän, kuten Metasploitin multi/handler-käsittelijän, toisen vaiheen toimittamiseen.

Olette käyneet läpi hyödyntämisketjun:

• Shellkoodi on kuorma; reverse shell -yhteydet ovat käytännöllisimpiä.
• Luokaa ja koodatkaa se msfvenomilla virheellisten merkkien välttämiseksi.
• Koostakaa täyte + JMP ESP + NOP-liuku + shellkoodi, käynnistäkää kuuntelija ja suorittakaa hyökkäys.
• Nykyaikaisissa kohteissa tarvitaan ROP-tekniikkaa ja tietovuotoja DEP:n ja ASLR:n ohittamiseen.

Olette suorittaneet Buffer Overflow Exploitation -kurssin.