Shellcode et exploitation

Le code shell est un petit morceau de code machine qui effectue une action lorsqu'il est exécuté, classiquement l'ouverture d'un interpréteur de commandes. C'est la charge utile vers laquelle vous redirigez l'exécution après avoir contrôlé EIP.

Il est écrit sous forme d'octets bruts (opcodes) afin de pouvoir être injecté directement en mémoire.

Les objectifs courants d'une charge utile sont notamment :

• Interpréteur de commandes lié : ouvre un port en écoute sur la victime.
• Interpréteur de commandes inversé : se connecte à l'attaquant (de préférence à travers les pare-feu et le NAT).
• Exécuter une commande : exécute une seule commande, comme l'ajout d'un utilisateur.

Les interpréteurs de commandes inversés sont les plus courants lors des engagements réels.

msfvenom génère des charges utiles. Vous indiquez le type de charge utile, l'adresse et le port d'écoute, le format de sortie ainsi que les caractères interdits à éviter.

L'option -b exclut les caractères interdits ; -f définit le format de sortie.

Le code shell brut contient souvent des caractères interdits (comme des octets nuls). Un encodeur transforme la charge utile pour éviter ces octets, puis ajoute au début un décodeur qui restaure le code original à l'exécution.

L'encodeur classique est x86/shikata_ga_nai.

Le code shell encodé se décode lui-même en mémoire avant son exécution. Cette auto-modification nécessite un peu d'espace supplémentaire sur la pile, ce qui explique notamment pourquoi un toboggan de NOP et un tampon suffisamment grand sont utiles.

Vous devez parfois ajuster ESP au préalable afin que le décodeur ne corrompe pas son propre code.

Le tampon complet de l'exploit est composé de :

• Le remplissage jusqu'au décalage.
• L'adresse de retour JMP ESP.
• Un toboggan de NOP.
• Le code shell encodé.

Envoyez-le à l'entrée vulnérable pour que l'exécution se poursuive dans votre charge utile.

Pour un shell inversé, vous devez écouter sur votre machine avant de déclencher l’exploit. Une simple écoute Netcat intercepte la connexion entrante.

Pour les charges utiles par étapes, utilisez plutôt multi/handler de Metasploit.

Une fois l’écoute prête, envoyez le tampon conçu à la cible. Si tout s’aligne, le shellcode s’exécute et votre écoute reçoit un shell sur la machine victime.

Vous disposez alors d’une exécution de commandes avec les privilèges du processus vulnérable.

En cas d’échec, vérifiez les causes courantes :

• Un caractère problématique s’est glissé dans le shellcode ou l’adresse de retour.
• Le traîneau de NOP est trop court.
• Le décodeur ne disposait pas de suffisamment d’espace sur la pile (ajustez ESP).
• Décalage ou ordre des octets incorrect.

Un débogage méthodique dans le débogueur permet d’isoler le problème.

Lorsque DEP et ASLR sont activés, un shellcode placé directement sur la pile ne s’exécute pas. Les exploitations modernes utilisent la programmation orientée retour (ROP) pour enchaîner des gadgets de code existants, ainsi que des fuites d’informations pour contourner ASLR.

Ce cours vous a enseigné les fondations sur lesquelles reposent ces techniques avancées.

Les charges utiles existent sous deux formes. Une charge utile sans étapes contient tout le shellcode dans un seul bloc. Une charge utile par étapes envoie un petit fragment qui télécharge le reste depuis votre gestionnaire.

Les charges utiles par étapes tiennent dans des tampons plus petits, mais nécessitent un gestionnaire correspondant, comme multi/handler de Metasploit, pour fournir la deuxième étape.

Rappelez-vous pourquoi le shellcode est souvent encodé.

Vous avez terminé la chaîne d’exploitation :

• Le shellcode est la charge utile : les shells inversés sont les plus pratiques.
• Générez-le et encodez-le avec msfvenom pour éviter les caractères problématiques.
• Assemblez le remplissage + JMP ESP + traîneau de NOP + shellcode, démarrez une écoute, puis déclenchez l’exploit.
• Les cibles modernes nécessitent la ROP et des fuites d’informations pour contourner DEP/ASLR.

Vous avez terminé le cours sur l’exploitation des dépassements de tampon.