Shellcode ed exploit

Lo shellcode è una piccola porzione di codice macchina che esegue un'azione quando viene eseguita, classicamente avviando una shell. È il payload verso cui si reindirizza l'esecuzione dopo aver preso il controllo di EIP.

È scritto come byte grezzi (opcode), così da poter essere iniettato direttamente in memoria.

Tra gli obiettivi comuni dei payload figurano:

• Bind shell: apre una porta in ascolto sulla vittima.
• Reverse shell: si connette nuovamente all'attaccante (funziona meglio attraverso firewall/NAT).
• Eseguire un comando: esegue un singolo comando, ad esempio per aggiungere un utente.

Le reverse shell sono le più comuni negli incarichi reali.

msfvenom genera payload. È necessario specificare il tipo di payload, l'indirizzo e la porta del listener, il formato di output e gli eventuali caratteri non validi da evitare.

Il flag -b esclude i caratteri non validi; -f imposta il formato di output.

Lo shellcode grezzo contiene spesso caratteri non validi (come i byte nulli). Un encoder trasforma il payload per evitare questi byte, quindi antepone uno stub di decodifica che ripristina il codice originale durante l'esecuzione.

L'encoder classico è x86/shikata_ga_nai.

Lo shellcode codificato si decodifica da solo in memoria prima di essere eseguito. Questa automodifica richiede un po' di spazio aggiuntivo sullo stack, motivo per cui uno NOP sled e uno spazio adeguato nel buffer sono utili.

A volte è necessario modificare prima ESP, affinché il decoder non corrompa il proprio codice.

Il buffer completo dell'exploit è composto da:

• Padding fino all'offset.
• L'indirizzo di ritorno JMP ESP.
• Uno NOP sled.
• Lo shellcode codificato.

Invii questo contenuto all'input vulnerabile e l'esecuzione passerà al payload.

Per una shell inversa, deve mettersi in ascolto sulla propria macchina prima di attivare l'exploit. Un semplice listener Netcat intercetta la connessione in arrivo.

Per i payload staged, usi invece multi/handler di Metasploit.

Con il listener pronto, invii il buffer preparato al bersaglio. Se tutto è allineato, lo shellcode viene eseguito e il listener riceve una shell sulla macchina vittima.

A questo punto dispone dell'esecuzione di comandi con i privilegi del processo vulnerabile.

Se non funziona, verifichi le cause più comuni:

• Un carattere errato è finito nello shellcode o nell'indirizzo di ritorno.
• Il NOP sled è troppo corto.
• Il decoder non aveva spazio sufficiente nello stack (regoli ESP).
• Offset o ordine dei byte errati.

Un debugging metodico nel debugger consente di isolare il problema.

Con DEP e ASLR abilitati, lo shellcode semplice posizionato nello stack non viene eseguito. Gli exploit moderni usano il Return-Oriented Programming (ROP) per concatenare gadget di codice già esistenti e information leak per aggirare ASLR.

Questo corso ha fornito le basi su cui si fondano queste tecniche avanzate.

I payload sono disponibili in due varianti. Un payload stageless contiene tutto lo shellcode in un unico blocco. Un payload staged invia un piccolo stub che scarica il resto dal proprio handler.

I payload staged entrano in buffer più piccoli, ma richiedono un handler compatibile come multi/handler di Metasploit per fornire il secondo stage.

Ricordi perché lo shellcode viene spesso codificato.

Ha completato la catena di exploitation:

• Lo shellcode è il payload; le shell inverse sono le più pratiche.
• Lo generi e lo codifichi con msfvenom per evitare i caratteri errati.
• Assembli padding + JMP ESP + NOP sled + shellcode, avvii un listener e attivi l'exploit.
• I bersagli moderni richiedono ROP e information leak per aggirare DEP/ASLR.

Ha completato il corso Buffer Overflow Exploitation.