シェルコードとエクスプロイト

Shellcodeは、実行されると何らかの処理を行う小さなマシンコードで、典型的にはシェルを起動します。EIPを制御した後、実行をリダイレクトするペイロードです。

メモリへ直接注入できるよう、生のバイト列（オペコード）として記述されます。

一般的なペイロードの目的には、次のものがあります。

• Bind shell：被害者側で待ち受けポートを開きます。
• Reverse shell：攻撃者へ接続を返します（ファイアウォールやNATを越えやすくなります）。
• Execute command：ユーザー追加など、単一のコマンドを実行します。

実際の侵入テストでは、Reverse shellが最も一般的です。

msfvenomはペイロードを生成します。ペイロードの種類、リスナーのアドレスとポート、出力形式、回避する問題のある文字を指定します。

-bフラグは問題のある文字を除外し、-fは出力形式を設定します。

生のshellcodeには、NULLバイトのような問題のある文字が含まれていることがよくあります。エンコーダーは、そうしたバイトを避けるようにペイロードを変換し、実行時に元のコードを復元するデコーダースタブを先頭に付加します。

古典的なエンコーダーはx86/shikata_ga_naiです。

エンコードされたshellcodeは、実行前にメモリ上で自分自身をデコードします。この自己書き換えにはスタック上に少し余裕が必要です。そのため、NOPスレッドと十分なバッファ領域が役立ちます。

デコーダーが自身のコードを破壊しないよう、先にESPを調整しなければならない場合もあります。

完全なエクスプロイトバッファは次のとおりです。

• オフセットまでのパディング。
• JMP ESPのリターンアドレス。
• NOPスレッド。
• エンコードされたshellcode。

これを脆弱な入力へ送ると、実行がペイロードへ流れ込みます。

リバースシェルでは、エクスプロイトを実行する前に自分のマシンで待ち受ける必要があります。シンプルなNetcatリスナーで着信接続を受け取れます。

ステージ型ペイロードでは、代わりにMetasploitのmulti/handlerを使用してください。

リスナーの準備ができたら、細工したバッファーをターゲットに送信します。すべてが正しく整っていれば、シェルコードが実行され、リスナーで被害者マシンのシェルを受け取れます。

これで、脆弱なプロセスの権限でコマンドを実行できるようになります。

失敗した場合は、よくある原因を確認してください。

• シェルコードまたはリターンアドレスに不正な文字が混入している。
• NOPスレッドが短すぎる。
• デコーダーのスタック領域が不足している（ESPを調整してください）。
• オフセットまたはエンディアンが間違っている。

デバッガーで手順を追ってデバッグすれば、問題箇所を特定できます。

DEPとASLRが有効になっている場合、スタック上の通常のシェルコードは実行されません。最新のエクスプロイトでは、既存のコードガジェットを連結するReturn-Oriented Programming（ROP）や、ASLRを無効化するための情報漏えいを使用します。

このコースでは、これらの高度な手法の基礎となる知識を学びました。

ペイロードには2種類あります。非ステージ型ペイロードには、完全なシェルコードが1つのデータとして含まれています。ステージ型ペイロードは、小さなスタブを送信し、残りの部分をハンドラーからダウンロードします。

ステージ型ペイロードは小さなバッファーにも収まりますが、第2ステージを提供するために、Metasploitのmulti/handlerのような対応するハンドラーが必要です。

シェルコードがエンコードされることが多い理由を思い出してください。

エクスプロイトの一連の流れを完了しました。

• シェルコードはペイロードであり、リバースシェルが最も実用的です。
• msfvenomで生成してエンコードし、不正な文字を回避します。
• パディング + JMP ESP + NOPスレッド + シェルコードを組み立て、リスナーを起動して実行します。
• 最新のターゲットでは、DEP/ASLRを突破するためにROPと情報漏えいが必要です。

Buffer Overflow Exploitationコースを完了しました。