Shellcode i eksploatacja

Shellcode to niewielki fragment kodu maszynowego, który po wykonaniu realizuje określone działanie — tradycyjnie uruchamia powłokę. Jest to ładunek, do którego przekierowuje się wykonanie po przejęciu kontroli nad EIP.

Jest zapisany jako surowe bajty (kody operacji), dzięki czemu można go bezpośrednio wstrzyknąć do pamięci.

Typowe cele ładunków obejmują:

• Bind shell: otwiera port nasłuchujący na zaatakowanym komputerze.
• Reverse shell: nawiązuje połączenie zwrotne z atakującym (co ułatwia przejście przez zapory sieciowe i NAT).
• Execute command: wykonuje pojedyncze polecenie, na przykład dodanie użytkownika.

Reverse shell jest najczęściej używany podczas rzeczywistych testów bezpieczeństwa.

msfvenom generuje ładunki. Należy określić typ ładunku, adres i port nasłuchującego, format wyjściowy oraz niedozwolone znaki, których należy unikać.

Flaga -b wyklucza niedozwolone znaki, a -f ustawia format wyjściowy.

Surowy shellcode często zawiera niedozwolone znaki (takie jak bajty null). Koder przekształca ładunek, aby uniknąć tych bajtów, a następnie dodaje na początku procedurę dekodującą, która odtwarza oryginalny kod podczas działania.

Klasycznym koderem jest x86/shikata_ga_nai.

Kodowany shellcode dekoduje się w pamięci przed uruchomieniem. Ta samomodyfikacja wymaga pewnego zapasu miejsca na stosie, dlatego między innymi pomocne są ślizg NOP i odpowiednio duży bufor.

Czasami trzeba najpierw dostosować ESP, aby dekoder nie uszkodził własnego kodu.

Kompletny bufor exploita składa się z:

• Dopełnienia do przesunięcia.
• Adresu powrotu JMP ESP.
• Ślizgu NOP.
• Kodowanego shellcode.

Wystarczy wysłać go do podatnego wejścia, aby wykonanie zostało przekierowane do ładunku.

W przypadku powłoki zwrotnej przed uruchomieniem exploita należy rozpocząć nasłuchiwanie na swoim komputerze. Prosty nasłuch Netcat przechwyci przychodzące połączenie.

W przypadku payloadów etapowych należy zamiast tego użyć multi/handler w Metasploit.

Gdy nasłuch jest gotowy, wyślij przygotowany bufor do celu. Jeśli wszystko się zgadza, shellcode zostanie uruchomiony, a nasłuch odbierze powłokę na zaatakowanym systemie.

Masz teraz możliwość wykonywania poleceń z uprawnieniami podatnego procesu.

Jeśli atak się nie powiedzie, sprawdź typowe przyczyny:

• Do shellcode'u lub adresu powrotu przedostał się niedozwolony znak.
• Ślizg NOP jest zbyt krótki.
• Dekoder nie miał wystarczająco dużo miejsca na stosie (dostosuj ESP).
• Nieprawidłowy offset lub porządek bajtów.

Metodyczne debugowanie w debuggerze pozwala wyizolować problem.

Przy włączonych mechanizmach DEP i ASLR zwykły shellcode umieszczony na stosie nie zostanie wykonany. Współczesne exploity wykorzystują programowanie zorientowane na powroty (ROP) do łączenia istniejących fragmentów kodu oraz wycieki informacji do obejścia ASLR.

Ten kurs przedstawił podstawy, na których opierają się te zaawansowane techniki.

Payloady występują w dwóch wariantach. Payload bezetapowy zawiera cały shellcode w jednym bloku. Payload etapowy wysyła niewielki kod pośredniczący, który pobiera resztę z handlera.

Payloady etapowe mieszczą się w mniejszych buforach, ale wymagają zgodnego handlera, takiego jak multi/handler w Metasploit, aby dostarczyć drugi etap.

Przypomnij sobie, dlaczego shellcode jest często kodowany.

Ukończyłeś cały łańcuch eksploatacji:

• Shellcode to payload; najbardziej praktyczne są powłoki zwrotne.
• Wygeneruj go i zakoduj za pomocą msfvenom, aby ominąć niedozwolone znaki.
• Połącz wypełnienie + JMP ESP + ślizg NOP + shellcode, uruchom nasłuch i przeprowadź atak.
• Współczesne cele wymagają użycia ROP i wycieków informacji do pokonania DEP/ASLR.

Ukończyłeś kurs eksploatacji przepełnienia bufora.