Shellcode e exploração

Código de shell é um pequeno trecho de código de máquina que executa uma ação quando executado, tradicionalmente iniciando um shell. É a carga útil para a qual você redireciona a execução depois de controlar o EIP.

Ele é escrito em bytes brutos (códigos de operação) para poder ser injetado diretamente na memória.

Entre os objetivos comuns das cargas úteis estão:

• Shell vinculado: abre uma porta de escuta na vítima.
• Shell reverso: conecta-se de volta ao invasor (funciona melhor através de firewalls/NAT).
• Executar comando: executa um único comando, como adicionar um usuário.

Shells reversos são os mais comuns em operações reais.

O msfvenom gera cargas úteis. Você especifica o tipo de carga útil, o endereço e a porta de escuta, o formato de saída e quaisquer caracteres inválidos que devem ser evitados.

O sinalizador -b exclui caracteres inválidos; -f define o formato de saída.

O código de shell bruto frequentemente contém caracteres inválidos (como bytes nulos). Um codificador transforma a carga útil para evitar esses bytes e, em seguida, acrescenta um pequeno decodificador que restaura o código original em tempo de execução.

O codificador clássico é x86/shikata_ga_nai.

O código de shell codificado decodifica a si mesmo na memória antes de ser executado. Essa automodificação precisa de um pouco de espaço adicional na pilha, razão pela qual uma trilha de NOPs e espaço suficiente no buffer são úteis.

Às vezes, você precisa ajustar o ESP primeiro para que o decodificador não corrompa o próprio código.

O buffer completo do exploit é:

• Preenchimento até o deslocamento.
• O endereço de retorno JMP ESP.
• Uma trilha de NOPs.
• O código de shell codificado.

Envie isso para a entrada vulnerável, e a execução seguirá para a sua carga útil.

Para obter um shell reverso, você precisa escutar em sua máquina antes de disparar a exploração. Um escutador simples do Netcat captura a conexão recebida.

Para cargas úteis em estágios, use o multi/handler do Metasploit.

Com o escutador pronto, envie o buffer criado para o alvo. Se tudo estiver alinhado, o código de shell será executado, e seu escutador receberá um shell na máquina vítima.

Agora você tem execução de comandos com os privilégios do processo vulnerável.

Se falhar, verifique as causas comuns:

• Um caractere inválido foi inserido no código de shell ou no endereço de retorno.
• A sequência NOP é curta demais.
• O decodificador não tinha espaço suficiente na pilha (ajuste ESP).
• Deslocamento ou ordenação de bytes incorretos.

Uma depuração metódica no depurador permite isolar o problema.

Com DEP e ASLR habilitados, o código de shell simples na pilha não será executado. A exploração moderna usa Programação Orientada a Retorno (ROP) para encadear trechos de código existentes e vazamentos de informações para contornar ASLR.

Este curso ensinou a base sobre a qual essas técnicas avançadas são construídas.

As cargas úteis vêm em dois formatos. Uma carga útil sem estágios contém todo o código de shell em um único bloco. Uma carga útil em estágios envia um pequeno trecho inicial que baixa o restante do seu manipulador.

Cargas úteis em estágios cabem em buffers menores, mas precisam de um manipulador compatível, como o multi/handler do Metasploit, para entregar o segundo estágio.

Lembre-se por que o código de shell costuma ser codificado.

Você concluiu a cadeia de exploração:

• Código de shell é a carga útil; shells reversos são os mais práticos.
• Gere e codifique o código com msfvenom para evitar caracteres inválidos.
• Monte preenchimento + JMP ESP + sequência NOP + código de shell, inicie um escutador e dispare a exploração.
• Alvos modernos precisam de ROP e vazamentos de informações para contornar DEP/ASLR.

Você concluiu o curso de Exploração de Buffer Overflow.