Шелл-код и эксплуатация

Шелл-код — небольшой фрагмент машинного кода, выполняющий определённое действие после запуска; классический пример — создание командной оболочки. Это полезная нагрузка, на которую Вы перенаправляете выполнение после получения управления EIP.

Он записывается в виде необработанных байтов (опкодов), поэтому его можно напрямую внедрить в память.

К распространённым целям полезной нагрузки относятся:

• Привязывающая оболочка: открывает порт для прослушивания на атакуемой системе.
• Обратная оболочка: подключается обратно к атакующему (лучше работает через межсетевые экраны и NAT).
• Выполнение команды: запускает одну команду, например добавление пользователя.

В реальных атаках чаще всего используются обратные оболочки.

msfvenom генерирует полезные нагрузки. Вы указываете тип полезной нагрузки, адрес и порт прослушивания, формат вывода и недопустимые символы, которых следует избегать.

Флаг -b исключает недопустимые символы, а -f задаёт формат вывода.

Необработанный шелл-код часто содержит недопустимые символы (например, нулевые байты). Кодировщик преобразует полезную нагрузку, чтобы избежать этих байтов, а затем добавляет в начало декодирующую заглушку, которая восстанавливает исходный код во время выполнения.

Классический кодировщик — x86/shikata_ga_nai.

Закодированный шелл-код декодирует себя в памяти перед запуском. Для этой самомодификации требуется небольшой запас места в стеке, поэтому цепочка NOP и достаточно большой буфер полезны.

Иногда сначала необходимо скорректировать ESP, чтобы декодировщик не повредил собственный код.

Полный буфер эксплойта состоит из следующих частей:

• Заполнение до смещения.
• Адрес возврата JMP ESP.
• Цепочка NOP.
• Закодированный шелл-код.

Отправьте эти данные в уязвимое поле, и выполнение перейдёт к Вашей полезной нагрузке.

Для обратной оболочки необходимо запустить прослушивание на своей машине до запуска эксплойта. Простой слушатель Netcat принимает входящее соединение.

Для многоэтапных полезных нагрузок вместо этого используйте multi/handler из Metasploit.

Когда слушатель готов, отправьте сформированный буфер цели. Если всё совпадёт, шелл-код выполнится, и слушатель получит оболочку на машине-жертве.

Теперь у Вас есть возможность выполнять команды с правами уязвимого процесса.

Если ничего не работает, проверьте распространённые причины:

• В шелл-код или адрес возврата попал неподходящий символ.
• NOP sled слишком короток.
• Декодеру не хватило места в стеке (скорректируйте ESP).
• Неправильное смещение или порядок байтов.

Методичная отладка в отладчике помогает изолировать проблему.

Если DEP и ASLR включены, обычный шелл-код в стеке не выполнится. В современных атаках применяют программирование, ориентированное на возврат (ROP), чтобы объединять существующие фрагменты кода, а также утечки информации для обхода ASLR.

В этом курсе заложена основа, на которой строятся эти продвинутые методы.

Полезные нагрузки бывают двух видов. Цельная полезная нагрузка содержит весь шелл-код в одном блоке. Многоэтапная полезная нагрузка отправляет небольшой начальный фрагмент, который загружает остальную часть с Вашего обработчика.

Многоэтапные полезные нагрузки помещаются в меньшие буферы, но для доставки второго этапа им нужен соответствующий обработчик, например multi/handler из Metasploit.

Вспомните, почему шелл-код часто кодируют.

Вы завершили цепочку эксплуатации:

• Шелл-код — это полезная нагрузка; наиболее практичны обратные оболочки.
• Сгенерируйте и закодируйте его с помощью msfvenom, чтобы избежать неподходящих символов.
• Соберите заполнение + JMP ESP + NOP sled + шелл-код, запустите слушатель и выполните атаку.
• Для современных целей нужны ROP и утечки информации, чтобы обойти DEP/ASLR.

Вы завершили курс по эксплуатации переполнения буфера.