Kabuk Kodu ve İstismar

Kabuk kodu, çalıştırıldığında bir eylem gerçekleştiren, klasik olarak bir kabuk başlatan küçük bir makine kodu parçasıdır. EIP'yi denetledikten sonra yürütmeyi yönlendirdiğiniz yük budur.

Doğrudan belleğe enjekte edilebilmesi için ham baytlar (işlem kodları) olarak yazılır.

Yaygın yük amaçları şunlardır:

• Bağlanan kabuk: kurban üzerinde dinleyen bir bağlantı noktası açar.
• Ters kabuk: saldırgana geri bağlanır (güvenlik duvarları/NAT üzerinden geçmek için daha uygundur).
• Komut çalıştırma: kullanıcı eklemek gibi tek bir komutu çalıştırır.

Gerçek operasyonlarda en yaygın olanlar ters kabuklardır.

msfvenom yükler oluşturur. Yük türünü, dinleyicinin adresini ve bağlantı noktasını, çıktı biçimini ve kaçınılacak hatalı karakterleri belirtirsiniz.

-b seçeneği hatalı karakterleri dışlar; -f çıktı biçimini ayarlar.

Ham kabuk kodu çoğu zaman hatalı karakterler (null baytları gibi) içerir. Bir kodlayıcı, bu baytlardan kaçınmak için yükü dönüştürür ve ardından çalışma zamanında özgün kodu geri yükleyen bir kod çözücü gövdesi ekler.

Klasik kodlayıcı x86/shikata_ga_nai'dir.

Kodlanmış kabuk kodu çalışmadan önce bellekte kendisini çözer. Bu kendini değiştirme işlemi yığında biraz ek alan gerektirir; NOP kızağının ve yeterli arabellek alanının yardımcı olmasının nedenlerinden biri budur.

Bazen kod çözücünün kendi kodunu bozmaması için önce ESP'yi ayarlamanız gerekir.

Eksiksiz istismar arabelleği şöyledir:

• Uzaklığa kadar dolgu.
• JMP ESP dönüş adresi.
• Bir NOP kızağı.
• Kodlanmış kabuk kodu.

Bunu güvenlik açığı bulunan girdiye gönderdiğinizde yürütme yükünüze yönelir.

Ters bir kabuk için istismarı tetiklemeden önce makinenizde dinleme yapmanız gerekir. Basit bir Netcat dinleyicisi gelen bağlantıyı yakalar.

Aşamalı yükler için bunun yerine Metasploit'in multi/handler bileşenini kullanın.

Dinleyici hazır olduğunda hazırlanmış arabelleği hedefe gönderin. Her şey doğru hizalanırsa kabuk kodu çalışır ve dinleyiciniz kurban makinede bir kabuk alır.

Artık savunmasız işlemin ayrıcalıklarıyla komut çalıştırabilirsiniz.

Çalışmazsa yaygın nedenleri kontrol edin:

• Kabuk koduna veya dönüş adresine bir hatalı karakter sızmış olabilir.
• NOP dizisi çok kısadır.
• Kod çözücü için yığında yeterli alan yoktur (ESP'yi ayarlayın).
• Yanlış kaydırma veya bayt sıralaması kullanılmıştır.

Hata ayıklayıcıda sistematik hata ayıklama yaparak sorunun kaynağını izole edebilirsiniz.

DEP ve ASLR etkin olduğunda, yığındaki düz kabuk kodu çalışmaz. Modern istismar teknikleri, mevcut kod parçalarını zincirlemek için Dönüş Odaklı Programlama (ROP) ve ASLR'yi etkisizleştirmek için bilgi sızıntılarını kullanır.

Bu kursta, bu ileri tekniklerin temelini oluşturan altyapıyı öğrendiniz.

Yükler iki biçimde gelir. Aşamasız bir yük, kabuk kodunun tamamını tek bir veri bloğunda içerir. Aşamalı bir yük, geri kalan kısmı işleyicinizden indiren küçük bir başlangıç kodu gönderir.

Aşamalı yükler daha küçük arabellek sığar; ancak ikinci aşamayı göndermek için Metasploit'in multi/handler bileşeni gibi uyumlu bir işleyiciye ihtiyaç duyar.

Kabuk kodunun neden çoğu zaman kodlandığını hatırlayın.

İstismar zincirini tamamladınız:

• Kabuk kodu yüktür; ters kabuklar en kullanışlı seçenektir.
• Hatalı karakterlerden kaçınmak için msfvenom ile oluşturup kodlayın.
• Dolgu + JMP ESP + NOP dizisi + kabuk kodunu birleştirin, bir dinleyici başlatın ve istismarı tetikleyin.
• Modern hedefleri aşmak için ROP ve bilgi sızıntılarıyla DEP/ASLR'yi etkisizleştirmek gerekir.

Arabellek Taşması İstismarı kursunu tamamladınız.