-q# No show banner-x<file># Auto-execute GDB instructions from here-p<pid># Attach to process
지침
run# Executestart# Start and break in mainn/next/ni# Execute next instruction (no inside)s/step/si# Execute next instructionc/continue# Continue until next breakpointpsystem# Find the address of the system functionset $eip =0x12345678# Change value of $eiphelp# Get helpquit# exit# Disassembledisassemblemain# Disassemble the function called maindisassemble0x12345678# Disassemble taht addresssetdisassembly-flavorintel# Use intel syntaxsetfollow-fork-modechild/parent# Follow child/parent process# Breakpointsbrfunc# Add breakpoint to functionbr*func+23br*0x12345678del<NUM># Delete that number of breakpointwatchEXPRESSION# Break if the value changes# infoinfofunctions-->Infoabountfunctionsinfofunctionsfunc-->Infoofthefuntioninforegisters-->Valueoftheregistersbt# Backtrace Stackbtfull# Detailed stackprintvariableprint0x87654321-0x12345678# Caculate# x/examineexamine/<num><o/x/d/u/t/i/s/c><b/h/w/g> dir_mem/reg/puntero # Shows content of <num> in <octal/hexa/decimal/unsigned/bin/instruction/ascii/char> where each entry is a <Byte/half word (2B)/Word (4B)/Giant word (8B)>
x/o0xDir_hexx/2x $eip # 2Words from EIPx/2x $eip -4# $eip - 4x/8xb $eip # 8 bytes (b-> byte, h-> 2bytes, w-> 4bytes, g-> 8bytes)ireip# Value of $eipx/wpointer# Value of the pointerx/spointer# String pointed by the pointerx/xw&pointer# Address where the pointer is locatedx/i $eip # Instructions of the EIP
GEF의 이 포크를 사용할 수도 있습니다. 이 포크에는 더 많은 흥미로운 명령어가 포함되어 있습니다.
helpmemory# Get help on memory commandcanary# Search for canary value in memorychecksec#Check protectionspsystem#Find system function addresssearch-pattern"/bin/sh"#Search in the process memoryvmmap#Get memory mappingsxinfo<addr># Shows page, size, perms, memory area and offset of the addr in the pagememorywatch0x7840000x1000byte#Add a view always showinf this memorygot#Check got tablememorywatch $_got()+0x185#Watch a part of the got table# Vulns detectionformat-string-helper#Detect insecure format stringsheap-analysis-helper#Checks allocation and deallocations of memory chunks:NULL free, UAF,double free, heap overlap#Patternspatterncreate200#Generate length 200 patternpatternsearch"avaaawaa"#Search for the offset of that substringpatternsearch $rsp #Search the offset given the content of $rsp#Shellcodeshellcodesearchx86#Search shellcodesshellcodeget61#Download shellcode number 61#Dump memory to filedumpbinarymemory/tmp/dump.bin0x2000000000x20000c350#Another way to get the offset of to the RIP1-PutabpafterthefunctionthatoverwritestheRIPandsendappaterntoovwerwriteit2-ef➤ifStacklevel0,frameat0x7fffffffddd0:rip=0x400cd3; savedrip=0x6261617762616176calledbyframeat0x7fffffffddd8Arglistat0x7fffffffdcf8,args:Localsat0x7fffffffdcf8,Previousframe's sp is 0x7fffffffddd0Saved registers:rbp at 0x7fffffffddc0, rip at 0x7fffffffddc8gef➤ pattern search 0x6261617762616176[+] Searching for '0x6261617762616176'[+] Found at offset 184 (little-endian search) likely
트릭
GDB 동일한 주소
디버깅 중에 GDB는 실행될 때 사용되는 것과 약간 다른 주소를 가질 수 있습니다. GDB가 동일한 주소를 가지도록 하려면 다음을 수행할 수 있습니다:
unset env LINES
unset env COLUMNS
set env _=<path>바이너리의 절대 경로를 입력하세요
동일한 절대 경로를 사용하여 바이너리를 이용한 공격
GDB를 사용할 때와 바이너리를 공격할 때 **PWD**와 **OLDPWD**는 동일해야 합니다.
호출된 함수 찾기 위한 백트레이스
정적으로 링크된 바이너리를 사용하는 경우 모든 함수는 바이너리에 속하게 됩니다(외부 라이브러리가 아닙니다). 이 경우 예를 들어 사용자 입력을 요청하는 바이너리가 따르는 흐름을 식별하는 것이 어려울 수 있습니다.gdb를 사용하여 바이너리를 실행하고 입력을 요청받을 때까지 실행한 후 CTRL+C로 중지시킨 다음 bt(백트레이스) 명령을 사용하여 호출된 함수를 확인할 수 있습니다:
gef➤ bt
#0 0x00000000004498ae in ?? ()
#1 0x0000000000400b90 in ?? ()
#2 0x0000000000400c1d in ?? ()
#3 0x00000000004011a9 in ?? ()
#4 0x0000000000400a5a in ?? ()
GDB 서버
gdbserver --multi 0.0.0.0:23947 (IDA에서는 Linux 머신의 실행 파일의 절대 경로와 Windows 머신의 절대 경로를 입력해야 함)
Ghidra
스택 오프셋 찾기
Ghidra는 로컬 변수의 위치 정보 덕분에 버퍼 오버플로우에 대한 오프셋을 찾는 데 매우 유용합니다.
예를 들어, 아래 예시에서 local_bc에서의 버퍼 플로우는 0xbc의 오프셋이 필요하다는 것을 나타냅니다. 또한, local_10이 캐너리 쿠키인 경우, local_bc에서 덮어쓰기 위한 오프셋은 0xac입니다.
RIP가 저장된 첫 번째 0x08이 RBP에 속한다는 것을 기억하세요.
gcc -fno-stack-protector -D_FORTIFY_SOURCE=0 -z norelro -z execstack 1.2.c -o 1.2 --> 보호 기능 없이 컴파일합니다
-o --> 출력
-g --> 코드 저장 (GDB에서 볼 수 있음)
echo 0 > /proc/sys/kernel/randomize_va_space --> Linux에서 ASLR 비활성화
쉘코드를 컴파일하는 방법:nasm -f elf assembly.asm --> ".o" 파일 반환
ld assembly.o -o shellcodeout --> 실행 파일
Objdump
-d --> 실행 파일의 옵코드 섹션을 역어셈블합니다 (컴파일된 쉘코드의 옵코드, ROP 가젯, 함수 주소 찾기...)
-Mintel --> Intel 구문
-t --> 심볼 테이블
-D --> 모두 역어셈블 (정적 변수의 주소)
-s -j .dtors --> dtors 섹션
-s -j .got --> got 섹션
-D -s -j .plt --> plt 섹션 디컴파일-TR --> 재배치ojdump -t --dynamic-relo ./exec | grep puts --> 수정할 "puts"의 주소를 찾기 위해
objdump -D ./exec | grep "VAR_NAME" --> 정적 변수의 주소 (이들은 DATA 섹션에 저장됨).
Core dumps
프로그램을 시작하기 전에 ulimit -c unlimited 실행
sudo sysctl -w kernel.core_pattern=/tmp/core-%e.%p.%h.%t 실행
sudo gdb --core=\<path/core> --quiet 실행
More
ldd executable | grep libc.so.6 --> 주소 (ASLR이 켜져 있으면 매번 변경됨)
for i in `seq 0 20`; do ldd <Ejecutable> | grep libc; done --> 주소가 자주 변경되는지 확인하기 위한 루프
readelf -s /lib/i386-linux-gnu/libc.so.6 | grep system --> "system"의 오프셋
strings -a -t x /lib/i386-linux-gnu/libc.so.6 | grep /bin/sh --> "/bin/sh"의 오프셋
strace executable --> 실행 파일에서 호출된 함수들
rabin2 -i ejecutable --> 모든 함수의 주소
Inmunity debugger
!monamodules#Get protections, look for all false except last one (Dll of SO)!monafind-s"\xff\xe4"-mname_unsecure.dll#Search for opcodes insie dll space (JMP ESP)
IDA
원격 리눅스에서 디버깅
IDA 폴더 안에는 리눅스 내에서 이진 파일을 디버깅하는 데 사용할 수 있는 바이너리 파일이 있습니다. 이를 위해 linux_server 또는 linux_server64 바이너리 파일을 리눅스 서버로 이동하고 해당 바이너리 파일이 있는 폴더 내에서 실행하십시오:
