Windows Exploiting (Basic Guide - OSCP lvl)
Leer & oefen AWS Uitbuiting:HackTricks Opleiding AWS Rooi Span Kenner (ARTE)
Leer & oefen GCP Uitbuiting:
HackTricks Opleiding GCP Rooi Span Kenner (GRTE)
Begin met die installeer van die SLMail-diens
Herlaai SLMail-diens
Elke keer as jy die diens SLMail moet herlaai, kan jy dit doen deur die Windows-konsole te gebruik:
![](https://book.hacktricks.xyz/~gitbook/image?url=https%3A%2F%2F843477771-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252FC6PyZhjUxJWWaN3uLo1y%252Fuploads%252Fgit-blob-d504c55ec578b643fab30a78d85f7cb6c597e38f%252Fimage%2520%28988%29.png%3Falt%3Dmedia&width=768&dpr=4&quality=100&sign=c72bb8bf&sv=1)
Baie basiese Python uitbuitingsjabloon
Verander Immunity Debugger-lettertipe
Gaan na Options >> Verskyning >> Lettertipes >> Verander(Consolas, Vet, 9) >> OK
Heg die proses aan Immunity Debugger:
Lêer --> Heg aan
![](https://book.hacktricks.xyz/~gitbook/image?url=https%3A%2F%2F843477771-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252FC6PyZhjUxJWWaN3uLo1y%252Fuploads%252Fgit-blob-db465b8ed1eaa187e93e076dfe412f8551e42be2%252Fimage%2520%28869%29.png%3Falt%3Dmedia&width=768&dpr=4&quality=100&sign=a8396ae1&sv=1)
En druk die BEGIN-knoppie
Stuur die uitbuit en kontroleer of EIP geraak is:
![](https://book.hacktricks.xyz/~gitbook/image?url=https%3A%2F%2F843477771-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252FC6PyZhjUxJWWaN3uLo1y%252Fuploads%252Fgit-blob-606702899e6bd7748d05767d943117fb6b6ec501%252Fimage%2520%28906%29.png%3Falt%3Dmedia&width=768&dpr=4&quality=100&sign=ab5c8805&sv=1)
Elke keer as jy die diens breek, moet jy dit herlaai soos aangedui aan die begin van hierdie bladsy.
Skep 'n patroon om die EIP te wysig
Die patroon moet so groot wees as die buffer wat jy vantevore gebruik het om die diens te breek.
![](https://book.hacktricks.xyz/~gitbook/image?url=https%3A%2F%2F843477771-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252FC6PyZhjUxJWWaN3uLo1y%252Fuploads%252Fgit-blob-307f8dd503a364e25cccc8148d58ebec274efaf0%252Fimage%2520%28420%29.png%3Falt%3Dmedia&width=768&dpr=4&quality=100&sign=8a4c92e4&sv=1)
Verander die buffer van die aanval en stel die patroon in en lanceer die aanval.
'n Nuwe crash behoort te verskyn, maar met 'n ander EIP-adres:
![](https://book.hacktricks.xyz/~gitbook/image?url=https%3A%2F%2F843477771-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252FC6PyZhjUxJWWaN3uLo1y%252Fuploads%252Fgit-blob-12af266f17aba5ec3669a26ede2c3768201217ef%252Fimage%2520%28636%29.png%3Falt%3Dmedia&width=768&dpr=4&quality=100&sign=e848d03a&sv=1)
Kyk of die adres in jou patroon was:
![](https://book.hacktricks.xyz/~gitbook/image?url=https%3A%2F%2F843477771-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252FC6PyZhjUxJWWaN3uLo1y%252Fuploads%252Fgit-blob-d0d8fd1cc87a03bf4c89f557c6e28a5af461fdcb%252Fimage%2520%28418%29.png%3Falt%3Dmedia&width=768&dpr=4&quality=100&sign=384f4a0b&sv=1)
Dit lyk asof ons die EIP in offset 2606 kan wysig van die buffer.
Kyk of dit die buffer van die aanval kan wysig:
Met hierdie buffer moet die EIP wat afgeskryf het na 42424242 ("BBBB") wys.
![](https://book.hacktricks.xyz/~gitbook/image?url=https%3A%2F%2F843477771-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252FC6PyZhjUxJWWaN3uLo1y%252Fuploads%252Fgit-blob-8eb902501dca8f3a0bf32c590769428d0526d638%252Fimage%2520%28874%29.png%3Falt%3Dmedia&width=768&dpr=4&quality=100&sign=d722f397&sv=1)
![](https://book.hacktricks.xyz/~gitbook/image?url=https%3A%2F%2F843477771-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252FC6PyZhjUxJWWaN3uLo1y%252Fuploads%252Fgit-blob-d56598b83f7e6a65b3dee798ed6a2d530e15d648%252Fimage%2520%2892%29.png%3Falt%3Dmedia&width=768&dpr=4&quality=100&sign=2175a98f&sv=1)
Dit lyk asof dit werk.
Kontroleer vir Shellcode-spasie binne die stokkie
600B behoort genoeg te wees vir enige kragtige shellcode.
Laat ons die buffer verander:
Lanseer die nuwe uitbuit en kontroleer die EBP en die lengte van die nuttige shellcode
![](https://book.hacktricks.xyz/~gitbook/image?url=https%3A%2F%2F843477771-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252FC6PyZhjUxJWWaN3uLo1y%252Fuploads%252Fgit-blob-c7a07caac9156d55124ed28560dc925eae1ff3ec%252Fimage%2520%28119%29.png%3Falt%3Dmedia&width=768&dpr=4&quality=100&sign=77933793&sv=1)
![](https://book.hacktricks.xyz/~gitbook/image?url=https%3A%2F%2F843477771-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252FC6PyZhjUxJWWaN3uLo1y%252Fuploads%252Fgit-blob-7f601f09f24c11d573bc6477fd3cdd99d6288ca1%252Fimage%2520%28879%29.png%3Falt%3Dmedia&width=768&dpr=4&quality=100&sign=b4e3ecdb&sv=1)
Jy kan sien dat wanneer die kwesbaarheid bereik word, die EBP na die shellcode wys en dat ons baie spasie het om 'n shellcode hier te plaas.
In hierdie geval het ons vanaf 0x0209A128 tot 0x0209A2D6 = 430B. Genoeg.
Kontroleer vir slegte karakters
Verander weer die buffer:
Die slegte karakters begin in 0x01 omdat 0x00 byna altyd sleg is.
Voer herhaaldelik die aanval uit met hierdie nuwe buffer deur die karakters wat nutteloos bevind word, te verwyder:.
Byvoorbeeld:
In hierdie geval kan jy sien dat jy nie die karakter 0x0A moet gebruik (niks word gestoor in die geheue aangesien die karakter 0x09).
![](https://book.hacktricks.xyz/~gitbook/image?url=https%3A%2F%2F843477771-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252FC6PyZhjUxJWWaN3uLo1y%252Fuploads%252Fgit-blob-7681c85e2c7b962272fed7e5ef45ea30636de6e0%252Fimage%2520%28111%29.png%3Falt%3Dmedia&width=768&dpr=4&quality=100&sign=9b10cd3a&sv=1)
In hierdie geval kan jy sien dat die karakter 0x0D vermy word:
![](https://book.hacktricks.xyz/~gitbook/image?url=https%3A%2F%2F843477771-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252FC6PyZhjUxJWWaN3uLo1y%252Fuploads%252Fgit-blob-9a275baae416d7c02336f1288ab8883287a568d5%252Fimage%2520%281098%29.png%3Falt%3Dmedia&width=768&dpr=4&quality=100&sign=f7dae893&sv=1)
Vind 'n JMP ESP as 'n terugkeeradres
Met behulp van:
Jy sal die geheuekaarte lys. Soek vir 'n paar DLL wat het:
Herbasisering: Vals
VeiligeSEH: Vals
ASLR: Vals
NXCompat: Vals
OS Dll: Waar
![](https://book.hacktricks.xyz/~gitbook/image?url=https%3A%2F%2F843477771-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252FC6PyZhjUxJWWaN3uLo1y%252Fuploads%252Fgit-blob-84735e3840827ae4681282ffe35238e474a72630%252Fimage%2520%28555%29.png%3Falt%3Dmedia&width=768&dpr=4&quality=100&sign=3d70b48d&sv=1)
Nou, binne hierdie geheue moet jy 'n paar JMP ESP byte vind, om dit te doen, voer uit:
Dan, as 'n adres gevind word, kies een wat nie enige slegte karakters bevat nie:
![](https://book.hacktricks.xyz/~gitbook/image?url=https%3A%2F%2F843477771-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252FC6PyZhjUxJWWaN3uLo1y%252Fuploads%252Fgit-blob-ceb0a0f919bc190fe80aab06ba5c9db156149fed%252Fimage%2520%28605%29.png%3Falt%3Dmedia&width=768&dpr=4&quality=100&sign=d1982c08&sv=1)
In hierdie geval, byvoorbeeld: _0x5f4a358f_
Skep shellcode
Indien die uitbuiting nie werk nie maar wel moet (jy kan sien met ImDebg dat die shellcode bereik word), probeer om ander shellkodes te skep (msfvenom sal verskillende shellkodes skep vir dieselfde parameters).
Voeg 'n paar NOPS aan die begin van die shellcode by en gebruik dit en die terugkeeradres om te JMP ESP, en voltooi die uitbuiting:
Daar is skelkodes wat hulself sal oorskryf, daarom is dit belangrik om altyd 'n paar NOPs voor die skelkode by te voeg
Verbetering van die skelkode
Voeg hierdie parameters by:
Leer & oefen AWS-hacking: HackTricks Opleiding AWS Red Team Expert (ARTE)
Leer & oefen GCP-hacking:
HackTricks Opleiding GCP Red Team Expert (GRTE)
Last updated