-q# No show banner-x<file># Auto-execute GDB instructions from here-p<pid># Attach to process
Anleitung
run# Executestart# Start and break in mainn/next/ni# Execute next instruction (no inside)s/step/si# Execute next instructionc/continue# Continue until next breakpointpsystem# Find the address of the system functionset $eip =0x12345678# Change value of $eiphelp# Get helpquit# exit# Disassembledisassemblemain# Disassemble the function called maindisassemble0x12345678# Disassemble taht addresssetdisassembly-flavorintel# Use intel syntaxsetfollow-fork-modechild/parent# Follow child/parent process# Breakpointsbrfunc# Add breakpoint to functionbr*func+23br*0x12345678del<NUM># Delete that number of breakpointwatchEXPRESSION# Break if the value changes# infoinfofunctions-->Infoabountfunctionsinfofunctionsfunc-->Infoofthefuntioninforegisters-->Valueoftheregistersbt# Backtrace Stackbtfull# Detailed stackprintvariableprint0x87654321-0x12345678# Caculate# x/examineexamine/<num><o/x/d/u/t/i/s/c><b/h/w/g> dir_mem/reg/puntero # Shows content of <num> in <octal/hexa/decimal/unsigned/bin/instruction/ascii/char> where each entry is a <Byte/half word (2B)/Word (4B)/Giant word (8B)>
x/o0xDir_hexx/2x $eip # 2Words from EIPx/2x $eip -4# $eip - 4x/8xb $eip # 8 bytes (b-> byte, h-> 2bytes, w-> 4bytes, g-> 8bytes)ireip# Value of $eipx/wpointer# Value of the pointerx/spointer# String pointed by the pointerx/xw&pointer# Address where the pointer is locatedx/i $eip # Instructions of the EIP
Sie könnten optional diese Gabel von GEF verwenden, die weitere interessante Anweisungen enthält.
helpmemory# Get help on memory commandcanary# Search for canary value in memorychecksec#Check protectionspsystem#Find system function addresssearch-pattern"/bin/sh"#Search in the process memoryvmmap#Get memory mappingsxinfo<addr># Shows page, size, perms, memory area and offset of the addr in the pagememorywatch0x7840000x1000byte#Add a view always showinf this memorygot#Check got tablememorywatch $_got()+0x185#Watch a part of the got table# Vulns detectionformat-string-helper#Detect insecure format stringsheap-analysis-helper#Checks allocation and deallocations of memory chunks:NULL free, UAF,double free, heap overlap#Patternspatterncreate200#Generate length 200 patternpatternsearch"avaaawaa"#Search for the offset of that substringpatternsearch $rsp #Search the offset given the content of $rsp#Shellcodeshellcodesearchx86#Search shellcodesshellcodeget61#Download shellcode number 61#Dump memory to filedumpbinarymemory/tmp/dump.bin0x2000000000x20000c350#Another way to get the offset of to the RIP1-PutabpafterthefunctionthatoverwritestheRIPandsendappaterntoovwerwriteit2-ef➤ifStacklevel0,frameat0x7fffffffddd0:rip=0x400cd3; savedrip=0x6261617762616176calledbyframeat0x7fffffffddd8Arglistat0x7fffffffdcf8,args:Localsat0x7fffffffdcf8,Previousframe's sp is 0x7fffffffddd0Saved registers:rbp at 0x7fffffffddc0, rip at 0x7fffffffddc8gef➤ pattern search 0x6261617762616176[+] Searching for '0x6261617762616176'[+] Found at offset 184 (little-endian search) likely
Tricks
GDB gleiche Adressen
Beim Debuggen hat GDB etwas andere Adressen als die, die vom Binärprogramm beim Ausführen verwendet werden. Sie können GDB dazu bringen, die gleichen Adressen zu haben, indem Sie folgendes tun:
unset env LINES
unset env COLUMNS
set env _=<Pfad>Geben Sie den absoluten Pfad zum Binärprogramm ein
Das Binärprogramm mit dem gleichen absoluten Pfad ausnutzen
PWD und OLDPWD müssen gleich sein, wenn Sie GDB verwenden und das Binärprogramm ausnutzen
Backtrace, um aufgerufene Funktionen zu finden
Bei einem statisch verknüpften Binärprogramm gehören alle Funktionen zum Binärprogramm (und nicht zu externen Bibliotheken). In diesem Fall wird es schwierig sein, den Ablauf zu identifizieren, dem das Binärprogramm folgt, um beispielsweise nach Benutzereingaben zu fragen.
Sie können diesen Ablauf leicht identifizieren, indem Sie das Binärprogramm mit gdb ausführen, bis Sie nach einer Eingabe gefragt werden. Stoppen Sie es dann mit STRG+C und verwenden Sie den Befehl bt (backtrace), um die aufgerufenen Funktionen zu sehen:
gef➤ bt
#0 0x00000000004498ae in ?? ()
#1 0x0000000000400b90 in ?? ()
#2 0x0000000000400c1d in ?? ()
#3 0x00000000004011a9 in ?? ()
#4 0x0000000000400a5a in ?? ()
GDB-Server
gdbserver --multi 0.0.0.0:23947 (in IDA müssen Sie den absoluten Pfad der ausführbaren Datei auf dem Linux-Rechner und auf dem Windows-Rechner angeben)
Ghidra
Stack-Offset finden
Ghidra ist sehr nützlich, um den Offset für einen Buffer Overflow zu finden, dank der Informationen über die Position der lokalen Variablen.
Zum Beispiel zeigt ein Buffer Overflow in local_bc im folgenden Beispiel an, dass Sie einen Offset von 0xbc benötigen. Darüber hinaus, wenn local_10 ein Canary-Cookie ist, zeigt dies an, dass es einen Offset von 0xac gibt, um es von local_bc aus zu überschreiben.
Bedenken Sie, dass die ersten 0x08, von wo aus der RIP gespeichert wird, zum RBP gehören.
gcc -fno-stack-protector -D_FORTIFY_SOURCE=0 -z norelro -z execstack 1.2.c -o 1.2 --> Kompilieren ohne Schutzmaßnahmen
-o --> Ausgabe
-g --> Code speichern (GDB kann ihn sehen)
echo 0 > /proc/sys/kernel/randomize_va_space --> ASLR in Linux deaktivieren
Um einen Shellcode zu kompilieren:nasm -f elf assembly.asm --> gibt eine ".o"-Datei zurück
ld assembly.o -o shellcodeout --> Ausführbar
Objdump
-d --> Disassemblieren von ausführbaren Abschnitten (Opcode des kompilierten Shellcodes anzeigen, ROP-Gadgets finden, Adressen von Funktionen finden...)
-Mintel --> Intel-Syntax
-t --> Symboltabelle
-D --> Alles disassemblieren (Adresse von statischen Variablen)
-s -j .dtors --> dtors-Abschnitt
-s -j .got --> got-Abschnitt
-D -s -j .plt --> plt-Abschnitt dekompilieren
ojdump -t --dynamic-relo ./exec | grep puts --> Adresse von "puts" zum Ändern in GOT
objdump -D ./exec | grep "VAR_NAME" --> Adresse einer statischen Variable (diese werden im DATA-Abschnitt gespeichert).
Core-Dumps
Führen Sie ulimit -c unlimited aus, bevor Sie mein Programm starten
Führen Sie sudo sysctl -w kernel.core_pattern=/tmp/core-%e.%p.%h.%t aus
sudo gdb --core=\<path/core> --quiet
Mehr
ldd executable | grep libc.so.6 --> Adresse (bei ASLR ändert sich dies jedes Mal)
for i in `seq 0 20`; do ldd <Ejecutable> | grep libc; done --> Schleife, um zu sehen, ob sich die Adresse stark ändert
readelf -s /lib/i386-linux-gnu/libc.so.6 | grep system --> Offset von "system"
strings -a -t x /lib/i386-linux-gnu/libc.so.6 | grep /bin/sh --> Offset von "/bin/sh"
strace executable --> Funktionen, die vom ausführbaren Programm aufgerufen werden
rabin2 -i ejecutable --> Adresse aller Funktionen
Inmunity debugger
!monamodules#Get protections, look for all false except last one (Dll of SO)!monafind-s"\xff\xe4"-mname_unsecure.dll#Search for opcodes insie dll space (JMP ESP)
IDA
Debugging in Remote Linux
Innerhalb des IDA-Ordners finden Sie Binärdateien, die zum Debuggen eines Binärdateis in einem Linux verwendet werden können. Um dies zu tun, verschieben Sie die Binärdatei linux_server oder linux_server64 in den Linux-Server und führen Sie sie im Ordner aus, der die Binärdatei enthält:
./linux_server64 -Ppass
Dann konfigurieren Sie den Debugger: Debugger (Linux Remote) --> Prozessoptionen...:
