Microsoft PowerPoint - 从漏洞到利用代码为Metasploit写_cn.ppt

Size: px

Start display at page:

Download "Microsoft PowerPoint - 从漏洞到利用代码为Metasploit写_cn.ppt"

螗籍
5 years ago
Views:

1 从漏洞到利用代码为 Metasploit 写插件 Saumil Shah

2 本人简介 # who am i 16:08 up 4:26, 1 user, load averages: USER TTY FROM LOGIN@ IDLE WHAT saumil console - 11:43 0:05 bash Saumil Shah - krafty ceo, net-square solutions saumil@saumil.net WEB 黑客攻击和防御的作者 2

3 从漏洞到利用 Fuzzing EIP = 0x Debugger Attack Vector Reliable EIP return address Final Shellcode Working exploit Bad characters Test Shellcode (INT 3) Shellcode Handling INT 3? 3

4 CPU 寄存器 Intel 32-bit x86 寄存器 : accumulator base counter EAX EBX ECX stack pointer base pointer source index ESP EBP ESI data EDX destination index EDI instruction pointer EIP 4

5 进程内存映射 0x xc text.data.bss heap - malloc ed data v heap ^ stack main() local vars argc **argv **envp cmd line arguments environment vars 5

6 栈溢出错误条件 : 当大块数据尝试写入小的区块时 ( 堆栈上的本地 VAR). char buffer[128]; strcpy(buffer, argv[1]); 如果 argv[1] 超过 128 字节将会发生什么? 6

7 victim1.c 溢出示例非常简单, 提交超过 128 字节的字符串 $./victim1 AAAAAAAAAAAAAAAAA AAAAAAAAA Segmentation fault (core dumped) $ 调试 victim1.c $ gdb (gdb) target core core Core was generated by `./victim1 AAAAAAA AAAA'. Program terminated with signal 11, Segmentation fau #0 0x in?? () (gdb) 7

8 范例 victim1.c 调试栈溢出后的寄存器内容 : (gdb) info registers esp 0xbffffb ebp 0x esi 0x4000ae edi 0xbffffb eip 0x EIP 的值是 0x , 也就是 AAAA EIP 被溢出缓冲区中的数据覆盖 8

9 调用函数当一个函数被调用时, 以下内容将被压到堆栈中 : 函数参数保存的寄存器值, 如 EIP 和 EBP 当函数返回时,EIP 从堆栈中弹出, 恢复正常的程序流程 9

10 调用一个函数 main() { : func1(str) : : : } push str CALL (push EIP) push EBP func1(str) { : : : } RET (pop EIP) 10

11 Victim 内存映象 - 拷贝之前.text.data.bss Top of stack ESP func1::buffer[128] Bottom of stack saved EBP saved EIP ptr to param1 main() local vars envp, argv, etc frame 0 - func1() frame 1 - main() 11

12 Victim 内存映象 - 拷贝之后.text.data.bss Top of stack ESP Bottom of stack AAAAAAAAAAAAAAAAAAA AAAAAAAAAAAAAAAAAAA func1::buffer[128] saved A A A EBP A saved A A A EIP A ptr to param1 main() local vars envp, argv, etc Stack frame for func1() 12

13 堆栈被溢出.text.data.bss POP Top of stack ESP Bottom of stack AAAAAAAAAAAAAAAAAAA AAAAAAAAAAAAAAAAAAA func1::buffer[128] saved A A A EBP A saved A A A EIP A ptr to param1 main() local vars envp, argv, etc 当 func1 返回 EIP 会弹出 EIP = 0x ( AAAA ) 13

14 堆栈溢出后的寄存器值当 func1() 返回,EIP 和 EBP 从堆栈中弹出 (gdb) info registers esp 0xbffffa ebp 0x esi 0x4000ae edi 0xbffffa eip 0x 我们可以控制指令指针 14

15 控制 EIP 漏洞可导致 EIP 控制我们可以设置指令指针转到任何我们所想的地方问题是我们需要使它转到哪个地方我们可以注入自己的代码, 使 EIP 跳转到指定的代码吗? 及我们应该把代码注入到哪里? 15

16 介绍 Metasploit 是一个增加的利用代码研究和开发架构 WEB 地址是当前稳定版本 :2.6 由 PERL 编写, 运行在 Unix 和 Win32(cygwin) 160+ 可利用代码,77 个攻击负载数据,13 编码代码最新 3,0 beta1 完全由 Ruby 重写 16

17 介绍 Metasploit 生成 shellcocode Shellcode 编码 Shellcode 处理程序扫描程序中的特定指令 : 如 POP/POP/RET, JMP ESI 等可增加定制利用代码,Shellcode, Encoders. 及更多 17

18 EIP = 0x 我们怎么判断哪 4 个字节会覆盖 EIP 使用轮转模式作为输入 : Aa0Aa1Aa2Aa3Aa4Aa5Aa6Aa7Aa8Aa9Ab0Ab1Ab2Ab3Ab4Ab5Ab6Ab7Ab8Ab9Ac0Ac1 Ac2Ac3Ac4Ac5Ac6Ac7Ac8Ac9Ad0Ad1Ad2Ad3Ad4Ad5Ad6Ad7Ad8Ad9Ae0Ae1Ae2Ae3 Ae4Ae5Ae6Ae7Ae8Ae9Af0Af1Af2Af3Af4Af5Af6Af7Af8Af9Ag0Ag1Ag2Ag3Ag4Ag5 Ag6Ag7Ag8Ag9Ah0Ah1Ah2Ah3Ah4Ah5 Metasploit 的 Pex::Text::PatternOffset() 生成模式, 发现子字符串 18

19 到 EIP 的距离处理使用 Metasploit 的 patternoffset.pl krafty:~/metasploit$ perl sdk/patternoffset.pl 0x 基于 EIP 被什么值所覆盖, 我们可以通过如下模式获得到 EIP 的距离 : buffer 1012 bytes EIP Bottom of stack A a 0 A a 1 A a 2 A a 2 A a 3 (cyclic pattern). h 8 B h.. 19

20 栈溢出获得对程序计数器的控制直接覆盖程序计数器异常处理结构覆盖格式字符串错误堆溢出整数溢出通过是什么和在哪里覆盖 PC 20

21 输入 Shellcode 使用 CPU 的自身指令集编写成的代码作为被溢出缓冲区的一部分注入注入代码最典型的功能是开出 SHELL, 也即是 Shellcode 一段包含 shellcode 的缓冲区数据就一般称为攻击负载 21

22 编写 Shellcode 需要熟悉 CPU 自身指令集 : 如 x86 (ia32), x86-64 (ia64), ppc, sparc 等精确有效的汇编语言 OS 特定的系统调用 Shellcode 库和生成器 MetaSploit 架构 22

23 注入 Shellcode 最方便的方法是直接把 Shellcode 塞在缓冲区溢出数据自身内放置在负载数据的某处需要计算出会驻留在目标进程内存中何处 23

24 路想怎么走? EIP 可以这样转向 : 返回到堆栈直接跳到攻击负载数据中 ( 可靠性问题地址不细定, 堆栈保护 ) 返回到共享库通过寄存器跳转需要结合部分特定条件 ( 比较稳定的技术 ) 24

25 跳回到堆栈 func1(str) 0xbffff790 buffer[128] 0xbffff81c EIP Bottom of stack 0xbffff790 nop nop nop nop nop func1() returns - pop EIP buffer[128] EIP shellcode. 0xbffff7c0 0xbffff7c0 0xbffff7c0 EIP 0xbffff7c0 0xbffff7c0 nop nop nop nop nop buffer[128] execute shellcode EBP EIP shellcode. 0xbffff7c0 0xbffff7c0 0xbffff7c0 25

26 通过寄存器跳转 frame 0 frame 1. buffer[] EIP strcpy(buffer, s) AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA saved EIP overwritten AAAA AAAAAAAA EAX EBX ECX EDX ESP EBP ESI EDI EBX points within the buffer (in this case) ESP points beyond the saved EIP 26

27 通过寄存器跳转 xyz.dll call EBX Return to a known location within a DLL nop nop nop shellcode EIP DLL addr AAAAAAAA EAX EBX ECX EDX ESP EBP ESI EDI shellcode 在缓冲区开始位置 27

28 通过寄存器跳转 abc.dll jmp ESP AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA DLL EIP addr nop nop shellcode EAX EBX ECX EDX ESP EBP ESI EDI shellcode 在缓冲区结尾位置 28

29 查找 CALL 或者 JMP 指令我们需要从内存中查找包含 CALL 或者 JMP 指令所在的固定地址进程内存中共享库一般在固定地址装载理想的情况下是找到 CALL,JMP 指令我们可以尝试使用调试器使用手工模式使用操作码来搜索或者我们使用 msfpescan 或 msfelfscan 29

30 msfpescan, msfelfscan 扫描两进制的工具 ( 可执行执行程序或共享库 ) 支持 ELF 和 PE 两进制程序使用 metasploit 内置的反汇编器可以查找 CALL,JMP 或者 POP/POP/RET 指令集可以用于查找指定规则表达式的指组 30

31 Windows DLLs 中使用 msfpescan 如果我们需要搜索 JMP 到 ESI 寄存器 : ~/framework$./msfpescan -f windlls/user32.dll -j esi 0x77e11c46 call esi 0x77e121b7 call esi 0x77e121c5 call esi 0x77e1222a call esi : : : : 0x77e6ca97 jmp esi 我们需要把 EIP 指到任意值及使它之后执行 JMP/CALL ESI 31

32 搜索两进制的候选次序最先的是搜索可执行程序自身独立于内核, 服务补丁包,LIB 其次是搜索软件自身的共享库或者 DLL( 如 Winamp 中的 in_mp3.dll) 最后一般搜索操作系统包含的默认共享库如 kernel32.dll, libc.so 等或使可利用代码基于操作系统或特定服务包 32

33 示例 - peercast HTTP 溢出 1000 字节攻击负载开始 780 字节为 AAAA 必须包含转到 EIP 的地址 785 字节后数据包含 Shellcode. 33

34 Shellcode 知识点滴 Shellcode 类型 : 绑定 SHELL 执行命令反向 SHELL 分段 SHELL 等高级技术 : Meterpreter 上传并在进程内运行 DLL 等等 34

35 负载数据编码负载数据编码根据部分标准建立编码的 Shellcode 如 Alpha2 生成仅含字符和数字合成 shellcode 允许绕过任何协议解析 / 字节过滤解析增加一个解码小程序在 Shellcode 开始处字节可能增加 35

36 例如 :Alpha2 编码负载编码 original shellcode (ascii 0-255) decoder UnWQ89Jas281EEIIkla2wnhaAS901las 转换原始负载为可见字符式 shellcode 解码器在内存中解码负载 36

37 负载编码器 Metasploit 提供多种类型的编码器能针对协议解析进行工作如避免 CR,LF,NULL toupper(), tolower(), 等可绕过 IDS 检测多态 Shellcode Shikata Ga Nai 37

38 针对异常处理进行利用 Try / catch 块 try { : code that may throw : an exception. } catch { : attempt to recover from : the exception gracefully. } 针对每一代码块, 指向异常处理代码的指针也保存在堆栈上 38

39 异常处理实现 exception handler code (catch block) local vars saved EBP saved EIP params addr of exception handler frame w/ exception handling Bottom of stack more frames 39

40 Windows SEH SEH 结构化异常处理 Windows 弹出对话窗口 : 由默认处理机制处理 40

41 自定义异常处理默认 SEH 必须作为最后一着处理多种语言包括 C++ 提供异常处理编码功能编译器生成链接并依照操作系统调用异常处理代码在 Windows 中, 异常处理程序在堆栈中形成链接的列表链 41

42 SHE 记录每个 SHE 记录为 8 字节 ptr to next SEH record address of exception handler 这些 SHE 记录基于堆栈在函数依次调用后, 散布在函数 ( 块 ) 帧中 WinDBG 命令 -!exchain 42

43 SHE 链每个 SHE 记录为 8 字节 ex_handler1() ptr to SEH_record_2 addr of ex_handler1 ex_handler2() ptr to next SEH_record_n addr of ex_handler2 MSVCRT!exhandler 0xFFFFFFFF default exception handler bottom of stack 43

44 ex_handler_z() 堆栈中的 SEH ^ stack func_z() ptr to next SEH record address of exception handler local vars saved EIP saved EBP params main() MSVCRT!exhandler initial entry frame 0xFFFFFFFF address of exception handler 44

45 还有另一个方法获得 EIP 覆盖寄存的异常处理器的其中一个地址及使进程抛出异常如果没有自定义异常处理器注册, 覆盖默认 SHE 或许必须往下回溯堆栈但这样做需要比较长的缓冲区 45

46 覆盖 SEH buffer[12] ex_handler() saved EIP saved EBP params ptr to next SEH record address of exception handler 46

47 ex_handler() EIP = 0x 覆盖 SEH AAAA AAAA AAAA AAAA AAAA AAAA AAAA BBBB BBBB BBBB BBBB : : : EIP = 0x causes segmentation fau OS invokes registered exception handler in the ch 47

48 范例学习 sipxtapi CSeq 溢出 sipxtapi 库流行的开放源代码 VoIP 库使用在多个软电话中 AOL Triton 软电话程序使用 sipxtapi 在 CSeq SIP 头数据中有 24 字节缓冲区溢出此缓冲区目前来说可实用 shellcode 来讲太小我们可以通过覆盖 SHE 来处理 48

49 Metasploit 可利用代码模块编写集成在 Metasploit 架构中支持多个目标系统动态攻击负载选择动态攻击负载编码内置攻击负载处理器可以使用更先进的攻击负载.. 可移植, 扩展性好 49

50 Metasploit 怎样运行一个利用代码 user supplied exploit info List of known target values EXPLOIT preamble create payload launch attack get connection Metasploit Shellcode Library Encoders Payload handlers 50

51 编写一个 Metasploit 利用代码 Perl 模块 (2.6), Ruby 模块 (3.0) 预置数据结构 %info, %advanced 构造器 sub new { } 利用代码 sub Exploit { } 51

52 Perl 模块下的利用代码结构 package Msf::Exploit::name; use base Msf::Exploit ; use strict; use Pex::Text; my $advanced = { }; my $info = { }; sub new { } sub Exploit { } information block constructor return an instance of our exploit exploit block 52

53 %info 数据 Name Version Authors Arch OS Priv UserOpts Payload Encoder Refs DefaultTarget Targets Keys 53

54 Perl 扩展 Metasploit Pex <metasploit_home>/lib/pex.pm <metasploit_home>/lib/pex/ 文本处理函数套接字管理函数特定协议函数以上这些及更多的函数可供我们编写可利用代码 54

55 Pex::Text 编码和解码 ( 如 Base64) 模式生成随机文本生成 ( 逃避 IDS 检测 ) 额外数据填补等等 55

56 TCP UDP SSL TCP Raw UDP Pex::Socket 56

57 SMB DCE RPC SunRPC MSSQL etc Pex 特定协议工具 57

58 Pex 各种杂项工具 Pex::Utils 数组和哈希操作位轮循读和写文件格式串生成建立 Win32 PE 文件建立 Javascript 数组及其他! 58

59 metasploit_skel.pm 这是个 skeleton 可利用代码生成模块接但介绍可以使用 skeleton 编写可利用代码模块可把完成的可利用模块放置到如下位置 <path_to_metasploit>/exploits/ 59

60 已经完成模块范例 my_peercast.pm my_sipxtapi.pm 60

61 部分 Metasploit 命令行工具 Msfcli Metasploit 命令行接口可在非交互行为中使用 metasploit 架构的操作 msfpayload 使用特定选项生成攻击负载 msfencode 编码生成攻击负载 61

62 更多 Metasploit 命令行工具 msfweb Metasploit 架构的 WEB 接口 Msfupdate Metasploit 架构在线升级 62

63 Msfd 新版本 3.0 中的命令行工具 Metasploit 守护进程, 允许客户端 - 服务器之间操作 Msfopcode Metasploit 在线操作码数据库的命令行接口 Msfwx 使用 wxruby 的 GUI 接口 63

64 新版本 3.0 的其他特性增加了新的攻击负载, 新的编码器 Ruby 扩展 Rex( 类似 Pex) NASM shell. 后台数据库支持及一些其他不错的特性和工具 64

65 感谢! Saumil Shah

ROP_bamboofox.key

ROP_bamboofox.key ROP Return Oriented Programming Lays @ BambooFox Who Am I Lays / L4ys / 累死 - l4ys.tw Reverse Engineering BambooFox / HITCON Outline Buffer Overflow ret2libc / ret2text Return Oriented Programming Payload