книги хакеры / Защита_от_взлома_сокеты,_эксплойты,_shell_код_Фостер_Дж_

Рис. 12.23. Шаг 4: интерпретация результатов

в колонке «Address». В колонках «Module» и «OS Versions» содержится дополнительная информация, которая может быть полезна для организации атаки. Нашему эксплойту нужен только один адрес, чтобы перезаписать адрес возврата. Поскольку все равно, какой выбрать, возьмем команду CALL EAX из ntdll.dll, расположенную по адресу 0x77F76385.

Примечание

Программы постоянно изменяются и обновляются. Поэтому смеще ние адреса возврата для одной и той же уязвимости может оказаться разным в разных версиях. Взять, к примеру, тот же IIS 4. Мы знаем, что при установленном пакете обновлений смещение равно 589 бай там. Но при тестировании с Service Pack 3 и 4 обнаружилось, что ад ресу возврата должно предшествовать 593 байта. Это означает, что при разработке эксплойта нужно учитывать версию атакуемой про граммы и выбирать соответствующее ей смещение.

Выше мы уже говорили, что файлы разделяемых библиотек тоже мо гут зависеть от версии ОС и пакета обновлений. Но иногда удается найти такой адрес кода операции, который остается инвариантным для разных версий ОС. Редко, но бывает, что адрес одинаков для всех версий Windows и пакетов обновлений. Такой адрес называется универсальным адресом возврата. В качестве примера можно на звать эксплойт для атаки на переполнение буфера в программе Seattle Lab Mail 5.5 POP3, который включен в каркас Metasploit.

Рис. 12.24. Использование утилиты msfpescan

Помимо базы данных с огромным набором кодов операций, Metasploit содержит две командных утилиты: msfpescan è msfelfscan, которые позволяют искать коды операций в файлах формата PE и ELF соответственно. PE – это формат исполняемых файлов в Windows, а ELF – в большинстве UNIX-сис- тем. При сканировании вручную важно пользоваться утилитой для той платформы, которую вы намереваетесь атаковать. На рис. 12.24 показаны результаты работы msfpescan, запущенной для поиска в ntdll.dll команд перехода, в которых используется регистр EAX.

Использование адреса возврата

Теперь можно исправить эксплойт так, чтобы он записал вместо сохраненного адреса возврата найденный нами адрес адрес команды CALL EAX, то есть 0x77F76385. На месте сохраненного адрес возврата окажутся байты полезной нагрузки с 590 по 593. В примере 12.4 показано, как следует модифицировать текст эксплойта.

Пример 12.4. Вставка адреса возврата

1$string = "GET /";

2$string .= "\xcc" x 589;

3$string .= "\x85\x63\xf7\x77";

4$string .= "\xcc" x 500;

5 $string .= ".htr HTTP/1.0\r\n\r\n";

6

7 open(NC, "|nc.exe 192.168.181.129 80");

9close(NC);

Âстроках 1 и 5 задаются префикс и суффикс строки атаки, содержащие вид запроса, а также расширение имени файла и версию протокола. В строке 3 сохраненный адрес возврата переписывается адресом команды CALL EAX. Так как жертва работает на платформе x86, то адрес следует представлять в формате little endian. В строках 2 и 4 строка запроса дополняется слева и справа байтом 0xCC. Строки 7 и 9 нужны для коммуникации через сокет.

На всех процессорах x86 байтом 0xCC представляется команда INT 3, которая останавливает процесс при работе под отладчиком. Заполнив строку этой командой, мы можем быть уверены, что на какое бы место в строке атаки ни указывал EIP, отладчик перехватит управление процессом. Тем самым мы убедимся, что наш адрес возврата работает правильно. Когда процесс будет остановлен, можно будет в отладчике посмотреть, куда именно указывает EIP (рис. 12.25).

На рис. 12.25 в окне отладчика показано четыре области (по часовой стрелке, начиная с левого верхнего угла): дизассемблированные команды, значения регистров, содержимое стека и содержимое памяти. В окне дизассемблера, где показаны команды программы, видно, что EIP указывает на одну из команд INT 3. В окне регистров показаны текущие значения регист-

Рис. 12.25. Проверка правильности адреса возврата

что текущая команда должна находиться по адресу 0x00F0FC7C. Окно распе- чатки памяти подтверждает, что 0x00F0FC7C – это адрес первого байта, следующего за адресом возврата, так что команда, на которую указывал адрес возврата, честно скопировала содержимое EAX в EIP.

Нам нужно, чтобы процессор выполнил не команду INT 3, а код нашей полезной нагрузки, но сначала необходимо выяснить, какие на нее налагаются ограничения.

Определение недопустимых символов

Многие приложения фильтруют получаемые извне данные, поэтому перед тем как посылать жертве полезную нагрузку, важно выяснить, нет ли в ней символов, которые будут удалены или изменены. Есть два способа проверить, пройдет ли полезная нагрузка через установленные приложением фильтры.

Первый метод состоит в том, чтобы послать полезную нагрузку и посмотреть, выполнится она или нет. Если выполнилась, можно успокоиться. Но обычно так не бывает и приходится прибегать ко второму методу.

Мы знаем, что все возможные символы в кодировке ASCII представляются числами от 0 до 255. Значит, можно создать тестовую строку, которая будет содержать каждый из них. Эту последовательность можно повторить

âобласти, окружающей адрес возврата, а в качестве самого адреса возврата указать заведомо некорректный адрес в памяти. Когда этот адрес загрузится

âEIP, произойдет нарушение защиты, и мы с помощью отладчика сможем посмотреть, какие символы отфильтровались, а какие считаются признаком конца строки.

Если символ был удален из середины строки, то его следует избегать в полезной нагрузке. Если же строка преждевременно оборвалась, значит символ, следующий за последним видимым, приложение интерпретирует как признак конца строки. Таких символов в полнезной нагрузке тоже не должно быть. Двоичный ноль (0x00) практически всегда считается концом строки, поэтому в тестовую строку его даже включать не надо. Если обнаружен еще какой-то символ, обрывающий строку, надо исключить и его и послать модифицированную тестовую строку еще раз.

При отправке тестовой строки жертве она часто повторяется несколько раз, так как, возможно, дело не в фильтре, а в том, что какая-то функция программы модифицирует данные в стеке. Так как эта функция вызывается до останова процесса, то невозможно сказать, что именно стало причиной модификации. Повторив строку несколько раз, мы сможем выяснить, кто виноват: фильтр или функция. Если некоторый символ будет удален или из-

менен во всех экземплярах тестовой строки, значит, это, скорее всего, фильтр,

Дорожка из NOP3команд

Чтобы полезная нагрузка выполнилась правильно, регистр EIP должен указывать точно на ее начало. Но предсказать адрес полезной нагрузки в стеке для разных систем с точностью до байта сложно, поэтому часто ее начинают с последовательности («дорожки») NOP-команд, не выполняющих никаких полезных операций. По такой дорожке можно «скользить» до первой полезной команды, даже если EIP будет указывать не совсем туда, куда нужно. Таким образом, этот прием повышает шансы на успешное выполнение эксплойта, поскольку расширяет область допустимых адресов для EIP, сохраняя

âто же время состояние процессора.

Àсохранять состояние процессора важно, так как не исключено, что для работы полезной нагрузки должны удовлетворяться некоторые предусловия. NOP-команда не изменяет состояния процессора, который просто тратит один такт на переход к следующей команде. При этом лишь увеличивается значение регистра EIP.

На рис. 12.29 показано, как дорожка из NOP-команд приводит к тому адресу, на который указывает EIP.

Рис. 12.29. Повышение надежности за счет дорожки из NOP*команд

В любом процессоре есть одна или несколько команд, которые могут выступать в роли «пустышки». Так, в процессорах семейства x86 можно взять команду с кодом 0x90, а на некоторых RISC-платформах воспользоваться командой сложения и отбросить результат. Если компьютер-жертва работает на платформе x86, то дорожку можно выложить из команд с кодом 0x90. Строго говоря, код операции 0x90 соответствует команде XCHG EAX,EAX, которая обменивает регистр EAX с самим собой, не изменяя тем самым состояния процессора.

Выбор полезной нагрузки и кодировщика

Последний шаг разработки эксплойта – это создание и кодирование полезной нагрузки, которую предстоит вставить в строку атаки и послать жертве для исполнения. Полезная нагрузка состоит из команд, позволяющих достичь поставленной цели, например, запустить на атакованном компьютере некую программу или открыть серверный сокет, при соединении с которым будет запускаться оболочка. Чтобы создать полезную нагрузку с нуля, разработчик эксплойта должен уметь программировать на ассемблере для конкретного процессора, а также разбираться в особенностях целевой операционной системы. Требования серьезные! Хуже того, в полезной нагрузке могут оказаться символы, которые приложение отфильтрует. Хотя кому-то задача создания полезной нагрузки для конкретной архитектуры и операционной системы может показаться интересной, очевидно, что это не самый простой и быстрый способ написания работоспособного эксплойта.

Чтобы не утруждать себя тяжкой задачей написания специализированного shell-кода для конкретной уязвимости, мы вновь обратимся к каркасу Metasploit. Одна из его самых сильных сторон – это возможность автоматически генерировать полезные нагрузки для заданной аппаратной платформы и операционной системы, которые затем кодируются, чтобы избавиться от недопустимых символов. По сути дела, каркас берет на себя всю работы по созданию и кодированию полезной нагрузки, предлагая пользователю лишь выбрать ее тип. В последнюю версию Metasploit включено свыше 65 полезных нагрузок для девяти операционных систем на четырех аппаратных платформах. Конечно, каждую из них мы обсудить не сможем, но все же опишем основные категории.

В класс «Bind» входят полезные нагрузки, привязывающие запуск оболоч- ки к порту. Если удаленный клиент установит соединение с этим портом на уязвимой машине, то получит в ответ оболочку. Полезные нагрузки с обратным вызовом («Reverse shell») делают практически то же самое, только соединение инициирует жертва, а не клиент. Класс «Execute» содержит полезные нагрузки, запускающие на удаленной машине конкретные команды, а нагрузки класса «VNC» предоставляют удаленному клиенту графический интерфейс для управления взломанной машиной. Существует механизм Meterpreter, который позволяет динамически внедрять и исполнять модули в виртуальной памяти машины-жертвы. Подробнее об этом см. статью на сайте www.nologin.com.