> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/ar/useful-resources/exploit-development/linux-buffer-overflow-custom.md).
# Linux Buffer Overflow - مخصص
## المثال الأول للثنائي المخصص (Pdmenu/exim):
قم بتنزيل الآلة استخراج
> يركز المثال الأول على استغلال الثنائي الشرعي exim-4.84-7، والذي يحتوي على ثغرة محددة باسم CVE-2016-1531. تتيح هذه الثغرة للمهاجم تنفيذ أوامر بصلاحيات مرتفعة عبر إساءة استخدام بعض متغيرات البيئة.
* في هذه الحالة، عندما نصل إلى المستخدم Paul، يتم **Pdmenu** إسنادها إليه مع بعض الوظائف (عرض الدلائل، تحرير الملفات، تشغيل ping، إلخ):
* للهروب من هذه القائمة، نقوم **بتحرير ملف**، على سبيل المثال (etc/host):
* في هذه الحالة، **vi** يُستخدم كمحرر نصوص:
* بالنظر إلى **gtfobins**، إذا قمنا بالتصفية حسب vi، نحصل على الأوامر للخروج من Pdmenu و **تنفيذ غلاف shell**:
* نقوم بتصفية **SUID** الملفات ونجد واحدًا يسمى exim:
* باستخدام **searchsploit** الأداة، نبحث عن الثغرات المحتملة لهذا الثنائي:
* الآن نزّل السكربت وشغّله عبر **python3** حتى يمكن تحميله بعد اختراق الجهاز:
* ننفذ السكربت وبالفعل يتم استغلال ثغرة هذا الثنائي، وبالتالي نحصل على **وصول root**:
## المثال الثاني (تجاوز سعة المخزن المؤقت):
نزّلUbuntuالآلة الضعيفةثبّت الأداةPeda
> المثال الثاني يتعلق بـ **تجاوز سعة المخزن المؤقت** في ثنائي مخصص [ملف تنفيذي](https://hack4u.io/wp-content/uploads/2023/04/custom) على جهاز لينكس 32-بت مع تفعيل وسائل الحماية وASLR. في هذه الحالة، نركز على استغلال ret2libc في ثنائي لديه أذونات SUID ومملوك للجذر. من خلال تجاوز سعة المخزن المؤقت، نوضح كيفية حقن أوامر بصلاحيات مرتفعة ورفع صلاحيات المستخدم.
\***تجاوز سعة المخزن المؤقت** يتضمن الكتابة فوق بعض سجلات النظام، وبما أن الثنائي تم إنشاؤه بواسطة المستخدم وينتمي إلى مجموعة الجذر، **فسوف يعمل كمستخدم ذي صلاحيات مرتفعة**:
* الثنائي المسمى "custom" يتوقع **مدخلاً نصيًا** وعند تشغيله، لا يحدث شيء:
* لكن إذا أدخلنا **سلسلة طويلة جدًا**، فستظهر رسالة خطأ (core dumped):
نرسل **سلسلة قصيرة** من AAAAAAAA ولا **تظهر أخطاء**:
* لتحليل الثنائي بعمق، سنستخدم **gdb-peda** الأداة.
* لكن إذا أرسلنا **العديد من المحارف**، نحصل على الخطأ التالي:
1. أول شيء يجب فعله هو **تحديد العدد الإجمالي من المحارف** المطلوب لكتابة فوق السجل (EIP).
* تتمثل الطريقة الأولى في استخدام **نمط (pattern)** يُنشئ سلسلة **مصممة مكانيًا** (في هذه الحالات، 300 محرف) في تنفيذاتنا داخل الثنائي:
* في استجابة **EIP**، نعلم أن **السلسلة الظاهرة في الأسفل** هي "AA8A":
* الـ **الوضع** الآلي للأداة يتم باستخدام `pattern offset $eip` الأمر:
* للتحقق من ذلك، نستخدم **python3** عن طريق إرسال 112 محرف A ثم 4 محارف B أخيرة:
```bash
r $(python3 -c 'print("A"*112 + "B"*4)')
```
* في الواقع، نؤكد الآن النهاية بفضل **EIP** الذي يكتشف محارف B الأربعة الأخيرة:
2. بمجرد أن نعرف العدد الأقصى من المحارف، نقوم **التحقق من ASLR** الذي سيحدد ما إذا كان هناك **عشوائية في عناوين الذاكرة** أم لا:
/- باستخدام الأمر التالي نقوم بتصفية المحارف التي تهمنا تحديدًا لتشغيل الثنائي 10 مرات لمعرفة ما إذا كان يتغير في كل مرة ولمعرفة ما إذا كانت **مكتبة C** عشوائية أم لا:
إنها بالفعل "عشوائية"
3. المشكلة مع هذه **الثنائيات 32-بت** غالبًا أنه إذا شغّلنا مثلًا الآن **1000 مرة** A وفلترنا بسلسلة ثابتة، نرى أنه في كل مرة، **سيتكرر مرة واحدة على الأقل**:
4. الهدف الآن هو أولًا العثور على **EIP** محارف (**system + exit + bin/\_sh**)، والتي ستكون ثابتة دائمًا وضرورية لتنفيذ **Bash كجذر** كما في المثال التالي ولكن بلغة بايثون:
* ننشىء **نقطة توقف** حتى يتوقف تدفق البرنامج هنا:
* نحقن **EIP** الخاص بـ (system/exit/bin/\_sh):
5. بمجرد أن نرى أن هناك **عشوائية**، سنحتاج إلى استخدام **القوة الغاشمة** حتى يصبح **base/\_libc/\_addr** مساويًا للقيمة المطلوبة:
/- باستخدام ما يلي سنرى **المكتبات التي تعمل** (في هذه الحالة **libc.so**):
* مع **readelf**، نطبق فلاترنا على المكتبة ونبحث عن المتغيرات المحقونة مسبقًا، وهي (**exit و system**) مع الرموز:
* ولإيجاد السلسلة **/bin/sh**، نفعل ما يلي، مع إضافة **0x00** في البداية:
سكربت Python3 التالي سيقوم **بأتمتة كل المحاولات العنيفة** حتى **base/\_libc/\_addr** يكون هو نفسه:
```python
#!/usr/bin/python3
import subprocess
from struct import pack
import sys
offset = 112
before_eip = b"A" * 112
# تجاوز سعة المخزن المؤقت المخصص في لينكس
base_libc_addr = 0xb7595000
system_addr_off = 0xb7d86db0
exit_addr_off = 0xb7d7a9e0
bin_sh_addr_off = 0xb7ea7b2b
system_addr = pack("
---
# Agent Instructions
This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com.
## Querying This Documentation
If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question.
Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter:
```
GET https://hacking-notes.jord4n.pro/ar/useful-resources/exploit-development/linux-buffer-overflow-custom.md?ask=&goal=
```
`ask` is the immediate question: it should be specific, self-contained, and written in natural language.
`goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal.
The response will contain a direct answer to the question and relevant excerpts and sources from the documentation.
Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.