> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/de/useful-resources/exploit-development/linux-buffer-overflow-custom.md). # Linux-Pufferüberlauf - Benutzerdefiniert ## Erstes Beispiel für benutzerdefinäre Binärdateien (Pdmenu/exim):
Lade die Maschine herunter ziehen
> Das erste Beispiel konzentriert sich auf die Ausnutzung der legitimen Binärdatei exim-4.84-7, die eine als CVE-2016-1531 identifizierte Schwachstelle aufweist. Diese Schwachstelle ermöglicht es einem Angreifer, Befehle mit Rechten auszuführen, indem bestimmte Umgebungsvariablen missbraucht werden. * In diesem Fall wird dem Benutzer Paul ein **Pdmenu** mit bestimmten Funktionen zugewiesen (Verzeichnisauflistung, Dateibearbeitung, Ping-Ausführung usw.):
* Um dieses Menü zu verlassen, müssen wir **eine Datei bearbeiten**, zum Beispiel (etc/host):
* In diesem Fall, **vi** als Texteditor verwendet:
* Wenn wir uns **gtfobins**, wenn wir nach vi filtern, erhalten wir die Befehle zum Verlassen von Pdmenu und **eine Shell auszuführen**:
* Wir filtern **SUID** Dateien und finden eine namens exim:
* Mit der **searchsploit** Tool suchen wir nach möglichen Schwachstellen für diese Binärdatei:
* Laden Sie nun das Skript herunter und stellen Sie es bereit mit **python3** damit es nach der Kompromittierung der Maschine geladen werden kann:
* Wir führen das Skript aus und tatsächlich wird die Schwachstelle dieser Binärdatei ausgenutzt, wir erhalten somit **Root-Zugriff**:
## Zweites Beispiel (Pufferüberlauf):
Laden Sie die verwundbare Ubuntu Maschine
Installieren Sie das Tool Peda
> Das zweite Beispiel betrifft einen **Pufferüberlauf** in einem benutzerdefinierten [Binärdatei](https://hack4u.io/wp-content/uploads/2023/04/custom) auf einer 32-Bit-Linux-Maschine mit aktiven Schutzmechanismen und aktiviertem ASLR. In diesem Fall konzentrieren wir uns auf die Ausnutzung von ret2libc in einer Binärdatei mit SUID-Rechten, die root gehört. Durch den Buffer Overflow demonstrieren wir, wie privilegierte Befehle eingeschleust und Benutzerrechte erhöht werden können. \***Pufferüberlauf** beinhaltet das Überschreiben bestimmter Systemregister, und da die Binärdatei vom Benutzer erstellt wurde und zur root-Gruppe gehört, **wird sie als privilegierter Benutzer ausgeführt**:
* Die Binärdatei mit dem Namen „custom“ erwartet eine **Zeichenkette als Eingabe** und wenn sie ausgeführt wird, passiert nichts:
* Aber wenn wir eine **sehr lange Zeichenkette**, wird ein Fehler zurückgegeben (Core Dump):
Wir senden eine **kurze Zeichenkette** von AAAAAAAA und keine **Fehler erscheinen**: * Um die Binärdatei eingehend zu analysieren, verwenden wir **gdb-peda** Tool.
* Aber wenn wir **viele Zeichen**, erhalten wir den folgenden Fehler:
1. Als Erstes müssen wir **die Gesamtanzahl der Zeichen bestimmen** die benötigt wird, um das Register (EIP) zu überschreiben. * Die erste Methode besteht darin, ein **Muster (Pattern)** zu verwenden, das eine Kette erzeugt **mit festgelegter Länge** (in diesen Fällen 300 Zeichen), die wir in der Binärdatei ausführen:
* Anhand der Ausgabe von **EIP**, wissen wir, dass die **untere sichtbare Kette** „AA8A“ ist:
* Das **automatische** Modus ist mit dem `pattern offset $eip` Befehl:
* Um dies zu überprüfen, verwenden wir **python3** indem wir 112 A-Zeichen und dann die letzten 4 B senden: ```bash r $(python3 -c 'print("A"*112 + "B"*4)') ``` * Tatsächlich bestätigen wir nun das Ende dank **EIP** das die letzten 4 B erkennt:
2. Sobald wir die maximale Anzahl an Zeichen kennen, können wir **ASLR überprüfen** wodurch bestimmt wird, ob es **Zufälligkeit in den Speicheradressen** gibt oder nicht: /- Mit dem folgenden Befehl filtern wir die Zeichenketten, die uns speziell interessieren, um die Binärdatei 10 Mal auszuführen, zu sehen, ob sie sich jedes Mal ändert, und zu prüfen, ob die **C-Bibliothek** zufällig ist oder nicht: Sie ist tatsächlich „zufällig“
3. Das Problem bei diesen **32-Bit** Binärdateien ist oft, dass wenn wir sie beispielsweise jetzt ausführen **1000 Mal** A und nach einer festen Zeichenkette filtern, sehen wir, dass jedes Mal, **es mindestens einmal wiederholt wird**:
4. Das Ziel ist nun zunächst, herauszufinden **EIP** Zeichenketten (**system + exit + bin/\_sh**), die immer fest sind und notwendig sind, um eine **Bash als root auszuführen** wie im folgenden Beispiel, aber in Python:
* Wir erstellen einen **Haltepunkt** damit der Programmablauf an dieser Stelle stoppt:
* Wir injizieren die **EIP** von (system/exit/bin/\_sh):
5. Sobald wir sehen, dass es **Zufall**, müssen wir **Brute Force** verwenden, bis die **base/\_libc/\_addr** dem gewünschten Wert entspricht: /- Mit dem Folgenden sehen wir die **laufenden Bibliotheken** (in diesem Fall **libc.so**):
* Mit **readelf**, filtern wir für die Bibliothek und suchen nach den zuvor eingefügten Variablen, nämlich (**exit und system**) mit den Codes:
* Und um die Zeichenkette **/bin/sh**, machen wir Folgendes und fügen ein **0x00** am Anfang hinzu:
Das folgende Python3-Skript wird **die gesamte Brute-Force-Aktion automatisieren** bis **base/\_libc/\_addr** gleich ist: ```python #!/usr/bin/python3 import subprocess from struct import pack import sys offset = 112 before_eip = b"A" * 112 # Benutzerdefinierter Linux-Pufferüberlauf base_libc_addr = 0xb7595000 system_addr_off = 0xb7d86db0 exit_addr_off = 0xb7d7a9e0 bin_sh_addr_off = 0xb7ea7b2b system_addr = pack("
--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question. Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter: ``` GET https://hacking-notes.jord4n.pro/de/useful-resources/exploit-development/linux-buffer-overflow-custom.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.