> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/fr/useful-resources/exploit-development/linux-buffer-overflow-custom.md). # Buffer Overflow Linux - Personnalisé ## Premier exemple de binaire personnalisé (Pdmenu/exim) :
Téléchargez la machine extraire
> Le premier exemple se concentre sur l'exploitation du binaire légitime exim-4.84-7, qui présente une vulnérabilité identifiée comme CVE-2016-1531. Cette vulnérabilité permet à un attaquant d'exécuter des commandes avec des privilèges en abusant de certaines variables d'environnement. * Dans ce cas, lorsque nous accédons à l'utilisateur Paul, un **Pdmenu** lui est attribué avec certaines fonctionnalités (listage des répertoires, édition de fichiers, lancement de ping, etc.) :
* Pour quitter ce menu, nous **éditons un fichier**, par exemple (etc/host) :
* Dans ce cas, **vi** est utilisé comme éditeur de texte :
* En regardant **gtfobins**, si nous filtrons sur vi, nous obtenons les commandes pour quitter Pdmenu et **exécuter un shell**:
* Nous filtrons **SUID** les fichiers et trouvons-en un appelé exim :
* Avec l’ **searchsploit** outil, nous recherchons d'éventuelles vulnérabilités pour ce binaire :
* Téléchargez maintenant le script et servez-le avec **python3** afin qu'il puisse être chargé après la compromission de la machine :
* Nous exécutons le script et, en effet, la vulnérabilité de ce binaire est exploitée, nous obtenons ainsi **l'accès root**:
## Deuxième exemple (débordement de tampon) :
Téléchargez la machine vulnérable Ubuntu machine
Installez l'outil Peda
> Le deuxième exemple concerne un **débordement de tampon** dans un [binaire](https://hack4u.io/wp-content/uploads/2023/04/custom) sur une machine Linux 32 bits avec des protections actives et l'ASLR activé. Dans ce cas, nous nous concentrons sur l'exploitation de ret2libc dans un binaire disposant des permissions SUID et appartenant à root. Grâce au débordement de tampon, nous montrons comment injecter des commandes privilégiées et élever les privilèges de l'utilisateur. \***débordement de tampon** implique d'écraser certains registres système, et comme le binaire est créé par l'utilisateur et appartient au groupe root, **il s'exécutera avec les privilèges d'un utilisateur privilégié**:
* Le binaire appelé "custom" attend une **entrée de chaîne de caractères** et lorsqu'il est exécuté, rien ne se passe :
* Mais si nous saisissons une **chaîne très longue**, il renvoie une erreur (core dump) :
Nous envoyons une **chaîne courte** de AAAAAAAA et aucune **erreur n'apparaît**: * Pour analyser le binaire en profondeur, nous utiliserons **gdb-peda** outil.
* Mais si nous envoyons **beaucoup de caractères**, nous obtenons l'erreur suivante :
1. La première chose à faire est de **déterminer le nombre total de chaînes** nécessaires pour écraser le registre (EIP). * La première méthode consiste à utiliser un **motif (pattern)** qui crée une chaîne **conçue spatialement** (dans ces cas, 300 caractères) que nous exécutons dans le binaire :
* Dans la réponse de **EIP**, nous savons que la **chaîne visible inférieure** est « AA8A » :
* Le **automatique** le mode automatique de la procédure est avec le `pattern offset $eip` commande :
* Pour vérifier cela, nous utilisons **python3** en envoyant 112 caractères A puis les 4 B finaux : ```bash r $(python3 -c 'print("A"*112 + "B"*4)') ``` * En effet, nous confirmons maintenant la fin grâce à **EIP** qui détecte les 4 derniers B :
2. Une fois que nous connaissons le nombre maximal de chaînes, nous **vérifions l'ASLR** ce qui déterminera s'il y a **de l'aléa dans les adresses mémoire** ou non : /- Avec la commande suivante, nous filtrons les chaînes qui nous intéressent spécifiquement afin d'exécuter le binaire 10 fois pour voir s'il change à chaque fois et pour voir si la **bibliothèque C** est aléatoire ou non : C'est bien « aléatoire »
3. Le problème avec ces **32 bits** binaires est souvent que si nous exécutons par exemple maintenant **1000 fois** A et filtrons avec une chaîne fixe, nous voyons qu'à chaque fois, **elle se répétera au moins une fois**:
4. L'objectif maintenant est d'abord de trouver **EIP** des chaînes (**system + exit + bin/\_sh**), qui seront toujours fixes et nécessaires pour exécuter un **Bash en tant que root** comme dans l'exemple suivant mais en Python :
* Nous créons un **point d'arrêt** afin que le flux du programme s'arrête à l'endroit souhaité :
* Nous injectons le **EIP** de (system/exit/bin/\_sh) :
5. Une fois que nous voyons qu'il y a **aléatoire**, nous devrons utiliser **force brute** jusqu'à ce que le **base/\_libc/\_addr** soit égal à la valeur souhaitée : /- Avec ce qui suit, nous verrons les **bibliothèques en cours d'exécution** (dans ce cas **libc.so**):
* Avec **readelf**, nous filtrons la bibliothèque et recherchons les variables injectées précédemment, qui sont (**exit et system**) avec les codes :
* Et pour trouver la chaîne **/bin/sh**, nous procédons comme suit, en ajoutant un **0x00** au début :
Le script Python3 suivant va **automatiser toute la force brute** jusqu'à **base/\_libc/\_addr** soit identique : ```python #!/usr/bin/python3 import subprocess from struct import pack import sys offset = 112 before_eip = b"A" * 112 # Débordement de tampon Linux personnalisé base_libc_addr = 0xb7595000 system_addr_off = 0xb7d86db0 exit_addr_off = 0xb7d7a9e0 bin_sh_addr_off = 0xb7ea7b2b system_addr = pack("
--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question. Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter: ``` GET https://hacking-notes.jord4n.pro/fr/useful-resources/exploit-development/linux-buffer-overflow-custom.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.