> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/ja/useful-resources/exploit-development/linux-buffer-overflow-custom.md). # Linux バッファオーバーフロー - カスタム エクスプロイト作成、実行フロー制御、ペイロード作成、メモリ破損手法の記録のためのカスタム Linux バッファオーバーフローメモ。 ## カスタムバイナリの最初の例（Pdmenu/exim）：
マシンをダウンロードする 抜き取る
> 最初の例では、正規の exim-4.84-7 バイナリの悪用に焦点を当てます。このバイナリには CVE-2016-1531 として識別される脆弱性があります。この脆弱性により、攻撃者は特定の環境変数を悪用して特権付きでコマンドを実行できます。 * この場合、ユーザー Paul にアクセスすると、 **Pdmenu** が、特定の機能（ディレクトリ一覧表示、ファイル編集、ping の実行など）付きで割り当てられています：
* このメニューを抜けるには、 **ファイルを編集します**、例えば（etc/host）：
* この場合、 **vi** がテキストエディタとして使われます：
* を見ると、 **gtfobins**では、vi で絞り込むと Pdmenu を終了して **シェルを起動するコマンドが得られます**:
* ファイルを絞り込み、exim というものを見つけます： **SUID** ツールで、このバイナリの脆弱性候補を探します：
* 次の **searchsploit** さて、スクリプトをダウンロードし、
* 今すぐスクリプトをダウンロードし、 **python3** で公開して、マシンが侵害された後に読み込めるようにします：
* スクリプトを実行すると、実際にこのバイナリの脆弱性が悪用され、これにより **root権限**:
## 第2の例（バッファオーバーフロー）：
脆弱な Ubuntu マシンをダウンロードします
ツールをインストールします Peda
> 第2の例は、 **バッファオーバーフロー** を、カスタムな [バイナリ](https://hack4u.io/wp-content/uploads/2023/04/custom) 有効な保護機構と ASLR が有効な 32 ビット Linux マシン上で扱います。この場合、SUID 権限を持ち root 所有のバイナリで ret2libc の悪用に焦点を当てます。バッファオーバーフローを通じて、特権コマンドを注入し、ユーザー権限を昇格する方法を示します。 \***バッファオーバーフロー** 特定のシステムレジスタを上書きすることを伴い、さらにそのバイナリはユーザーによって作成され root グループに属しているため、 **特権ユーザーとして実行されます**:
* 「custom」という名前のバイナリは、 **文字列入力** を期待しており、実行しても何も起こりません：
* しかし、 **非常に長い文字列**を入力すると、エラー（core dumped）を返します：
次を送ります **短い文字列** として AAAAAAAA を送り、 **エラーは表示されません**: * バイナリを詳しく解析するために、 **gdb-peda** ツールを使います。
* しかし、 **多くの文字を送ると、**次のエラーが出ます：
1. 最初に行うべきことは、 **文字列の総数を特定することです** レジスタ（EIP）を上書きするために必要な。 * 最初の方法は、 **モチーフ（パターン）** を使って、 **空間的に設計された** 連なりを作成することです（これらの場合は 300 文字）。それをバイナリ内で実行します：
* の応答で **EIP**を見れば、 **下部に見える連なり** が「AA8A」であることが分かります：
* その **自動** モードのやり方は、 `pattern offset $eip` コマンド:
* これを確認するために、 **python3** 112 個の A 文字の後に最後の 4 個の B を送ることで使用します： ```bash r $(python3 -c 'print("A"*112 + "B"*4)') ``` * 実際、これで末尾を確認できます。 **EIP** 4 個の最後の B を検出する
2. 最大文字数が分かったら、 **ASLR を確認します** これにより、 **メモリアドレスにランダム性があるかどうか** を判断します： /- 次のコマンドで、特に関心のある文字列を絞り込み、バイナリを 10 回実行して毎回変化するか、また **C ライブラリ** がランダムかどうかを確認します： 確かに「ランダム」です
3. これらの **32 ビット** バイナリの問題は、しばしば、たとえば今 **1000 回** A を実行して固定文字列で絞り込むと、毎回、 **少なくとも 1 回は繰り返されることです**:
4. 目的はまず、 **EIP** 文字列（**system + exit + bin/\_sh**）を見つけることです。これらは、 **root として Bash を実行するために常に固定かつ必要になるものです** という例と同様ですが、Python で行います：
* 次を作成します **ブレークポイント** を設定して、プログラムの流れがそこで停止するようにします：
* 次を注入します **EIP** （system/exit/bin/\_sh）の：
5. ランダム性があることが分かったら、 **ランダム**であることが分かるので、 **ブルートフォース** 〜まで使用する必要があります **base/\_libc/\_addr** が目的の値と等しくなるまで： /- 次のものを使うと、 **実行中のライブラリ** （この場合は **libc.so**):
* 次の **readelf**）、ライブラリのフィルタをかけ、先ほど注入した変数（つまり、**exit と system**）をコード付きで検索します：
* そして文字列 **/bin/sh**を見つけるには、次のようにして、 **0x00** を先頭に追加します：
次の Python3 スクリプトは **総当たりをすべて自動化します** 〜まで **base/\_libc/\_addr** が同じになる： ```python #!/usr/bin/python3 import subprocess from struct import pack import sys offset = 112 before_eip = b"A" * 112 # カスタム Linux バッファオーバーフロー base_libc_addr = 0xb7595000 system_addr_off = 0xb7d86db0 exit_addr_off = 0xb7d7a9e0 bin_sh_addr_off = 0xb7ea7b2b system_addr = pack("
--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation by asking a question. Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters: ``` GET https://hacking-notes.jord4n.pro/ja/useful-resources/exploit-development/linux-buffer-overflow-custom.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.