> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/ru/useful-resources/exploit-development/linux-buffer-overflow-custom.md).
# Переполнение буфера Linux — custom
## Первый пример пользовательского бинарного файла (Pdmenu/exim):
Скачайте образ машины извлекать
> Первый пример сосредоточен на эксплуатации легитимного бинарного файла exim-4.84-7, в котором есть уязвимость, обозначенная как CVE-2016-1531. Эта уязвимость позволяет атакующему выполнять команды с привилегиями, злоупотребляя определёнными переменными окружения.
* В этом случае, когда мы обращаемся к пользователю Paul, a **Pdmenu** назначается ему с определёнными функциями (список каталогов, редактирование файлов, запуск ping и т. д.):
* Чтобы выйти из этого меню, мы **редактируем файл**, например (etc/host):
* В этом случае, **vi** используется как текстовый редактор:
* Посмотрев на **gtfobins**, если отфильтровать по vi, мы получим команды для выхода из Pdmenu и **запустить оболочку**:
* Мы фильтруем **SUID** файлы и находим один под названием exim:
* С помощью **searchsploit** с помощью инструмента мы ищем возможные уязвимости для этого бинарного файла:
* Теперь загрузите скрипт и раздайте его с помощью **python3** чтобы он мог быть загружен после компрометации машины:
* Мы запускаем скрипт, и действительно уязвимость этого бинарного файла эксплуатируется, таким образом мы получаем **root-доступ**:
## Второй пример (переполнение буфера):
Скачайте уязвимуюUbuntuмашинуУстановите инструментPeda
> Второй пример касается **переполнения буфера** в пользовательском [бинарный файл](https://hack4u.io/wp-content/uploads/2023/04/custom) на 32-битной машине Linux с включёнными активными защитами и ASLR. В этом случае мы сосредоточимся на эксплуатации ret2libc в бинарном файле, имеющем права SUID и принадлежащем root. Через переполнение буфера мы демонстрируем, как внедрять привилегированные команды и повышать привилегии пользователя.
\***переполнения буфера** включает перезапись некоторых системных регистров, и поскольку бинарный файл создан пользователем и принадлежит группе root, **он будет выполняться с правами привилегированного пользователя**:
* Бинарный файл под названием "custom" ожидает **строковый ввод** и при его запуске ничего не происходит:
* Но если мы введём **очень длинную строку**, он возвращает ошибку (core dumped):
Мы отправляем **короткую строку** из AAAAAAAA и не **появляется ошибок**:
* Чтобы детально проанализировать бинарный файл, мы будем использовать **gdb-peda** инструмент.
* Но если мы отправим **много символов**, мы получим следующую ошибку:
1. Первое, что нужно сделать, это **определить общее число строк** нужно для перезаписи регистра (EIP).
* Первый метод состоит в использовании **мотива (шаблона)** который создаёт цепочку **пространственно организованную** (в этих случаях 300 символов), которые наши запуски в бинарном файле:
* В ответе **EIP**, мы знаем, что **нижняя видимая цепочка** это "AA8A":
* У **автоматический** режим программы выполняется с помощью `pattern offset $eip` команды:
* Чтобы проверить это, мы используем **python3** отправив 112 символов A, а затем последние 4 B:
```bash
r $(python3 -c 'print("A"*112 + "B"*4)')
```
* Фактически, теперь мы подтверждаем хвост благодаря **EIP** который обнаруживает последние 4 B:
2. Как только мы узнаем максимальное число символов, мы **проверяем ASLR** который определит, есть ли **случайность в адресах памяти** или нет:
/- С помощью следующей команды мы фильтруем интересующие нас строки, чтобы запустить бинарный файл 10 раз, посмотреть, меняется ли он каждый раз, и увидеть, является ли **библиотека C** случайной или нет:
Действительно, она "случайна"
3. Проблема с этими **32-битными** бинарными файлами часто в том, что если мы запустим, например, сейчас **1000 раз** A и отфильтруем по фиксированной строке, мы увидим, что каждый раз, **она повторится по крайней мере один раз**:
4. Цель сейчас — сначала найти **EIP** строки (**system + exit + bin/\_sh**), которые всегда будут фиксированными и необходимыми для запуска **Bash с правами root** как в следующем примере, но на Python:
* Мы создаём **точку останова** чтобы выполнение программы останавливалось в нужный момент:
* Мы внедряем **EIP** из (system/exit/bin/\_sh):
5. Как только мы видим, что есть **случайность**, нам нужно использовать **брутфорсом** до тех пор, пока **base/\_libc/\_addr** не станет равен желаемому значению:
/- С помощью следующего мы увидим **библиотеки, которые запущены** (в данном случае **libc.so**):
* С **readelf**, наши фильтры для библиотеки и поиск ранее внедрённых переменных, которые являются (**exit и system**) с кодами:
* А чтобы найти строку **/bin/sh**, мы делаем следующее, добавляя **0x00** в начале:
Следующий скрипт Python3 будет **автоматизировать весь перебор** пока **base/\_libc/\_addr** не станет тем же самым:
```python
#!/usr/bin/python3
import subprocess
from struct import pack
import sys
offset = 112
before_eip = b"A" * 112
# Custom Linux Buffer Overflow
base_libc_addr = 0xb7595000
system_addr_off = 0xb7d86db0
exit_addr_off = 0xb7d7a9e0
bin_sh_addr_off = 0xb7ea7b2b
system_addr = pack("
---
# Agent Instructions
This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com.
## Querying This Documentation
If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question.
Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter:
```
GET https://hacking-notes.jord4n.pro/ru/useful-resources/exploit-development/linux-buffer-overflow-custom.md?ask=&goal=
```
`ask` is the immediate question: it should be specific, self-contained, and written in natural language.
`goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal.
The response will contain a direct answer to the question and relevant excerpts and sources from the documentation.
Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.