IT-Forensik Wiki - Benutzerbeiträge [de]

Hauptseite

2020-07-16T18:13:05Z

St191515: /* E */

Willkommen beim IT-Forensik-Wiki der Hochschule Wismar. Hier werden wesentliche Begriffe zum Thema „Digitale Forensik“ erläutert.

== Literatur ==

[[Projektarbeiten]]

[[Abschlussarbeiten im Bachelor Studiengang "IT-Forensik"]]

[[Abschlussarbeiten im Master Studiengang "IT-Sicherheit und Forensik"]]

[[Forensik in DB]]

== Stichworte IT-Forensik ==
=== A ===
[[Angriffe auf Forensik-Software]]

[[Anti-Forensik]]

[[Anwendungsarchitektur]]

[[Asset Relocation]]

[[APT]]

=== B ===
[[Betriebssystem]]

[[Blockchainbasierte Datenbank]]

[[Broken Authentication]]

[[BSI-Vorgehensmodell]]

[[Bundesdatenschutzgesetz (BDSG)]]

[[BurpSuite]]

=== C ===
[[Cache]]

[[CERT-Taxonomie]]

[[Chain of Custody]]

[[Checkliste IT-Forensik für Unternehmen]]

[[Chip-Off]]

[[Cold Backup]]

[[Computer Sabotage]]

[[Cross Site Scripting (XSS)]]

[[CryptoLocker]]

=== D ===
[[Darknet]]

[[Dateiheader]]

[[Datenanalyse]]

[[Datenbank Firewall]]

[[Datenbankforensik]]

[[Datenschutz in der IT-Forensik]]

[[Datenvernichtung]]

[[Datenverschleierung]]

[[Datensammlung]]

[[DDL & DML]]

[[Deep Packet Inspection]]

[[Deep Web]]

[[Diff]]

[[Digitale Artefakte]]

[[Digitale Forensik]]

[[DLL (.dll Dateien)]]

[[DoS & DDoS]]

[[Dokumentation]]

[[Doxing]]

[[Dual Use Software]]

=== E ===
[[Egg Hunting]]

[[Ermittlungsprozess]]

[[Error Based SQL Injection]]

[[Exploit]]

=== F ===
[[File Carving]]

[[Flüchtige Daten]]

[[Forensic Data Mining]]

[[Forensischer Koffer]]

[[Fragmentierung]]

=== G ===
[[Geotag]]

[[GeoIP-Datenbank]]

[[Gerichtsfestigkeit]]

=== H ===
[[Hardware-Sicherheitsmodul]]

[[Hashcat]]

[[Hashwert]]

[[Hilfstatort]]

[[Honeypot]]

=== I ===
[[Image]]

[[Imaging]]

[[Incident-Response-Team]]

[[Indicator of Compromise]]

[[Integrität]]

[[IT-Forensik]]

=== J ===
[[Jailbreak]]

=== K ===

[[Installieren eines Live-Kali-Linux-System auf USB-Stick]]

[[Kausalität in der Forensik]]

[[Korrelation]]

=== L ===
[[Lateral Movement]]

[[Live-Forensik]]

[[Local file inclusion]]

[[Locard'sche Regel]]

[[Log-File]]

[[LogMining]]

=== M ===
[[Magnet Axiom]]

[[Metadaten]]

[[Mobiltelefon-Forensik]]

=== N ===
[[Netflow]]

[[Never-Touch-Original]]

[[Nmap]]

=== O ===
[[Online-Forensik]]

[[Offline-Forensik]]

[[Ontologie & Semantik]]

[[OS Fingerprinting]]

[[OSINT-Werkzeug]]

=== P ===

[[Payload]]

[[Partition]]

[[PCMCIA]]

[[Penetrationstest]]

[[Post-Mortem-Analyse]]

[[Prepared Statement]]

[[Prozess der Mobiltelefon Forensik]]

[[Prüfsumme]]

[[P2P (Peer-to-Peer) Software / Netzwerke]]

=== Q ===

[[Query Log]]

=== R ===

[[Radare 2 - Reverse Engineering Framework]]

[[Rainbow Table]]

[[Redo Logs]]

[[Registry]]

[[Remote Access Trojaner (RAT)]]

[[Replay Attack]]

[[Reverse Engineering]]

[[Rootkit]]

=== S ===
[[SAP-Modell]]

[[Sandbox]]

[[Security Information and Event Management (SIEM)]]

[[Skimming]]

[[Skript-Kiddie]]

[[Slack Space]]

[[Sniffing]]

[[SQL Injection]]

[[SQLite Datenbanken auslesen mittels Python]]

[[Sealbag]]

[[SpiderFoot]]

[[Spuren]]

[[Sqlmap]]

=== T ===
[[Tatort]]

[[Timeline]]

[[Trugspur]]

=== U ===
[[Unallocated Data (Nicht zugeordnete Daten)]]

=== V ===
[[Verfügbarkeit]]

[[Vertraulichkeit]]

[[Vertraulichkeit in Datenbanksystemen]]

[[Vorsorge für die IT-Forensik]]

[[Video-Forensik]]

=== W ===
[[W-Fragen]]

[[Watering-Holes]]

[[Web-Application-Firewall]]

[[Why-Because-Analyse (WBA)]]

[[Windows-RAM auslesen]]

[[Wiping]]

[[Wireshark]]

[[Write Blocker]]

[[Wörterbuchangriff]]

=== X ===
[[Xmount]]

=== Z ===
[[Zeit]]

[[Zenmap]]

[[Zero-Day-Exploit]]

[[Ziele einer forensischen Untersuchung nach A. Geschonneck]]

== Interessante Links ==

Tsurugi Forensik-Linux https://tsurugi-linux.org

Abhören von Smarthome-Geräten https://srlabs.de/bites/smart-spies/

== Fernstudiengänge an der Hochschule Wismar (berufsbegleitend) ==

[https://www.wings.hs-wismar.de/de/fernstudium_bachelor/it_forensik IT-Forensik, Bachelor]

[https://www.wings.hs-wismar.de/de/fernstudium_master/it_sicherheit_und_forensik/ IT-Sicherheit und Forensik, Master]

== Starthilfen ==

* Hilfe zur Benutzung und Konfiguration der Wiki-Software finden Sie im [https://www.mediawiki.org/wiki/Special:MyLanguage/Help:Contents Benutzerhandbuch]
* [https://www.mediawiki.org/wiki/Special:MyLanguage/Manual:Configuration_settings Liste der Konfigurationsvariablen]
* [https://www.mediawiki.org/wiki/Special:MyLanguage/Manual:FAQ MediaWiki-FAQ]
* [https://lists.wikimedia.org/mailman/listinfo/mediawiki-announce Mailingliste neuer MediaWiki-Versionen]
* [https://www.mediawiki.org/wiki/Special:MyLanguage/Localisation#Translation_resources Übersetze MediaWiki für deine Sprache]
* [https://www.mediawiki.org/wiki/Special:MyLanguage/Manual:Combating_spam Erfahre, wie du Spam auf deinem Wiki bekämpfen kannst]

Egg Hunting

2020-07-16T18:11:08Z

St191515:

'''Egg Hunting''' bezeichnet die Suche nach einer zuvor festgelegten Zeichenfolge im Adressbereich eines Prozesses, um die Ausführung von Shellcode (Befehle, um einen Prozess oder ein System zu manipulieren) an der Speicheradresse der Zeichenfolge zu starten.

Der Begriff des Egg Hunting ist in der Fachliteratur nicht einheitlich definiert. Alle Definitionen enthalten jedoch, dass ein Shellcode aufgrund dessen Größe nicht vollständig im Speicherbereich eines Prozesses vollständig unterzubringen ist. So sind mindestens zwei Shellcodes im Adressbereich eines Prozesses zu platzieren. Zuerst ist der umfangreichere Shellcode mit dem Erkennungsmerkmal der Zeichenfolge (das "Egg") zu platzieren, um anschließend durch einen weiteren Shellcode die Ausführung des umfangreicheren Shellcodes an der Speicheradresse des "Egg" zu veranlassen.

== Implementation des Shellcodes in zwei Schritten ==
Die direkte Ausführung eines Shellcodes ist in der Praxis häufig nicht möglich, da der vom Betriebssystem zugewiesene Adressbereich eines Prozesses entweder zu klein ist, um den gesamten Shellcode unterzubringen, oder dem Angreifer die vom Betriebssystem reservierten Speicheradressen eines Prozesses nicht bekannt sind. Für den Angreifer bedeutet das, den Angriff auf den Prozess mit wenigen Daten sehr effizient und in mindestens zwei Schritten mit verschiedenen Shellcodes auszuführen.

Im ersten Schritt wird versucht, den umfangreichen Shellcode mit den tatsächlichen Befehlen, um Zugriff auf das System zu erlangen, im Adressbereich des Prozesses zu platzieren. Dieser Shellcode wird zu diesem Zeitpunkt nicht ausgeführt, enthält aber als Erkennungsmerkmal eine definierte eindeutige Zeichenfolge, die als "Egg" bezeichnet wird.

Im nächsten Schritt wird versucht, einen weiteren Shellcode mit geringem Funktionsumfang im Adressbereich des Prozesses einzuschleusen. Dieser Shellcode durchsucht lediglich die zugewiesenen Speicheradressen des Prozesses nach der Zeichenfolge des "Egg" mittels Systemaufrufe des Betriebssystems, die als Rückgabewert den Inhalt der jeweiligen Speicheradresse liefern. Entspricht der Rückgabewert der Zeichenfolge des "Egg", so ist die Speicheradresse des Shellcodes aus dem ersten Schritt gefunden. Somit kann der umfangreiche Shellcode aus dem ersten Schritt über das Prozessorregister EIP durch die ermittelte Speicheradresse aufgerufen werden. Dieser Suchvorgang wird als "Egg Hunting" bezeichnet. War auch die zweite Stufe des Angriffs erfolgreich, besitzt der Angreifer Zugriff auf das System.

== Grundlage des Egg Hunting: Buffer Overflow ==
Egg Hunting nutzt die Prinzipien des Buffer Overflow, um bei einem Prozeduraufruf über Eingabeparameter gezielt auf den Speicherbereich einer Variablen (dem Puffer) zuzugreifen und diesen mit nicht vorhergesehenen Daten zu überschreiben. Dabei wird auch versucht, die Rücksprungadresse des Prozeduraufrufs zu überschreiben, um die Ausführung des Shellcodes an der Speicheradresse des "Egg" zu veranlassen. So kann ein Prozess in einen nicht vorgesehenen Zustand des Prozesses versetzt werden, was dem Angreifer schließlich Zugang zum System im Benutzerkontext des Prozesses ermöglicht.

Um die Angriffsmöglichkeiten des Buffer Overflows nutzen zu können, wird ein Prozess im Arbeitsspeicher benötigt, der das Ausführen von Befehlen mittels Shellcode aufgrund einer Sicherheitslücke von Prozess oder Betriebssystem zulässt. Als angreifbare Prozesse kommen häufig Prozesse in Betracht, die über ein Netzwerk erreichbar sind (z. B. FTP- und Web-Server ).

== Abwehrmaßnahmen zu Egg Hunting ==
Die Methodik des Egg Hunting basiert auf dem Angriffsmuster des Buffer Overflows, d. h. der Möglichkeit, in einen Puffer bzw. Speicherbereich Daten zu schreiben. Zur Vermeidung von Egg Hunting kommen daher die Schutzmechanismen in Betracht, die auch Buffer Overflows abmildern. Diese sind beispielsweise:
* Address Space Layout Randomization (ASLR) Speicheradressen werden bei dem Start des Betriebssystems zufällig vergeben. Identifizierte Speicheradressen sind nur bis zum nächsten Neustart des Systems gültig.
* Stack Canaries Zur Erkennung eines Buffer Overflows wird eine Zufallszahl beim Funktionsaufruf am Stack zwischen lokalen Variablen und der Rücksprungadresse eingefügt. Bevor der Rücksprung in die aufrufende Funktion erfolgt, wird der Wert der Zufallszahl überprüft. Ist der Wert der Zufallszahl verändert, fand ein Buffer Overflow statt und das Betriebssystem kann Gegenmaßnahmen ergreifen.
* Data Execution Prevention (DEP) Ist DEP betriebssystemseitig aktiviert, werden Programme bei der Ausführung überwacht, um sicherzustellen, dass sie nur den vorgesehenen Speicherbereich verwenden. Erfolgt der Zugriff auf eine nicht zulässige Speicheradresse, so wird der Zugriff vom Betriebssystem blockiert.

== Egg Hunting in der Praxis ==
Tools für die Ausführung von Penetration Tests bieten meist vorgefertigte Funktionalitäten für den Angriff bestimmter Systeme an, die lediglich die Angabe von IP-Adresse und Port des anzugreifenden Systems benötigen. Ein Beispiel für den zweistufigen Angriff ist die Verwendung der Module windows/meterpreter/reverse_tcp für den Verbindungsaufbau zum System des Angreifers (Reverse Shell) und windows/meterpreter_reverse_tcp zum Starten einer Shell auf dem angegriffenen System.

Die auszuführenden Befehle des Shellcodes und die Zeichenfolge des "Egg" werden häufig mit Skriptsprachen wie Perl oder Python zusammengestellt. Damit die Zeichenfolge möglichst individuell ausfällt, wird ein Begriff gewählt, i. d. R. doppelt eingefügt und mit zufälligen Werten im Hexadezimalformat versehen.

Perl: 
<code>$shellcode = "UniqueEggUniqueEgg\x40\x40\x40\x40";</code>

Python: 
<code>shellcode = ("UniqueEggUniqueEgg\x40\x40\x40\x40")</code>

== Literatur ==
* Eckert, Claudia: IT-Sicherheit. Konzepte - Verfahren - Protokolle. 10. Auflage. De Gruyter Studium, Berlin 2018, ISBN 978-3-11-055158-7.

* Kofler, Michael et. al: Hacking & Security. Das umfassende Handbuch. Rheinwerk Verlag, Bonn 2018, ISBN 978-3-8362-4548-7.

* Messner, Michael: Hacking mit Metasploit. Das umfassende Handbuch zu Penetration Testing und Metasploit. 3. Auflage. dpunkt.verlag, Heidelberg 2018, ISBN 978-3-86490-253-0.

== Weblinks ==
* https://blog.rapid7.com/2015/03/25/stageless-meterpreter-payloads/
* https://www.corelan.be/index.php/2010/01/09/exploit-writing-tutorial-part-8-win32-egg-hunting/
* https://www.exploit-db.com/docs/english/18482-egg-hunter---a-twist-in-buffer-overflow.pdf
* https://medium.com/@notsoshant/windows-exploitation-egg-hunting-117828020595
* https://www.secpod.com/blog/hunting-the-egg-egg-hunter/
* http://www.securitysift.com/windows-exploit-development-part-5-locating-shellcode-egghunting/
* https://www.lowlevel.eu/wiki/X86#Instruktionsregister
* http://www.winfaq.de/faq_html/Content/tip2000/onlinefaq.php?h=tip2323.htm

Egg Hunting

2020-07-16T17:35:13Z

St191515: Die Seite wurde neu angelegt: „Egg Hunting bezeichnet die Suche nach einer zuvor festgelegten Zeichenfolge im Adressbereich eines Prozesses, um die Ausführung von Shellcode (Befehle, um ein…“

Egg Hunting bezeichnet die Suche nach einer zuvor festgelegten Zeichenfolge im Adressbereich eines Prozesses, um die Ausführung von Shellcode (Befehle, um einen Prozess oder ein System zu manipulieren) an der Speicheradresse der Zeichenfolge zu starten.
Der Begriff des Egg Hunting ist in der Fachliteratur nicht einheitlich zu definiert. Alle Definitionen enthalten jedoch, dass ein Shellcode aufgrund dessen Größe nicht vollständig im Speicherbereich eines Prozesses vollständig unterzubringen ist. So sind mindestens zwei Shellcodes im Adressbereich eines Prozesses zu platzieren. Zuerst ist der umfangreichere Shellcode mit dem Erkennungsmerkmal der Zeichenfolge (das "Egg") zu platzieren, um anschließend durch einen weiteren Shellcode die Ausführung des umfangreicheren Shellcodes an der Speicheradresse des "Egg" zu veranlassen.