Egg Hunting - Versionsgeschichte

St191288 am 18. Juli 2020 um 04:10 Uhr

2020-07-18T04:10:11Z

← Nächstältere Version		Version vom 18. Juli 2020, 04:10 Uhr
Zeile 13:		Zeile 13:
	Egg Hunting nutzt die Prinzipien des Buffer Overflow, um bei einem Prozeduraufruf über Eingabeparameter gezielt auf den Speicherbereich einer Variablen (dem Puffer) zuzugreifen und diesen mit nicht vorhergesehenen Daten zu überschreiben.<ref>Kiran, Shashi: Hunting the Egg: Egg Hunter; https://www.secpod.com/blog/hunting-the-egg-egg-hunter/, abgerufen am 21.06.2020.</ref> Dabei wird auch versucht, die Rücksprungadresse des Prozeduraufrufs zu überschreiben, um die Ausführung des Shellcodes an der Speicheradresse des "Egg" zu veranlassen.<ref>Eckert, Claudia: IT-Sicherheit. Konzepte - Verfahren - Protokolle. 10. Auflage. De Gruyter Studium, Berlin 2018, ISBN 978-3-11-055158-7, S. 49.</ref> So kann ein Prozess in einen nicht vorgesehenen Zustand des Prozesses versetzt werden, was dem Angreifer schließlich Zugang zum System im Benutzerkontext des Prozesses ermöglicht.		Egg Hunting nutzt die Prinzipien des Buffer Overflow, um bei einem Prozeduraufruf über Eingabeparameter gezielt auf den Speicherbereich einer Variablen (dem Puffer) zuzugreifen und diesen mit nicht vorhergesehenen Daten zu überschreiben.<ref>Kiran, Shashi: Hunting the Egg: Egg Hunter; https://www.secpod.com/blog/hunting-the-egg-egg-hunter/, abgerufen am 21.06.2020.</ref> Dabei wird auch versucht, die Rücksprungadresse des Prozeduraufrufs zu überschreiben, um die Ausführung des Shellcodes an der Speicheradresse des "Egg" zu veranlassen.<ref>Eckert, Claudia: IT-Sicherheit. Konzepte - Verfahren - Protokolle. 10. Auflage. De Gruyter Studium, Berlin 2018, ISBN 978-3-11-055158-7, S. 49.</ref> So kann ein Prozess in einen nicht vorgesehenen Zustand des Prozesses versetzt werden, was dem Angreifer schließlich Zugang zum System im Benutzerkontext des Prozesses ermöglicht.

	Um die Angriffsmöglichkeiten des Buffer Overflows nutzen zu können, wird ein Prozess im Arbeitsspeicher benötigt, der das Ausführen von Befehlen mittels Shellcode aufgrund einer Sicherheitslücke von Prozess oder Betriebssystem zulässt. Als angreifbare Prozesse kommen häufig Prozesse in Betracht, die über ein Netzwerk erreichbar sind (z. B. FTP- und Web-Server <ref>Vgl. 1.</ref> <ref>~~Kumar, Prashant: Windows Exploitation: Egg Hunting; https://medium~~.~~com/@notsoshant/windows-exploitation-egg-hunting-117828020595, abgerufen am 21.06.2020~~.</ref> ).		Um die Angriffsmöglichkeiten des Buffer Overflows nutzen zu können, wird ein Prozess im Arbeitsspeicher benötigt, der das Ausführen von Befehlen mittels Shellcode aufgrund einer Sicherheitslücke von Prozess oder Betriebssystem zulässt. Als angreifbare Prozesse kommen häufig Prozesse in Betracht, die über ein Netzwerk erreichbar sind (z. B. FTP- und Web-Server <ref>Vgl. 1.</ref> <ref>Vgl. 2.</ref> ).

	== Abwehrmaßnahmen zu Egg Hunting ==		== Abwehrmaßnahmen zu Egg Hunting ==

St191288 am 18. Juli 2020 um 04:09 Uhr

2020-07-18T04:09:12Z

← Nächstältere Version		Version vom 18. Juli 2020, 04:09 Uhr
Zeile 13:		Zeile 13:
	Egg Hunting nutzt die Prinzipien des Buffer Overflow, um bei einem Prozeduraufruf über Eingabeparameter gezielt auf den Speicherbereich einer Variablen (dem Puffer) zuzugreifen und diesen mit nicht vorhergesehenen Daten zu überschreiben.<ref>Kiran, Shashi: Hunting the Egg: Egg Hunter; https://www.secpod.com/blog/hunting-the-egg-egg-hunter/, abgerufen am 21.06.2020.</ref> Dabei wird auch versucht, die Rücksprungadresse des Prozeduraufrufs zu überschreiben, um die Ausführung des Shellcodes an der Speicheradresse des "Egg" zu veranlassen.<ref>Eckert, Claudia: IT-Sicherheit. Konzepte - Verfahren - Protokolle. 10. Auflage. De Gruyter Studium, Berlin 2018, ISBN 978-3-11-055158-7, S. 49.</ref> So kann ein Prozess in einen nicht vorgesehenen Zustand des Prozesses versetzt werden, was dem Angreifer schließlich Zugang zum System im Benutzerkontext des Prozesses ermöglicht.		Egg Hunting nutzt die Prinzipien des Buffer Overflow, um bei einem Prozeduraufruf über Eingabeparameter gezielt auf den Speicherbereich einer Variablen (dem Puffer) zuzugreifen und diesen mit nicht vorhergesehenen Daten zu überschreiben.<ref>Kiran, Shashi: Hunting the Egg: Egg Hunter; https://www.secpod.com/blog/hunting-the-egg-egg-hunter/, abgerufen am 21.06.2020.</ref> Dabei wird auch versucht, die Rücksprungadresse des Prozeduraufrufs zu überschreiben, um die Ausführung des Shellcodes an der Speicheradresse des "Egg" zu veranlassen.<ref>Eckert, Claudia: IT-Sicherheit. Konzepte - Verfahren - Protokolle. 10. Auflage. De Gruyter Studium, Berlin 2018, ISBN 978-3-11-055158-7, S. 49.</ref> So kann ein Prozess in einen nicht vorgesehenen Zustand des Prozesses versetzt werden, was dem Angreifer schließlich Zugang zum System im Benutzerkontext des Prozesses ermöglicht.

	Um die Angriffsmöglichkeiten des Buffer Overflows nutzen zu können, wird ein Prozess im Arbeitsspeicher benötigt, der das Ausführen von Befehlen mittels Shellcode aufgrund einer Sicherheitslücke von Prozess oder Betriebssystem zulässt. Als angreifbare Prozesse kommen häufig Prozesse in Betracht, die über ein Netzwerk erreichbar sind (z. B. FTP- und Web-Server <ref>~~Ansari, Ashfaq: Egg Hunter; https://www~~.~~exploit-db.com/docs/english/18482-egg-hunter---a-twist-in-buffer-overflow.pdf, abgerufen am 21.06.2020~~.</ref> <ref>Kumar, Prashant: Windows Exploitation: Egg Hunting; https://medium.com/@notsoshant/windows-exploitation-egg-hunting-117828020595, abgerufen am 21.06.2020.</ref> ).		Um die Angriffsmöglichkeiten des Buffer Overflows nutzen zu können, wird ein Prozess im Arbeitsspeicher benötigt, der das Ausführen von Befehlen mittels Shellcode aufgrund einer Sicherheitslücke von Prozess oder Betriebssystem zulässt. Als angreifbare Prozesse kommen häufig Prozesse in Betracht, die über ein Netzwerk erreichbar sind (z. B. FTP- und Web-Server <ref>Vgl. 1.</ref> <ref>Kumar, Prashant: Windows Exploitation: Egg Hunting; https://medium.com/@notsoshant/windows-exploitation-egg-hunting-117828020595, abgerufen am 21.06.2020.</ref> ).

	== Abwehrmaßnahmen zu Egg Hunting ==		== Abwehrmaßnahmen zu Egg Hunting ==

St191288 am 16. Juli 2020 um 19:23 Uhr

2020-07-16T19:23:45Z

← Nächstältere Version		Version vom 16. Juli 2020, 19:23 Uhr
Zeile 16:		Zeile 16:

	== Abwehrmaßnahmen zu Egg Hunting ==		== Abwehrmaßnahmen zu Egg Hunting ==
	Die Methodik des Egg Hunting basiert auf dem Angriffsmuster des Buffer Overflows, d. h. der Möglichkeit, in einen Puffer bzw. Speicherbereich Daten zu schreiben. Zur Vermeidung von Egg Hunting kommen daher die Schutzmechanismen in Betracht, die auch Buffer Overflows abmildern. Diese sind beispielsweise<ref>Kofler, Michael et. al: Hacking & Security. Das umfassende Handbuch. Rheinwerk Verlag, Bonn 2018, ISBN 978-3-8362-4548-7, S. 825.</ref>:		Die Methodik des Egg Hunting basiert auf dem Angriffsmuster des Buffer Overflows, d. h. der Möglichkeit, in einen Puffer bzw. Speicherbereich Daten zu schreiben. Zur Vermeidung von Egg Hunting kommen daher die Schutzmechanismen in Betracht, die auch Buffer Overflows abmildern. Diese sind beispielsweise:<ref>Kofler, Michael et. al: Hacking & Security. Das umfassende Handbuch. Rheinwerk Verlag, Bonn 2018, ISBN 978-3-8362-4548-7, S. 825.</ref>
	* Address Space Layout Randomization (ASLR)<br>Speicheradressen werden bei dem Start des Betriebssystems zufällig vergeben. Identifizierte Speicheradressen sind nur bis zum nächsten Neustart des Systems gültig.		* Address Space Layout Randomization (ASLR)<br>Speicheradressen werden bei dem Start des Betriebssystems zufällig vergeben. Identifizierte Speicheradressen sind nur bis zum nächsten Neustart des Systems gültig.
	* Stack Canaries<br>Zur Erkennung eines Buffer Overflows wird eine Zufallszahl beim Funktionsaufruf am Stack zwischen lokalen Variablen und der Rücksprungadresse eingefügt. Bevor der Rücksprung in die aufrufende Funktion erfolgt, wird der Wert der Zufallszahl überprüft. Ist der Wert der Zufallszahl verändert, fand ein Buffer Overflow statt und das Betriebssystem kann Gegenmaßnahmen ergreifen.		* Stack Canaries<br>Zur Erkennung eines Buffer Overflows wird eine Zufallszahl beim Funktionsaufruf am Stack zwischen lokalen Variablen und der Rücksprungadresse eingefügt. Bevor der Rücksprung in die aufrufende Funktion erfolgt, wird der Wert der Zufallszahl überprüft. Ist der Wert der Zufallszahl verändert, fand ein Buffer Overflow statt und das Betriebssystem kann Gegenmaßnahmen ergreifen.

St191288 am 16. Juli 2020 um 19:06 Uhr

2020-07-16T19:06:09Z

← Nächstältere Version		Version vom 16. Juli 2020, 19:06 Uhr
Zeile 48:		Zeile 48:
	* https://www.lowlevel.eu/wiki/X86#Instruktionsregister		* https://www.lowlevel.eu/wiki/X86#Instruktionsregister
	* http://www.winfaq.de/faq_html/Content/tip2000/onlinefaq.php?h=tip2323.htm		* http://www.winfaq.de/faq_html/Content/tip2000/onlinefaq.php?h=tip2323.htm

			== Einzelnachweise ==

St191288 am 16. Juli 2020 um 19:05 Uhr

2020-07-16T19:05:44Z

← Nächstältere Version		Version vom 16. Juli 2020, 19:05 Uhr
Zeile 13:		Zeile 13:
	Egg Hunting nutzt die Prinzipien des Buffer Overflow, um bei einem Prozeduraufruf über Eingabeparameter gezielt auf den Speicherbereich einer Variablen (dem Puffer) zuzugreifen und diesen mit nicht vorhergesehenen Daten zu überschreiben.<ref>Kiran, Shashi: Hunting the Egg: Egg Hunter; https://www.secpod.com/blog/hunting-the-egg-egg-hunter/, abgerufen am 21.06.2020.</ref> Dabei wird auch versucht, die Rücksprungadresse des Prozeduraufrufs zu überschreiben, um die Ausführung des Shellcodes an der Speicheradresse des "Egg" zu veranlassen.<ref>Eckert, Claudia: IT-Sicherheit. Konzepte - Verfahren - Protokolle. 10. Auflage. De Gruyter Studium, Berlin 2018, ISBN 978-3-11-055158-7, S. 49.</ref> So kann ein Prozess in einen nicht vorgesehenen Zustand des Prozesses versetzt werden, was dem Angreifer schließlich Zugang zum System im Benutzerkontext des Prozesses ermöglicht.		Egg Hunting nutzt die Prinzipien des Buffer Overflow, um bei einem Prozeduraufruf über Eingabeparameter gezielt auf den Speicherbereich einer Variablen (dem Puffer) zuzugreifen und diesen mit nicht vorhergesehenen Daten zu überschreiben.<ref>Kiran, Shashi: Hunting the Egg: Egg Hunter; https://www.secpod.com/blog/hunting-the-egg-egg-hunter/, abgerufen am 21.06.2020.</ref> Dabei wird auch versucht, die Rücksprungadresse des Prozeduraufrufs zu überschreiben, um die Ausführung des Shellcodes an der Speicheradresse des "Egg" zu veranlassen.<ref>Eckert, Claudia: IT-Sicherheit. Konzepte - Verfahren - Protokolle. 10. Auflage. De Gruyter Studium, Berlin 2018, ISBN 978-3-11-055158-7, S. 49.</ref> So kann ein Prozess in einen nicht vorgesehenen Zustand des Prozesses versetzt werden, was dem Angreifer schließlich Zugang zum System im Benutzerkontext des Prozesses ermöglicht.

	Um die Angriffsmöglichkeiten des Buffer Overflows nutzen zu können, wird ein Prozess im Arbeitsspeicher benötigt, der das Ausführen von Befehlen mittels Shellcode aufgrund einer Sicherheitslücke von Prozess oder Betriebssystem zulässt. Als angreifbare Prozesse kommen häufig Prozesse in Betracht, die über ein Netzwerk erreichbar sind (z. B. FTP- und Web-Server <ref>Ansari, Ashfaq: Egg Hunter; https://www.exploit-db.com/docs/english/18482-egg-hunter---a-twist-in-buffer-overflow.pdf, abgerufen am 21.06.2020.</ref> <ref>Kumar, Prashant: Windows Exploitation: Egg Hunting; ~~mailto:-%09https~~://medium.com/@notsoshant/windows-exploitation-egg-hunting-117828020595, abgerufen am 21.06.2020.</ref> ).		Um die Angriffsmöglichkeiten des Buffer Overflows nutzen zu können, wird ein Prozess im Arbeitsspeicher benötigt, der das Ausführen von Befehlen mittels Shellcode aufgrund einer Sicherheitslücke von Prozess oder Betriebssystem zulässt. Als angreifbare Prozesse kommen häufig Prozesse in Betracht, die über ein Netzwerk erreichbar sind (z. B. FTP- und Web-Server <ref>Ansari, Ashfaq: Egg Hunter; https://www.exploit-db.com/docs/english/18482-egg-hunter---a-twist-in-buffer-overflow.pdf, abgerufen am 21.06.2020.</ref> <ref>Kumar, Prashant: Windows Exploitation: Egg Hunting; https://medium.com/@notsoshant/windows-exploitation-egg-hunting-117828020595, abgerufen am 21.06.2020.</ref> ).

	== Abwehrmaßnahmen zu Egg Hunting ==		== Abwehrmaßnahmen zu Egg Hunting ==
	Die Methodik des Egg Hunting basiert auf dem Angriffsmuster des Buffer Overflows, d. h. der Möglichkeit, in einen Puffer bzw. Speicherbereich Daten zu schreiben. Zur Vermeidung von Egg Hunting kommen daher die Schutzmechanismen in Betracht, die auch Buffer Overflows abmildern. Diese sind beispielsweise:		Die Methodik des Egg Hunting basiert auf dem Angriffsmuster des Buffer Overflows, d. h. der Möglichkeit, in einen Puffer bzw. Speicherbereich Daten zu schreiben. Zur Vermeidung von Egg Hunting kommen daher die Schutzmechanismen in Betracht, die auch Buffer Overflows abmildern. Diese sind beispielsweise<ref>Kofler, Michael et. al: Hacking & Security. Das umfassende Handbuch. Rheinwerk Verlag, Bonn 2018, ISBN 978-3-8362-4548-7, S. 825.</ref>:
	* Address Space Layout Randomization (ASLR)<br>Speicheradressen werden bei dem Start des Betriebssystems zufällig vergeben. Identifizierte Speicheradressen sind nur bis zum nächsten Neustart des Systems gültig.		* Address Space Layout Randomization (ASLR)<br>Speicheradressen werden bei dem Start des Betriebssystems zufällig vergeben. Identifizierte Speicheradressen sind nur bis zum nächsten Neustart des Systems gültig.
	* Stack Canaries<br>Zur Erkennung eines Buffer Overflows wird eine Zufallszahl beim Funktionsaufruf am Stack zwischen lokalen Variablen und der Rücksprungadresse eingefügt. Bevor der Rücksprung in die aufrufende Funktion erfolgt, wird der Wert der Zufallszahl überprüft. Ist der Wert der Zufallszahl verändert, fand ein Buffer Overflow statt und das Betriebssystem kann Gegenmaßnahmen ergreifen.		* Stack Canaries<br>Zur Erkennung eines Buffer Overflows wird eine Zufallszahl beim Funktionsaufruf am Stack zwischen lokalen Variablen und der Rücksprungadresse eingefügt. Bevor der Rücksprung in die aufrufende Funktion erfolgt, wird der Wert der Zufallszahl überprüft. Ist der Wert der Zufallszahl verändert, fand ein Buffer Overflow statt und das Betriebssystem kann Gegenmaßnahmen ergreifen.
	* Data Execution Prevention (DEP)<br>Ist DEP betriebssystemseitig aktiviert, werden Programme bei der Ausführung überwacht, um sicherzustellen, dass sie nur den vorgesehenen Speicherbereich verwenden. Erfolgt der Zugriff auf eine nicht zulässige Speicheradresse, so wird der Zugriff vom Betriebssystem blockiert.		* Data Execution Prevention (DEP)<br>Ist DEP betriebssystemseitig aktiviert, werden Programme bei der Ausführung überwacht, um sicherzustellen, dass sie nur den vorgesehenen Speicherbereich verwenden. Erfolgt der Zugriff auf eine nicht zulässige Speicheradresse, so wird der Zugriff vom Betriebssystem blockiert.<ref>Ullrich, Frank: Datenausführungs-Verhinderung (DEP); http://www.winfaq.de/faq_html/Content/tip2000/onlinefaq.php?h=tip2323.htm, abgerufen am 21.06.2020.</ref>

	== Egg Hunting in der Praxis ==		== Egg Hunting in der Praxis ==
	Tools für die Ausführung von Penetration Tests bieten meist vorgefertigte Funktionalitäten für den Angriff bestimmter Systeme an, die lediglich die Angabe von IP-Adresse und Port des anzugreifenden Systems benötigen. Ein Beispiel für den zweistufigen Angriff ist die Verwendung der Module windows/meterpreter/reverse_tcp für den Verbindungsaufbau zum System des Angreifers (Reverse Shell) und windows/meterpreter_reverse_tcp zum Starten einer Shell auf dem angegriffenen System.		Tools für die Ausführung von Penetration Tests bieten meist vorgefertigte Funktionalitäten für den Angriff bestimmter Systeme an, die lediglich die Angabe von IP-Adresse und Port des anzugreifenden Systems benötigen. Ein Beispiel für den zweistufigen Angriff ist die Verwendung der Module windows/meterpreter/reverse_tcp für den Verbindungsaufbau zum System des Angreifers (Reverse Shell) und windows/meterpreter_reverse_tcp zum Starten einer Shell auf dem angegriffenen System.<ref>Reeves, OJ: Deep Dive Into Stageless Meterpreter Payloads; https://blog.rapid7.com/2015/03/25/stageless-meterpreter-payloads, abgerufen am 21.06.2020.</ref>

	Die auszuführenden Befehle des Shellcodes und die Zeichenfolge des "Egg" werden häufig mit Skriptsprachen wie Perl oder Python zusammengestellt. Damit die Zeichenfolge möglichst individuell ausfällt, wird ein Begriff gewählt, i. d. R. doppelt eingefügt und mit zufälligen Werten im Hexadezimalformat versehen.		Die auszuführenden Befehle des Shellcodes und die Zeichenfolge des "Egg" werden häufig mit Skriptsprachen wie Perl oder Python zusammengestellt. Damit die Zeichenfolge möglichst individuell ausfällt, wird ein Begriff gewählt, i. d. R. doppelt eingefügt und mit zufälligen Werten im Hexadezimalformat versehen.

St191288 am 16. Juli 2020 um 19:03 Uhr

2020-07-16T19:03:24Z

← Nächstältere Version		Version vom 16. Juli 2020, 19:03 Uhr
Zeile 13:		Zeile 13:
	Egg Hunting nutzt die Prinzipien des Buffer Overflow, um bei einem Prozeduraufruf über Eingabeparameter gezielt auf den Speicherbereich einer Variablen (dem Puffer) zuzugreifen und diesen mit nicht vorhergesehenen Daten zu überschreiben.<ref>Kiran, Shashi: Hunting the Egg: Egg Hunter; https://www.secpod.com/blog/hunting-the-egg-egg-hunter/, abgerufen am 21.06.2020.</ref> Dabei wird auch versucht, die Rücksprungadresse des Prozeduraufrufs zu überschreiben, um die Ausführung des Shellcodes an der Speicheradresse des "Egg" zu veranlassen.<ref>Eckert, Claudia: IT-Sicherheit. Konzepte - Verfahren - Protokolle. 10. Auflage. De Gruyter Studium, Berlin 2018, ISBN 978-3-11-055158-7, S. 49.</ref> So kann ein Prozess in einen nicht vorgesehenen Zustand des Prozesses versetzt werden, was dem Angreifer schließlich Zugang zum System im Benutzerkontext des Prozesses ermöglicht.		Egg Hunting nutzt die Prinzipien des Buffer Overflow, um bei einem Prozeduraufruf über Eingabeparameter gezielt auf den Speicherbereich einer Variablen (dem Puffer) zuzugreifen und diesen mit nicht vorhergesehenen Daten zu überschreiben.<ref>Kiran, Shashi: Hunting the Egg: Egg Hunter; https://www.secpod.com/blog/hunting-the-egg-egg-hunter/, abgerufen am 21.06.2020.</ref> Dabei wird auch versucht, die Rücksprungadresse des Prozeduraufrufs zu überschreiben, um die Ausführung des Shellcodes an der Speicheradresse des "Egg" zu veranlassen.<ref>Eckert, Claudia: IT-Sicherheit. Konzepte - Verfahren - Protokolle. 10. Auflage. De Gruyter Studium, Berlin 2018, ISBN 978-3-11-055158-7, S. 49.</ref> So kann ein Prozess in einen nicht vorgesehenen Zustand des Prozesses versetzt werden, was dem Angreifer schließlich Zugang zum System im Benutzerkontext des Prozesses ermöglicht.

	Um die Angriffsmöglichkeiten des Buffer Overflows nutzen zu können, wird ein Prozess im Arbeitsspeicher benötigt, der das Ausführen von Befehlen mittels Shellcode aufgrund einer Sicherheitslücke von Prozess oder Betriebssystem zulässt. Als angreifbare Prozesse kommen häufig Prozesse in Betracht, die über ein Netzwerk erreichbar sind (z. B. FTP- und Web-Server <ref>Ansari, Ashfaq: Egg Hunter; https://www.exploit-db.com/docs/english/18482-egg-hunter---a-twist-in-buffer-overflow.pdf, abgerufen am 21.06.2020.</ref> ).		Um die Angriffsmöglichkeiten des Buffer Overflows nutzen zu können, wird ein Prozess im Arbeitsspeicher benötigt, der das Ausführen von Befehlen mittels Shellcode aufgrund einer Sicherheitslücke von Prozess oder Betriebssystem zulässt. Als angreifbare Prozesse kommen häufig Prozesse in Betracht, die über ein Netzwerk erreichbar sind (z. B. FTP- und Web-Server <ref>Ansari, Ashfaq: Egg Hunter; https://www.exploit-db.com/docs/english/18482-egg-hunter---a-twist-in-buffer-overflow.pdf, abgerufen am 21.06.2020.</ref> <ref>Kumar, Prashant: Windows Exploitation: Egg Hunting; mailto:-%09https://medium.com/@notsoshant/windows-exploitation-egg-hunting-117828020595, abgerufen am 21.06.2020.</ref> ).

	== Abwehrmaßnahmen zu Egg Hunting ==		== Abwehrmaßnahmen zu Egg Hunting ==

St191288 am 16. Juli 2020 um 19:02 Uhr

2020-07-16T19:02:18Z

← Nächstältere Version		Version vom 16. Juli 2020, 19:02 Uhr
Zeile 11:		Zeile 11:

	== Grundlage des Egg Hunting: Buffer Overflow ==		== Grundlage des Egg Hunting: Buffer Overflow ==
	Egg Hunting nutzt die Prinzipien des Buffer Overflow, um bei einem Prozeduraufruf über Eingabeparameter gezielt auf den Speicherbereich einer Variablen (dem Puffer) zuzugreifen und diesen mit nicht vorhergesehenen Daten zu überschreiben.<ref>Kiran, Shashi: Hunting the Egg: Egg Hunter; https://www.secpod.com/blog/hunting-the-egg-egg-hunter/, abgerufen am 21.06.2020.</ref> Dabei wird auch versucht, die Rücksprungadresse des Prozeduraufrufs zu überschreiben, um die Ausführung des Shellcodes an der Speicheradresse des "Egg" zu veranlassen. So kann ein Prozess in einen nicht vorgesehenen Zustand des Prozesses versetzt werden, was dem Angreifer schließlich Zugang zum System im Benutzerkontext des Prozesses ermöglicht.		Egg Hunting nutzt die Prinzipien des Buffer Overflow, um bei einem Prozeduraufruf über Eingabeparameter gezielt auf den Speicherbereich einer Variablen (dem Puffer) zuzugreifen und diesen mit nicht vorhergesehenen Daten zu überschreiben.<ref>Kiran, Shashi: Hunting the Egg: Egg Hunter; https://www.secpod.com/blog/hunting-the-egg-egg-hunter/, abgerufen am 21.06.2020.</ref> Dabei wird auch versucht, die Rücksprungadresse des Prozeduraufrufs zu überschreiben, um die Ausführung des Shellcodes an der Speicheradresse des "Egg" zu veranlassen.<ref>Eckert, Claudia: IT-Sicherheit. Konzepte - Verfahren - Protokolle. 10. Auflage. De Gruyter Studium, Berlin 2018, ISBN 978-3-11-055158-7, S. 49.</ref> So kann ein Prozess in einen nicht vorgesehenen Zustand des Prozesses versetzt werden, was dem Angreifer schließlich Zugang zum System im Benutzerkontext des Prozesses ermöglicht.

	Um die Angriffsmöglichkeiten des Buffer Overflows nutzen zu können, wird ein Prozess im Arbeitsspeicher benötigt, der das Ausführen von Befehlen mittels Shellcode aufgrund einer Sicherheitslücke von Prozess oder Betriebssystem zulässt. Als angreifbare Prozesse kommen häufig Prozesse in Betracht, die über ein Netzwerk erreichbar sind (z. B. FTP- und Web-Server ).		Um die Angriffsmöglichkeiten des Buffer Overflows nutzen zu können, wird ein Prozess im Arbeitsspeicher benötigt, der das Ausführen von Befehlen mittels Shellcode aufgrund einer Sicherheitslücke von Prozess oder Betriebssystem zulässt. Als angreifbare Prozesse kommen häufig Prozesse in Betracht, die über ein Netzwerk erreichbar sind (z. B. FTP- und Web-Server <ref>Ansari, Ashfaq: Egg Hunter; https://www.exploit-db.com/docs/english/18482-egg-hunter---a-twist-in-buffer-overflow.pdf, abgerufen am 21.06.2020.</ref> ).

	== Abwehrmaßnahmen zu Egg Hunting ==		== Abwehrmaßnahmen zu Egg Hunting ==

St191288 am 16. Juli 2020 um 19:00 Uhr

2020-07-16T19:00:28Z

← Nächstältere Version		Version vom 16. Juli 2020, 19:00 Uhr
Zeile 8:		Zeile 8:
	Im ersten Schritt wird versucht, den umfangreichen Shellcode mit den tatsächlichen Befehlen, um Zugriff auf das System zu erlangen, im Adressbereich des Prozesses zu platzieren. Dieser Shellcode wird zu diesem Zeitpunkt nicht ausgeführt, enthält aber als Erkennungsmerkmal eine definierte eindeutige Zeichenfolge, die als "Egg" bezeichnet wird.		Im ersten Schritt wird versucht, den umfangreichen Shellcode mit den tatsächlichen Befehlen, um Zugriff auf das System zu erlangen, im Adressbereich des Prozesses zu platzieren. Dieser Shellcode wird zu diesem Zeitpunkt nicht ausgeführt, enthält aber als Erkennungsmerkmal eine definierte eindeutige Zeichenfolge, die als "Egg" bezeichnet wird.

	Im nächsten Schritt wird versucht, einen weiteren Shellcode mit geringem Funktionsumfang im Adressbereich des Prozesses einzuschleusen. Dieser Shellcode durchsucht lediglich die zugewiesenen Speicheradressen des Prozesses nach der Zeichenfolge des "Egg" mittels Systemaufrufe<ref>Ansari, Ashfaq: Egg Hunter; https://www.exploit-db.com/docs/english/18482-egg-hunter---a-twist-in-buffer-overflow.pdf Abgerufen am 21.06.2020.</ref> des Betriebssystems, die als Rückgabewert den Inhalt der jeweiligen Speicheradresse liefern.<ref>Kumar, Prashant: Windows Exploitation: Egg Hunting; ~~mailto:-%09https~~://medium.com/@notsoshant/windows-exploitation-egg-hunting-117828020595, abgerufen am 21.06.2020.</ref> Entspricht der Rückgabewert der Zeichenfolge des "Egg", so ist die Speicheradresse des Shellcodes aus dem ersten Schritt gefunden. Somit kann der umfangreiche Shellcode aus dem ersten Schritt über das Prozessorregister EIP durch die ermittelte Speicheradresse aufgerufen werden. Dieser Suchvorgang wird als "Egg Hunting" bezeichnet. War auch die zweite Stufe des Angriffs erfolgreich, besitzt der Angreifer Zugriff auf das System.		Im nächsten Schritt wird versucht, einen weiteren Shellcode mit geringem Funktionsumfang im Adressbereich des Prozesses einzuschleusen. Dieser Shellcode durchsucht lediglich die zugewiesenen Speicheradressen des Prozesses nach der Zeichenfolge des "Egg" mittels Systemaufrufe<ref>Ansari, Ashfaq: Egg Hunter; https://www.exploit-db.com/docs/english/18482-egg-hunter---a-twist-in-buffer-overflow.pdf Abgerufen am 21.06.2020.</ref> des Betriebssystems, die als Rückgabewert den Inhalt der jeweiligen Speicheradresse liefern.<ref>Kumar, Prashant: Windows Exploitation: Egg Hunting; https://medium.com/@notsoshant/windows-exploitation-egg-hunting-117828020595, abgerufen am 21.06.2020.</ref> Entspricht der Rückgabewert der Zeichenfolge des "Egg", so ist die Speicheradresse des Shellcodes aus dem ersten Schritt gefunden.<ref>Messner, Michael: Hacking mit Metasploit. Das umfassende Handbuch zu Penetration Testing und Metasploit. 3. Auflage. dpunkt.verlag, Heidelberg 2018, ISBN 978-3-86490-253-0, S. 419.</ref> Somit kann der umfangreiche Shellcode aus dem ersten Schritt über das Prozessorregister EIP<ref>Ohne Verfasser: X86. Instruktionsregister; https://www.lowlevel.eu/wiki/X86#Instruktionsregister, abgerufen am 21.06.2020.</ref> durch die ermittelte Speicheradresse aufgerufen werden.<ref>Czumak, Mike: Windows Exploit Development – Part 5: Locating Shellcode With Egghunting; http://www.securitysift.com/windows-exploit-development-part-5-locating-shellcode-egghunting/ bgerufen am 21.06.2020.</ref> Dieser Suchvorgang wird als "Egg Hunting" bezeichnet. War auch die zweite Stufe des Angriffs erfolgreich, besitzt der Angreifer Zugriff auf das System.

	== Grundlage des Egg Hunting: Buffer Overflow ==		== Grundlage des Egg Hunting: Buffer Overflow ==
	Egg Hunting nutzt die Prinzipien des Buffer Overflow, um bei einem Prozeduraufruf über Eingabeparameter gezielt auf den Speicherbereich einer Variablen (dem Puffer) zuzugreifen und diesen mit nicht vorhergesehenen Daten zu überschreiben. Dabei wird auch versucht, die Rücksprungadresse des Prozeduraufrufs zu überschreiben, um die Ausführung des Shellcodes an der Speicheradresse des "Egg" zu veranlassen. So kann ein Prozess in einen nicht vorgesehenen Zustand des Prozesses versetzt werden, was dem Angreifer schließlich Zugang zum System im Benutzerkontext des Prozesses ermöglicht.		Egg Hunting nutzt die Prinzipien des Buffer Overflow, um bei einem Prozeduraufruf über Eingabeparameter gezielt auf den Speicherbereich einer Variablen (dem Puffer) zuzugreifen und diesen mit nicht vorhergesehenen Daten zu überschreiben.<ref>Kiran, Shashi: Hunting the Egg: Egg Hunter; https://www.secpod.com/blog/hunting-the-egg-egg-hunter/, abgerufen am 21.06.2020.</ref> Dabei wird auch versucht, die Rücksprungadresse des Prozeduraufrufs zu überschreiben, um die Ausführung des Shellcodes an der Speicheradresse des "Egg" zu veranlassen. So kann ein Prozess in einen nicht vorgesehenen Zustand des Prozesses versetzt werden, was dem Angreifer schließlich Zugang zum System im Benutzerkontext des Prozesses ermöglicht.

	Um die Angriffsmöglichkeiten des Buffer Overflows nutzen zu können, wird ein Prozess im Arbeitsspeicher benötigt, der das Ausführen von Befehlen mittels Shellcode aufgrund einer Sicherheitslücke von Prozess oder Betriebssystem zulässt. Als angreifbare Prozesse kommen häufig Prozesse in Betracht, die über ein Netzwerk erreichbar sind (z. B. FTP- und Web-Server ).		Um die Angriffsmöglichkeiten des Buffer Overflows nutzen zu können, wird ein Prozess im Arbeitsspeicher benötigt, der das Ausführen von Befehlen mittels Shellcode aufgrund einer Sicherheitslücke von Prozess oder Betriebssystem zulässt. Als angreifbare Prozesse kommen häufig Prozesse in Betracht, die über ein Netzwerk erreichbar sind (z. B. FTP- und Web-Server ).

St191288 am 16. Juli 2020 um 18:55 Uhr

2020-07-16T18:55:52Z

← Nächstältere Version		Version vom 16. Juli 2020, 18:55 Uhr
Zeile 8:		Zeile 8:
	Im ersten Schritt wird versucht, den umfangreichen Shellcode mit den tatsächlichen Befehlen, um Zugriff auf das System zu erlangen, im Adressbereich des Prozesses zu platzieren. Dieser Shellcode wird zu diesem Zeitpunkt nicht ausgeführt, enthält aber als Erkennungsmerkmal eine definierte eindeutige Zeichenfolge, die als "Egg" bezeichnet wird.		Im ersten Schritt wird versucht, den umfangreichen Shellcode mit den tatsächlichen Befehlen, um Zugriff auf das System zu erlangen, im Adressbereich des Prozesses zu platzieren. Dieser Shellcode wird zu diesem Zeitpunkt nicht ausgeführt, enthält aber als Erkennungsmerkmal eine definierte eindeutige Zeichenfolge, die als "Egg" bezeichnet wird.

	Im nächsten Schritt wird versucht, einen weiteren Shellcode mit geringem Funktionsumfang im Adressbereich des Prozesses einzuschleusen. Dieser Shellcode durchsucht lediglich die zugewiesenen Speicheradressen des Prozesses nach der Zeichenfolge des "Egg" mittels Systemaufrufe des Betriebssystems, die als Rückgabewert den Inhalt der jeweiligen Speicheradresse liefern. Entspricht der Rückgabewert der Zeichenfolge des "Egg", so ist die Speicheradresse des Shellcodes aus dem ersten Schritt gefunden. Somit kann der umfangreiche Shellcode aus dem ersten Schritt über das Prozessorregister EIP durch die ermittelte Speicheradresse aufgerufen werden. Dieser Suchvorgang wird als "Egg Hunting" bezeichnet. War auch die zweite Stufe des Angriffs erfolgreich, besitzt der Angreifer Zugriff auf das System.		Im nächsten Schritt wird versucht, einen weiteren Shellcode mit geringem Funktionsumfang im Adressbereich des Prozesses einzuschleusen. Dieser Shellcode durchsucht lediglich die zugewiesenen Speicheradressen des Prozesses nach der Zeichenfolge des "Egg" mittels Systemaufrufe<ref>Ansari, Ashfaq: Egg Hunter; https://www.exploit-db.com/docs/english/18482-egg-hunter---a-twist-in-buffer-overflow.pdf Abgerufen am 21.06.2020.</ref> des Betriebssystems, die als Rückgabewert den Inhalt der jeweiligen Speicheradresse liefern.<ref>Kumar, Prashant: Windows Exploitation: Egg Hunting; mailto:-%09https://medium.com/@notsoshant/windows-exploitation-egg-hunting-117828020595, abgerufen am 21.06.2020.</ref> Entspricht der Rückgabewert der Zeichenfolge des "Egg", so ist die Speicheradresse des Shellcodes aus dem ersten Schritt gefunden. Somit kann der umfangreiche Shellcode aus dem ersten Schritt über das Prozessorregister EIP durch die ermittelte Speicheradresse aufgerufen werden. Dieser Suchvorgang wird als "Egg Hunting" bezeichnet. War auch die zweite Stufe des Angriffs erfolgreich, besitzt der Angreifer Zugriff auf das System.

	== Grundlage des Egg Hunting: Buffer Overflow ==		== Grundlage des Egg Hunting: Buffer Overflow ==

St191515 am 16. Juli 2020 um 18:11 Uhr

2020-07-16T18:11:08Z

← Nächstältere Version		Version vom 16. Juli 2020, 18:11 Uhr
Zeile 1:		Zeile 1:
	Egg Hunting bezeichnet die Suche nach einer zuvor festgelegten Zeichenfolge im Adressbereich eines Prozesses, um die Ausführung von Shellcode (Befehle, um einen Prozess oder ein System zu manipulieren) an der Speicheradresse der Zeichenfolge zu starten.		'''Egg Hunting''' bezeichnet die Suche nach einer zuvor festgelegten Zeichenfolge im Adressbereich eines Prozesses, um die Ausführung von Shellcode (Befehle, um einen Prozess oder ein System zu manipulieren) an der Speicheradresse der Zeichenfolge zu starten.
	Der Begriff des Egg Hunting ist in der Fachliteratur nicht einheitlich zu definiert. Alle Definitionen enthalten jedoch, dass ein Shellcode aufgrund dessen Größe nicht vollständig im Speicherbereich eines Prozesses vollständig unterzubringen ist. So sind mindestens zwei Shellcodes im Adressbereich eines Prozesses zu platzieren. Zuerst ist der umfangreichere Shellcode mit dem Erkennungsmerkmal der Zeichenfolge (das "Egg") zu platzieren, um anschließend durch einen weiteren Shellcode die Ausführung des umfangreicheren Shellcodes an der Speicheradresse des "Egg" zu veranlassen.
			Der Begriff des Egg Hunting ist in der Fachliteratur nicht einheitlich definiert. Alle Definitionen enthalten jedoch, dass ein Shellcode aufgrund dessen Größe nicht vollständig im Speicherbereich eines Prozesses vollständig unterzubringen ist. So sind mindestens zwei Shellcodes im Adressbereich eines Prozesses zu platzieren. Zuerst ist der umfangreichere Shellcode mit dem Erkennungsmerkmal der Zeichenfolge (das "Egg") zu platzieren, um anschließend durch einen weiteren Shellcode die Ausführung des umfangreicheren Shellcodes an der Speicheradresse des "Egg" zu veranlassen.

			== Implementation des Shellcodes in zwei Schritten ==
			Die direkte Ausführung eines Shellcodes ist in der Praxis häufig nicht möglich, da der vom Betriebssystem zugewiesene Adressbereich eines Prozesses entweder zu klein ist, um den gesamten Shellcode unterzubringen, oder dem Angreifer die vom Betriebssystem reservierten Speicheradressen eines Prozesses nicht bekannt sind. Für den Angreifer bedeutet das, den Angriff auf den Prozess mit wenigen Daten sehr effizient und in mindestens zwei Schritten mit verschiedenen Shellcodes auszuführen.

			Im ersten Schritt wird versucht, den umfangreichen Shellcode mit den tatsächlichen Befehlen, um Zugriff auf das System zu erlangen, im Adressbereich des Prozesses zu platzieren. Dieser Shellcode wird zu diesem Zeitpunkt nicht ausgeführt, enthält aber als Erkennungsmerkmal eine definierte eindeutige Zeichenfolge, die als "Egg" bezeichnet wird.

			Im nächsten Schritt wird versucht, einen weiteren Shellcode mit geringem Funktionsumfang im Adressbereich des Prozesses einzuschleusen. Dieser Shellcode durchsucht lediglich die zugewiesenen Speicheradressen des Prozesses nach der Zeichenfolge des "Egg" mittels Systemaufrufe des Betriebssystems, die als Rückgabewert den Inhalt der jeweiligen Speicheradresse liefern. Entspricht der Rückgabewert der Zeichenfolge des "Egg", so ist die Speicheradresse des Shellcodes aus dem ersten Schritt gefunden. Somit kann der umfangreiche Shellcode aus dem ersten Schritt über das Prozessorregister EIP durch die ermittelte Speicheradresse aufgerufen werden. Dieser Suchvorgang wird als "Egg Hunting" bezeichnet. War auch die zweite Stufe des Angriffs erfolgreich, besitzt der Angreifer Zugriff auf das System.

			== Grundlage des Egg Hunting: Buffer Overflow ==
			Egg Hunting nutzt die Prinzipien des Buffer Overflow, um bei einem Prozeduraufruf über Eingabeparameter gezielt auf den Speicherbereich einer Variablen (dem Puffer) zuzugreifen und diesen mit nicht vorhergesehenen Daten zu überschreiben. Dabei wird auch versucht, die Rücksprungadresse des Prozeduraufrufs zu überschreiben, um die Ausführung des Shellcodes an der Speicheradresse des "Egg" zu veranlassen. So kann ein Prozess in einen nicht vorgesehenen Zustand des Prozesses versetzt werden, was dem Angreifer schließlich Zugang zum System im Benutzerkontext des Prozesses ermöglicht.

			Um die Angriffsmöglichkeiten des Buffer Overflows nutzen zu können, wird ein Prozess im Arbeitsspeicher benötigt, der das Ausführen von Befehlen mittels Shellcode aufgrund einer Sicherheitslücke von Prozess oder Betriebssystem zulässt. Als angreifbare Prozesse kommen häufig Prozesse in Betracht, die über ein Netzwerk erreichbar sind (z. B. FTP- und Web-Server ).

			== Abwehrmaßnahmen zu Egg Hunting ==
			Die Methodik des Egg Hunting basiert auf dem Angriffsmuster des Buffer Overflows, d. h. der Möglichkeit, in einen Puffer bzw. Speicherbereich Daten zu schreiben. Zur Vermeidung von Egg Hunting kommen daher die Schutzmechanismen in Betracht, die auch Buffer Overflows abmildern. Diese sind beispielsweise:
			* Address Space Layout Randomization (ASLR)<br>Speicheradressen werden bei dem Start des Betriebssystems zufällig vergeben. Identifizierte Speicheradressen sind nur bis zum nächsten Neustart des Systems gültig.
			* Stack Canaries<br>Zur Erkennung eines Buffer Overflows wird eine Zufallszahl beim Funktionsaufruf am Stack zwischen lokalen Variablen und der Rücksprungadresse eingefügt. Bevor der Rücksprung in die aufrufende Funktion erfolgt, wird der Wert der Zufallszahl überprüft. Ist der Wert der Zufallszahl verändert, fand ein Buffer Overflow statt und das Betriebssystem kann Gegenmaßnahmen ergreifen.
			* Data Execution Prevention (DEP)<br>Ist DEP betriebssystemseitig aktiviert, werden Programme bei der Ausführung überwacht, um sicherzustellen, dass sie nur den vorgesehenen Speicherbereich verwenden. Erfolgt der Zugriff auf eine nicht zulässige Speicheradresse, so wird der Zugriff vom Betriebssystem blockiert.

			== Egg Hunting in der Praxis ==
			Tools für die Ausführung von Penetration Tests bieten meist vorgefertigte Funktionalitäten für den Angriff bestimmter Systeme an, die lediglich die Angabe von IP-Adresse und Port des anzugreifenden Systems benötigen. Ein Beispiel für den zweistufigen Angriff ist die Verwendung der Module windows/meterpreter/reverse_tcp für den Verbindungsaufbau zum System des Angreifers (Reverse Shell) und windows/meterpreter_reverse_tcp zum Starten einer Shell auf dem angegriffenen System.

			Die auszuführenden Befehle des Shellcodes und die Zeichenfolge des "Egg" werden häufig mit Skriptsprachen wie Perl oder Python zusammengestellt. Damit die Zeichenfolge möglichst individuell ausfällt, wird ein Begriff gewählt, i. d. R. doppelt eingefügt und mit zufälligen Werten im Hexadezimalformat versehen.

			Perl:<br>
			<code>$shellcode = "UniqueEggUniqueEgg\x40\x40\x40\x40";</code>

			Python:<br>
			<code>shellcode = ("UniqueEggUniqueEgg\x40\x40\x40\x40")</code>

			== Literatur ==
			* Eckert, Claudia: IT-Sicherheit. Konzepte - Verfahren - Protokolle. 10. Auflage. De Gruyter Studium, Berlin 2018, ISBN 978-3-11-055158-7.

			* Kofler, Michael et. al: Hacking & Security. Das umfassende Handbuch. Rheinwerk Verlag, Bonn 2018, ISBN 978-3-8362-4548-7.

			* Messner, Michael: Hacking mit Metasploit. Das umfassende Handbuch zu Penetration Testing und Metasploit. 3. Auflage. dpunkt.verlag, Heidelberg 2018, ISBN 978-3-86490-253-0.

			== Weblinks ==
			* https://blog.rapid7.com/2015/03/25/stageless-meterpreter-payloads/
			* https://www.corelan.be/index.php/2010/01/09/exploit-writing-tutorial-part-8-win32-egg-hunting/
			* https://www.exploit-db.com/docs/english/18482-egg-hunter---a-twist-in-buffer-overflow.pdf
			* https://medium.com/@notsoshant/windows-exploitation-egg-hunting-117828020595
			* https://www.secpod.com/blog/hunting-the-egg-egg-hunter/
			* http://www.securitysift.com/windows-exploit-development-part-5-locating-shellcode-egghunting/
			* https://www.lowlevel.eu/wiki/X86#Instruktionsregister
			* http://www.winfaq.de/faq_html/Content/tip2000/onlinefaq.php?h=tip2323.htm