Stack-basierte Buffer-Overflow Angriffe in Microsoft Windows - Versionsgeschichte

St201543: /* Identifikation und Eliminierung von ungültigen Zeichen */

2021-08-04T07:19:02Z

Identifikation und Eliminierung von ungültigen Zeichen

← Nächstältere Version		Version vom 4. August 2021, 07:19 Uhr
Zeile 266:		Zeile 266:
	Aus dem zweiten Speicherabbild-Abgleich (vgl. Abbildung 10) geht hervor, dass an Speicheradresse ''0x029da133'' die nächste Nonkonformität (''\x0e'' anstatt ''\x0d'') vorhanden ist. Dies führt jedoch diesmal nicht zu einer vollständigen Nonkonformität mit dem restlichen Byte-Array.		Aus dem zweiten Speicherabbild-Abgleich (vgl. Abbildung 10) geht hervor, dass an Speicheradresse ''0x029da133'' die nächste Nonkonformität (''\x0e'' anstatt ''\x0d'') vorhanden ist. Dies führt jedoch diesmal nicht zu einer vollständigen Nonkonformität mit dem restlichen Byte-Array.

	Da der manuelle Abgleich zwischen dem Speicherabbild und dem Array einerseits sehr zeitaufwändig und andererseits beispielseise aufgrund von Unachtsamkeit relativ fehleranfällig ist, gibt es im Immunity Debugger mittels ''mona.py'' außerdem die Möglichkeit, das Speicherabbild automatisiert unter der Angabe der Start-Speicheradresse des Byte-Arrays (hier ''0x029da128'') abzugleichen (vgl. Abbildung 11). Dazu nutzt ''mona.py'' den zuvor generierten Byte-Array aus Abbildung 8} [9].		Da der manuelle Abgleich zwischen dem Speicherabbild und dem Array einerseits sehr zeitaufwändig und andererseits beispielseise aufgrund von Unachtsamkeit relativ fehleranfällig ist, gibt es im Immunity Debugger mittels ''mona.py'' außerdem die Möglichkeit, das Speicherabbild automatisiert unter der Angabe der Start-Speicheradresse des Byte-Arrays (hier ''0x029da128'') abzugleichen (vgl. Abbildung 11). Dazu nutzt ''mona.py'' den zuvor generierten Byte-Array aus Abbildung 8 [9].

	[[Datei:Ausgabe des automatisierten Byte-Array-Abgleichs.png\|mini\|Abbildung 11: Ausgabe des automatisierten Byte-Array-Abgleichs (Quelle: Eigener Screenshot)]]		[[Datei:Ausgabe des automatisierten Byte-Array-Abgleichs.png\|mini\|Abbildung 11: Ausgabe des automatisierten Byte-Array-Abgleichs (Quelle: Eigener Screenshot)]]

St201543: /* Generierung eines Payloads in Form einer Reverse-Shell */

2021-07-30T14:54:55Z

Generierung eines Payloads in Form einer Reverse-Shell

← Nächstältere Version		Version vom 30. Juli 2021, 14:54 Uhr
Zeile 305:		Zeile 305:

	{\| class="wikitable"		{\| class="wikitable"
	!colspan="6"\|''/usr/bin/msfvenom'' [9]}		!colspan="2"\|''/usr/bin/msfvenom'' [9]
	\|-		\|-
	\|''-a x86''		\|''-a x86''

St201543: /* Generierung eines Payloads in Form einer Reverse-Shell */

2021-07-30T14:50:30Z

Generierung eines Payloads in Form einer Reverse-Shell

← Nächstältere Version		Version vom 30. Juli 2021, 14:50 Uhr
Zeile 335:		Zeile 335:
	\|}		\|}

	'''Tabelle 1: Beschreibung der ~~verwendetenmsfvenom~~-Optionen'''		'''Tabelle 1: Beschreibung der verwendeten msfvenom-Optionen'''

	Die Ausführung von ''msfvenom'' mit den zuvor aufgeführten Optionen unter Kali Linux ergibt die folgende Ausgabe.		Die Ausführung von ''msfvenom'' mit den zuvor aufgeführten Optionen unter Kali Linux ergibt die folgende Ausgabe.

St201543 am 30. Juli 2021 um 14:49 Uhr

2021-07-30T14:49:30Z

← Nächstältere Version		Version vom 30. Juli 2021, 14:49 Uhr
Zeile 288:		Zeile 288:
	Um nun noch zu verifizieren, dass die Verwendung von ''SLMFC.DLL'' auch zielführend ist, schließlich muss diese einen Sprung in den ESP ermöglichen (siehe Abschnitt 2.3), wird die DLL nun mittels ''mona.py'' nach eben genau so einer Sprunganweisung durchsucht. In Assembler entspricht dies der Sprunganweisung ''JMP ESP'', was wiederum ''\xff\xe4'' als Hexadezimaldarstellung entspricht (vgl. Abbildung 13).		Um nun noch zu verifizieren, dass die Verwendung von ''SLMFC.DLL'' auch zielführend ist, schließlich muss diese einen Sprung in den ESP ermöglichen (siehe Abschnitt 2.3), wird die DLL nun mittels ''mona.py'' nach eben genau so einer Sprunganweisung durchsucht. In Assembler entspricht dies der Sprunganweisung ''JMP ESP'', was wiederum ''\xff\xe4'' als Hexadezimaldarstellung entspricht (vgl. Abbildung 13).

	[[Datei:Ausgabe ~~detektiertenJMP~~ ESP-Anweisungen.png\|mini\|Abbildung 13: Ausgabe detektierter JMP-ESP-Anweisungen (Quelle: Eigener Screenshot)]]		[[Datei:Ausgabe detektierter JMP-ESP-Anweisungen.png\|mini\|Abbildung 13: Ausgabe detektierter JMP-ESP-Anweisungen (Quelle: Eigener Screenshot)]]

	Als Ergebnis werden 19 Speicheradressen innerhalb der ''SLMFC.DLL'' aufgeführt und nachfolgend schlicht die Erste unter ''0x5f4a358f'' genutzt.		Als Ergebnis werden 19 Speicheradressen innerhalb der ''SLMFC.DLL'' aufgeführt und nachfolgend schlicht die Erste unter ''0x5f4a358f'' genutzt.

St201543 am 30. Juli 2021 um 14:48 Uhr

2021-07-30T14:48:22Z

← Nächstältere Version		Version vom 30. Juli 2021, 14:48 Uhr
Zeile 288:		Zeile 288:
	Um nun noch zu verifizieren, dass die Verwendung von ''SLMFC.DLL'' auch zielführend ist, schließlich muss diese einen Sprung in den ESP ermöglichen (siehe Abschnitt 2.3), wird die DLL nun mittels ''mona.py'' nach eben genau so einer Sprunganweisung durchsucht. In Assembler entspricht dies der Sprunganweisung ''JMP ESP'', was wiederum ''\xff\xe4'' als Hexadezimaldarstellung entspricht (vgl. Abbildung 13).		Um nun noch zu verifizieren, dass die Verwendung von ''SLMFC.DLL'' auch zielführend ist, schließlich muss diese einen Sprung in den ESP ermöglichen (siehe Abschnitt 2.3), wird die DLL nun mittels ''mona.py'' nach eben genau so einer Sprunganweisung durchsucht. In Assembler entspricht dies der Sprunganweisung ''JMP ESP'', was wiederum ''\xff\xe4'' als Hexadezimaldarstellung entspricht (vgl. Abbildung 13).

	[[Datei:Ausgabe detektiertenJMP ESP-Anweisungen.png\|mini\|Abbildung 13: Ausgabe ~~detektiertenJMP~~ ESP-Anweisungen (Quelle: Eigener Screenshot)]]		[[Datei:Ausgabe detektiertenJMP ESP-Anweisungen.png\|mini\|Abbildung 13: Ausgabe detektierter JMP-ESP-Anweisungen (Quelle: Eigener Screenshot)]]

	Als Ergebnis werden 19 Speicheradressen innerhalb der ''SLMFC.DLL'' aufgeführt und nachfolgend schlicht die Erste unter ''0x5f4a358f'' genutzt.		Als Ergebnis werden 19 Speicheradressen innerhalb der ''SLMFC.DLL'' aufgeführt und nachfolgend schlicht die Erste unter ''0x5f4a358f'' genutzt.

St201543 am 30. Juli 2021 um 14:46 Uhr

2021-07-30T14:46:03Z

← Nächstältere Version		Version vom 30. Juli 2021, 14:46 Uhr
Zeile 419:		Zeile 419:
	[6] Christoforos Petrou. Buffer overflow: Why does the ESP Register change its value afteran access violation? Webseite. https://security.stackexchange.com/a/182473; abgerufen am 14. Juni 2021, 17:50 Uhr. 2018.		[6] Christoforos Petrou. Buffer overflow: Why does the ESP Register change its value afteran access violation? Webseite. https://security.stackexchange.com/a/182473; abgerufen am 14. Juni 2021, 17:50 Uhr. 2018.

	[7] OWASP Foundation. Fuzzing. Webseite. https://owasp.org/www-community/Fuzzing;abgerufen am 26. April 2021, 11:20 Uhr. 2020.		[7] OWASP Foundation. Fuzzing. Webseite. https://owasp.org/www-community/Fuzzing; abgerufen am 26. April 2021, 11:20 Uhr. 2020.

	[8] John Myers und Marshall Rose. Post Office Protocol - Version 3. Webseite. https://tools.ietf.org/html/rfc1939; abgerufen am 26. April 2021, 11:30 Uhr. 1996.		[8] John Myers und Marshall Rose. Post Office Protocol - Version 3. Webseite. https://tools.ietf.org/html/rfc1939; abgerufen am 26. April 2021, 11:30 Uhr. 1996.

St201543: /* Literaturverzeichnis */

2021-07-29T19:40:45Z

Literaturverzeichnis

← Nächstältere Version		Version vom 29. Juli 2021, 19:40 Uhr
Zeile 415:		Zeile 415:
	[4] Claudia Eckert. „IT-Sicherheit: Konzepte - Verfahren - Protokolle“. In: 10. Auflage. Walterde Gruyter, 2018. Kap. 2.2 - 2.2.2, S. 45–51. ISBN: 978-3-11-055158-7.		[4] Claudia Eckert. „IT-Sicherheit: Konzepte - Verfahren - Protokolle“. In: 10. Auflage. Walterde Gruyter, 2018. Kap. 2.2 - 2.2.2, S. 45–51. ISBN: 978-3-11-055158-7.

	[5] Elias Bachaalany und Sébastien Josse Bruce Dang Alexandre Gazet. „Practical ~~ReverseEngineering~~: x86, x64, ARM, Windows Kernel, Reversing Tools, and Obfuscation“. In: 1.Auflage. John Wiley & Sons, 2014. Kap. 1, S. 1–38. ISBN: 978-1-118-78731-1.		[5] Elias Bachaalany und Sébastien Josse Bruce Dang Alexandre Gazet. „Practical Reverse Engineering: x86, x64, ARM, Windows Kernel, Reversing Tools, and Obfuscation“. In: 1. Auflage. John Wiley & Sons, 2014. Kap. 1, S. 1–38. ISBN: 978-1-118-78731-1.

	[6] Christoforos Petrou. Buffer overflow: Why does the ESP Register change its value afteran access violation?Webseite. https://security.stackexchange.com/a/182473; abgerufen am 14. Juni 2021, 17:50 Uhr. 2018.		[6] Christoforos Petrou. Buffer overflow: Why does the ESP Register change its value afteran access violation? Webseite. https://security.stackexchange.com/a/182473; abgerufen am 14. Juni 2021, 17:50 Uhr. 2018.

	[7] OWASP Foundation. Fuzzing. Webseite. https://owasp.org/www-community/Fuzzing;abgerufen am 26. April 2021, 11:20 Uhr. 2020.		[7] OWASP Foundation. Fuzzing. Webseite. https://owasp.org/www-community/Fuzzing;abgerufen am 26. April 2021, 11:20 Uhr. 2020.

St201543 am 29. Juli 2021 um 19:17 Uhr

2021-07-29T19:17:13Z

Änderungen zeigen

St201543 am 29. Juli 2021 um 18:52 Uhr

2021-07-29T18:52:59Z

Änderungen zeigen

St201543: /* Entwicklung eines Stack-Buffer-Overflow-Exploits */

2021-07-29T18:45:09Z

Entwicklung eines Stack-Buffer-Overflow-Exploits

← Nächstältere Version		Version vom 29. Juli 2021, 18:45 Uhr
Zeile 82:		Zeile 82:
	Für die Analyse/das Debugging der Schwachstelle sowie für die teilautomatisierte Entwicklung eines funktionalen Exploits wird die folgende virtuelle Umgebung benötigt:		Für die Analyse/das Debugging der Schwachstelle sowie für die teilautomatisierte Entwicklung eines funktionalen Exploits wird die folgende virtuelle Umgebung benötigt:

	# Microsoft Windows 7 (x86)~~\footnote{\url{~~https://developer.microsoft.com/de-de/microsoft-edge/tools/vms/}}		# Microsoft Windows 7 (x86) (https://developer.microsoft.com/de-de/microsoft-edge/tools/vms/)
	#* SLMail 5.5~~\footnote{\url{~~https://www.exploit-db.com/apps/12f1ab027e5374587e7e998c00682c5d-SLMail55_4433.exe}}		#* SLMail 5.5 (https://www.exploit-db.com/apps/12f1ab027e5374587e7e998c00682c5d-SLMail55_4433.exe)
	#* Immunity Debugger~~\footnote{\url{~~https://www.immunityinc.com/products/debugger/}} mit ''mona.py''~~\footnote{\url{~~https://github.com/corelan/mona}}		#* Immunity Debugger (https://www.immunityinc.com/products/debugger/) mit ''mona.py'' (https://github.com/corelan/mona)
	# Kali Linux~~\footnote{\url{~~https://www.offensive-security.com/kali-linux-vm-vmware-virtualbox-image-download/}}		# Kali Linux (https://www.offensive-security.com/kali-linux-vm-vmware-virtualbox-image-download/)
	#* Metasploit Framework		#* Metasploit Framework
	#* Python 3		#* Python 3