En 1996 un tal Elias Levy (también conocido como Aleph One y el que fuera webmaster de underground.org y moderador de la lista Bugtraq) publicó en el número 49 del mítico ezine Phrack el paper "Smashing the Stack For Fun & Profit" que popularizó la vulnerabilidad de desbordamiento de búfer de pila.

Con el paso del tiempo han ido surgiendo diversas protecciones contra esta vulnerabilidad como ASLR, DEP o NX, pero la técnica para explotarla sigue siendo básicamente la misma: se trata de escribir más datos en un búfer de la pila de los que tiene asignado (longitud fija), corrompiendo los datos adyacentes de tal manera que es posible inyectar código ejecutable en el programa que está corriendo y tomar control del proceso.

Si queréis repasar un poco la teoría os recomiendo echar un vistazo al artículo original "Smashing the Stack For Fun & Profit", o al reditado en Whiskey Tango Foxtrot sintetizado en castellano en el blog de elhacker.net por el-brujo.
En nuestro caso y con permiso de Antonio Pérez, vamos a repetir los ejercicios del taller "Palizón a la pila" de la pasada edición de la Navaja Negra. De esta manera y con unos sencillos pasos veréis desde el bloqueo inicial del programa por el primer desbordamiento hasta la ejecución intencionada del shellcode, una excelente manera de adentrarse en el mundo del exploiting.

El software que explotaremos es la versión 1.4.1 de Minishare, un pequeño servidor web para compartir ficheros de forma sencilla escrito en MinGW (C/C++) y que funciona en Windows. A la vulnerabilidad se le asignó el CVE-2004-2271 y se trata de un desbordamiento de búfer de pila que se provoca mediante una petición HTTP GET larga.

Para instalar el laboratorio necesitaremos:

- Windows XP SP1
- Immunity Debugger con el script Mona script:
  . http://debugger.immunityinc.com/ID_register.py
  . https://github.com/corelan/mona
- Minishare 1.4.1 instalado en el WinXP
  . https://www.dropbox.com/s/zhivgb79wtbce37/minishare-1.4.1.exe?dl=0

Nada más ejecutar la aplicación de Minishare el servidor se levantará en el puerto 80:


Una vez que tenemos el servidor corriendo, abrimos el depurador Inmunity para analizar el estado de la pila y el valor de registros como el EIP (puntero de instrucción) y el ESP (puntero de pila). También podremos analizar qué sucede cuando la aplicación se ejecuta o falla.


Como se muestra anteriormente, hemos adjuntado el proceso de Minishare en el depurador. Tan pronto como se adjunta el proceso, el depurador toma el control de la ejecución del programa y el proceso se detiene. Podemos presionar F9 para reanudar la ejecución del programa.


Ya estamos listos para fuzzear la aplicación. Como hemos comentado antes, Minishare es vulnerable a solicitudes HTTP GET largas lo que significa que podemos desencadenar la vulnerabilidad enviando una solicitud GET como esta:

GET <lista larga de caracteres> HTTP/1.1 <nueva línea><retorno de carro><nueva línea><retorno de carro>
   
Lo que sería algo así:

GET AAAAA… HTTP/1.1\r\n\r\n

Lo primero que haremos será intentar inundar el espacio asignado al proceso para sobrescribir el EIP. Si dibujamos la representación de la pila:


Para ello y mediante un sencillo script en Python mandamos una petición GET que escribirá 500 letras 'A' (representadas en ASCII por \x41) en el buffer de la aplicación. Cada letra representa una estructura de tipo char que ocupa 1 byte. Por tanto se estarán escribiendo 500 bytes en el buffer de la aplicación.

EXPLOIT A

#!/usr/share/python
 
 import socket,sys
 
 s=socket.socket(socket.AF_INET,socket.SOCK_STREAM)
 
 s.connect((sys.argv[1],80))
 
 buff="GET "
 buff+="\x41" * 500
 buff+=" HTTP/1.1\r\n\r\n"
 
 s.send(buff)
 s.close()