1. Jaime Peñalba @NighterMan

2. WHO AM I?
OGT OFFENSIVE LABS & -D--I
CISSP EN FRIGORIFICOS
CERTIFIED CALDERATOR
NIVEL 101 EN BF3

3. WHY EXPLOITING?
INTRODUCCION
DESMITIFICARLO (NO ES DIFICIL)
BECAUSE IT'S PHUN
PROTECCIONES ACTUALES
ESTO NO ES UNA GUIA COMPLETA

4. WHAT DO I NEED TO KNOW TO EXPLOIT?
FUNCIONAMIENTO BASICO DE UN PROCESADOR
ORGANIZACION DE LA MEMORIA
FUNCIONAMIENTO DE LA PILA (STACK)
PROTECCIONES

5. HOW CPU WORKS

6. HOW CPU WORKS

7. HOW CPU WORKS

8. HOW CPU WORKS

9. MEMORY LAYOUT
.RODATA
.DATA
.BSS
[STACK]
[STACK]
[HEAP]

10. MEMORY LAYOUT

11. MEMORY LAYOUT

12. FUNCION DEL STACK
CONTROL DEL FLUJO DE EJECUCION
ALMACENAMIENTO DE LOCAL VARS
PASAR ARGS A FUNCIONES
(DEPENDE DE LA ARCH Y EL CALLING
CONVENTION)

13. STACK
%EBP (BASE DEL FRAME)
PUNTERO AL EBP ANTERIOR
%ESP (CIMA DE LA PILA)
PUSH (ESP = ESP-4)
POP (ESP = ESP+4)

14. STACK

15. STACK

16. MOST COMMON FLAWS
FORMAT STRING
OVERFLOW
DYNAMIC ALLOCATION
STACK
HEAP
NULL POINTER
USE AFTER FREE

17. BASIC EXPLOIT

18. BASIC EXPLOIT
OVERWRITES FULL FRAME
OVERWRITES SAVED EBP
OVERWRITES SAVED RET
NEW EIP POINTS TO JMP %ESP
JUMPS TO SHELLCODE

19. BASIC EXPLOIT

20. COUNTERMEASURES VS EXPLOITATION
Stack
Smashing
GOT
Overwrite
RELocation
Read-Only
Stack
Canary
Position
Independent
Code
ASLR
Return Oriented
Programming
(ROP)
Stack
Canary Bypass
Heap
Exploitation
Return To
Library
No eXecute Bit
Position
Indepenent
Executable
(PIE)
Memory
Disclosure

21. ASLR

22. No eXecute Bit

23. Return Oriented Programming

24. ROP
RET
POP EIP
LEAVE
ESP = EBP
POP EBP

25. ROP GADGETS

26. UNALIGNED VS ALIGNED

27. SIMPLE ROP

28. SIMPLE ROP

29. BASIC EXPLOIT

30. STACK PIVOTING
CREAMOS UNA PILA
EN OTRA ZONA DE
MEMORIA DONDE
TENGAMOS MEJOR
CONTROL
SALTAMOS A LA
NUEVA PILA
mov eax 0xfff
xchg esp eax
ret

31. COMPLEX ROP
Creamos una zona de memoria con
permisos de ejecucion mmap()
Copiamos nuestro shellcode a la
nueva zona memcpy()
Saltamos a nuestro shellcode

32. COMPLEX ROP
mmap() no esta importada pero
dlsym() si lo esta
Sacamos la direccion de mmap()
llamando a dlsym
Necesitamos la direccion de nuestro
shellcode y no tenemos gadgets
(stack pivoting)
mmap() y dlsym() utilizan
argumentos con null bytes (stack
pivoting)

33. COMPLEX ROP

34. BASIC EXPLOIT

35. CUIDADO CON LA BEBIDA!!!

36. THE END