Egg Hunter

Définition

L'egg hunter est une technique d'exploitation pour les situations où le buffer disponible pour injecter un shellcode est trop petit pour contenir le shellcode complet, mais où l'attaquant peut injecter un shellcode plus large à un emplacement mémoire avec une adresse imprécise ou variable. L'egg hunter est un mini-shellcode (typiquement 30-60 octets) qui cherche en mémoire le 'shellcode complet' marqué par un 'egg' (séquence de 8 octets unique) et y transfère l'exécution. L'egg (généralement une valeur unique répétée deux fois comme 0xDEADBEEFDEADBEEF) est préfixé au shellcode principal. L'attaquant injecte l'egg + shellcode principal dans la mémoire de la cible (via un autre vecteur : champ de formulaire, paramètre différent, mémoire heap) à une adresse imprécise, puis déclenche l'exploitation avec l'egg hunter dans le petit buffer connu. L'egg hunter parcoure la mémoire du processus pour trouver la séquence egg. La version NtAccessCheckAndAuditAlarm de Skape (la référence standard de 32 octets) utilise des syscalls Windows pour parcourir la mémoire page par page de manière safe (en évitant les pages non mappées qui provoqueraient un access violation) : il appelle NtAccessCheckAndAuditAlarm avec chaque adresse, et si l'accès à cette page est refusé avec NTSTATUS STATUS_ACCESS_VIOLATION, passe à la page suivante ; sinon compare les 8 octets avec l'egg. Sur Linux, l'egg hunter utilise typiquement le syscall access() ou sigaction() pour scanner la mémoire de manière safe. La version Skape est de 39 octets pour Linux, utilisant int 0x80 pour les syscalls. Des outils comme mona.py pour Immunity Debugger et pwndbg automatisent la génération d'egg hunters adaptés à différents contextes. La contrainte principale est la vitesse : l'egg hunter doit parcourir potentiellement plusieurs centaines de MB de mémoire, ce qui peut prendre quelques secondes sur des systèmes avec peu de RAM.