用ASM编写一个简单的Windows Shellcode思路总结
shellcode 是什么?
“代码也好数据也好只要是与位置无关的二进制就都是shellcode。”
为了写出位置无关的代码,需要注意以下几点:
- 不能对字符串使用直接偏移,必须将字符串存储在堆栈中
- dll中的函数寻址,由于 ASLR 不会每次都在同一个地址中加载,可以通过 PEB.PEB_LDR_DATA
找到加载模块调用其导出的函数,或加载新 dll。 - 避免空字节
NULL 字节的值为 0x00,在 C/C++ 代码中,NULL 字节被视为字符串的终止符。因此,shellcode 中这些字节的存在可能会干扰目标应用程序的功能,并且我们的 shellcode 可能无法正确复制到内存中。
mov ebx, 0x00xor ebx, ebx
用下面的语句代替上面的语句,结果是一样的。
此外,在某些特定情况下,shellcode 必须避免使用字符,例如 \r 或 \n,甚至只使用字母数字字符。
windows下dll加载的机制
在 Windows 中,应用程序不能直接访问系统调用,使用来自 Windows API ( WinAPI ) 的函数,Windows API函数都存储在 kernel32.dll、advapi32.dll、gdi32.dll 等中。ntdll.dll 和 kernel32.dll 非常重要,以至于每个进程都会导入它们:
这是我编写 nothing_to_do 程序,用 listdlls列出导入的 dll:
dll寻址
TEB(线程环境块)该结构包含用户模式中的线程信息,32位系统中我们可以使用 FS 寄存器在偏移0x30处找到进程环境块(PEB) 的地址。
PEB.ldr 指向PEB_LDR_DATA提供有关加载模块的信息的结构的指针,包含kernel32 和 ntdll 的基地址
typedef struct _PEB_LDR_DATA {BYTE Reserved1[8];PVOID Reserved2[3];LIST_ENTRY InMemoryOrderModuleList;
} PEB_LDR_DATA, *PPEB_LDR_DATA;
PEB_LDR_DATA.InMemoryOrderModuleList 包含进程加载模块的双向链表的头部。列表中的每一项都是指向 LDR_DATA_TABLE_ENTRY 结构的指针
typedef struct _LIST_ENTRY
{PLIST_ENTRY Flink;PLIST_ENTRY Blink;
} LIST_ENTRY, *PLIST_ENTRY;
LDR_DATA_TABLE_ENTRY 加载的 DLL 信息:
typedef struct _LDR_DATA_TABLE_ENTRY {PVOID Reserved1[2];LIST_ENTRY InMemoryOrderLinks;PVOID Reserved2[2];PVOID DllBase;PVOID EntryPoint;PVOID Reserved3;UNICODE_STRING FullDllName;BYTE Reserved4[8];PVOID Reserved5[3];union {ULONG CheckSum;PVOID Reserved6;};ULONG TimeDateStamp;
} LDR_DATA_TABLE_ENTRY, *PLDR_DATA_TABLE_ENTRY;
tips
在 Vista 之前的 Windows 版本中,InInitializationOrderModuleList 中的前两个DLL是 ntdll.dll和kernel32.dll,但对于 Vista 及以后的版本,第二个DLL更改为kernelbase.dll。
InMemoryOrderModuleList 中的第一个 calc.exe(可执行文件),第二个是ntdll.dll,第三个是kernel32.dll,目前这适用于所有 Windows 版本是首选方法。
kernel32.dll寻址流程:
转化为汇编代码:
xor ecx, ecx
mov ebx, fs:[ecx + 0x30] ; 避免 00 空值 ebx = PEB基地址
mov ebx, [ebx+0x0c] ; ebx = PEB.Ldr
mov esi, [ebx+0x14] ; ebx = PEB.Ldr.InMemoryOrderModuleList
lodsd ; eax = Second module
xchg eax, esi ; eax = esi, esi = eax
lodsd ; eax = Third(kernel32)
mov ebx, [eax + 0x10] ; ebx = dll Base address
dll导出表中函数寻址
之前学习pe结构相关资料在这。
ImageOptionalHeader32.DataDirectory[0].VirtualAddress 指向导出表RVA,
导出表的结构如下:
typedef struct _IMAGE_EXPORT_DIRECTORY {DWORD Characteristics; //未使用DWORD TimeDateStamp; //时间戳WORD MajorVersion; //未使用WORD MinorVersion; //未使用DWORD Name; //指向改导出表文件名字符串DWORD Base; //导出表的起始序号DWORD NumberOfFunctions; //导出函数的个数(更准确来说是AddressOfFunctions的元素数,而不是函数个数)DWORD NumberOfNames; //以函数名字导出的函数个数DWORD AddressOfFunctions; //导出函数地址表RVA:存储所有导出函数地址(表元素宽度为4,总大小NumberOfFunctions * 4)DWORD AddressOfNames; //导出函数名称表RVA:存储函数名字符串所在的地址(表元素宽度为4,总大小为NumberOfNames * 4)DWORD AddressOfNameOrdinals; //导出函数序号表RVA:存储函数序号(表元素宽度为2,总大小为NumberOfNames * 2)
} IMAGE_EXPORT_DIRECTORY, *PIMAGE_EXPORT_DIRECTORY;
函数寻址流程:
导出表寻址汇编:
mov edx, [ebx + 0x3c] ; 找到 dos header e_lfanew 偏移量
add edx, ebx ; edx = pe header
mov edx, [edx + 0x78] ; edx = offset export table
add edx, ebx ; edx = export table
mov esi, [edx + 0x20] ; esi = offset names table
add esi, ebx ; esi = names table
查找 Winexec 函数名:
xor ecx, ecx
Get_Function:inc ecx ; ecx++lodsd ; eax = 下一个函数名字符串rvaadd eax, ebx ; eax = 函数名字符串指针cmp dword ptr[eax], 0x456E6957 ; eax[0:4] == EniWjnz Get_Function
dec ecx;
查找 Winexec 函数指针:
mov esi, [edx + 0x24] ; esi = ordianl table rva
add esi, ebx ; esi = ordianl table
mov cx, [esi + ecx * 2] ; ecx = func ordianl
mov esi, [edx + 0x1c] ; esi = address table rva
add esi, ebx ; esi = address table
mov edx, [esi + ecx * 4] ; edx = func address rva
add edx, ebx ; edx = func address
调用 Winexec 函数:
xor eax, eax
push edx
push eax ; 0x00
push 0x6578652e
push 0x636c6163
push 0x5c32336d
push 0x65747379
push 0x535c7377
push 0x6f646e69
push 0x575c3a43
mov esi, esp ; esi = "C:\Windows\System32\calc.exe"
push 10 ; window state SW_SHOWDEFAULT
push esi ; "C:\Windows\System32\calc.exe"
call edx ; WinExec(esi, 10)
最终的shellcode:
int main()
{__asm {; Find where kernel32.dll is loaded into memoryxor ecx, ecxmov ebx, fs:[ecx + 0x30] ; 避免 00 空值 ebx = PEB基地址mov ebx, [ebx+0x0c] ; ebx = PEB.Ldrmov esi, [ebx+0x14] ; ebx = PEB.Ldr.InMemoryOrderModuleListlodsd ; eax = Second modulexchg eax, esi ; eax = esi, esi = eaxlodsd ; eax = Third(kernel32)mov ebx, [eax + 0x10] ; ebx = dll Base address; Find PE export tablemov edx, [ebx + 0x3c] ; 找到 dos header e_lfanew 偏移量add edx, ebx ; edx = pe headermov edx, [edx + 0x78] ; edx = offset export tableadd edx, ebx ; edx = export tablemov esi, [edx + 0x20] ; esi = offset names tableadd esi, ebx ; esi = names table; 查找 WinExec 函数名; EniW 456E6957xor ecx, ecxGet_Function:inc ecx ; ecx++lodsd ; eax = 下一个函数名字符串rvaadd eax, ebx ; eax = 函数名字符串指针cmp dword ptr[eax], 0x456E6957 ; eax[0:4] == EniWjnz Get_Functiondec ecx;; 查找 Winexec 函数指针mov esi, [edx + 0x24] ; esi = ordianl table rvaadd esi, ebx ; esi = ordianl tablemov cx, [esi + ecx * 2] ; ecx = func ordianlmov esi, [edx + 0x1c] ; esi = address table rvaadd esi, ebx ; esi = address tablemov edx, [esi + ecx * 4] ; edx = func address rvaadd edx, ebx ; edx = func address; 调用 Winexec 函数xor eax, eaxpush edxpush eax ; 0x00push 0x6578652epush 0x636c6163push 0x5c32336dpush 0x65747379push 0x535c7377push 0x6f646e69push 0x575c3a43mov esi, esp ; esi = "C:\Windows\System32\calc.exe"push 10 ; window state SW_SHOWDEFAULTpush esi ; "C:\Windows\System32\calc.exe"call edx ; WinExec(esi, 10); exitadd esp, 0x1cpop eaxpop edx}return 0;
}
dump shellcode
vs 生成 shellcode 体积膨胀了好多,用 masm 重新写一下,体积小了很多:shellcode.asm
编译:
F:\> ml -c -coff .\shellcode.asm
F:\> link -subsystem:windows .\shellcode.obj
两种方法:
dumpbin.exe
$ dumpbin.exe /ALL .\shellcode.obj
从 PE .text 区块中读取
从 PointerToRawData 开始,取 VirtualSize 大小的数据
用 golang 写个 loader
loader.go,直接用Makefile编译:$ make
成功!!!
最后
关注私我获取【网络安全学习攻略】
用ASM编写一个简单的Windows Shellcode思路总结相关推荐
- linux系统写一个脚本,编写一个简单的linuxshell脚本
shell脚本和windows平台上的bat批处理是一样的,简化用户处理重复动作的操作,shell脚本由shell命令组成.下面是学习啦小编收集整理的编写一个简单的linuxshell脚本,希望对大家 ...
- 如何编写一个简单的 Python 程序
本教程将教你如何编写一个简单的 Python 程序.我们将从解释 Python 程序是什么开始,然后继续讨论语法的各个方面,即语言的结构. 什么是 Python? Python是一种越来越受欢迎的编程 ...
- linux实验三:基于mykernel 2.0编写一个简单的操作系统内核
实验内容 按照https://github.com/mengning/mykernel的说明配置mykernel 2.0,熟悉Linux内核的编译:基于mykernel 2.0编写一个操作系统内核,参 ...
- 第一章 开始 |编写一个简单的C++程序
学习目标: 编写一个简答的C++程序 学习内容: 1.一个简单的c++程序 2.输入和输出 3.关于注释 4.控制流 5.类简介 6.书店程序 1.1 编写一个简单的c++程序 每个C++程序都包含一 ...
- 用 C 语言编写一个简单的垃圾回收器
人们似乎认为编写垃圾回收机制是很难的,是一种只有少数智者和Hans Boehm(et al)才能理解的高深魔法.我认为编写垃圾回收最难的地方就是内存分配,这和阅读K&R所写的malloc样例难 ...
- 自己编写一个简单的微博爬虫
自己编写一个简单的微博爬虫 很多做社交媒体数据分析的同学需要采集一些新浪微博上的数据,新浪微博虽然有提供api,但免费的api对获取的数据项和获取的频率都有很大的限制,商业版api据说限制较少,但是作 ...
- 编写一个最简单的.php,学习猿地- 说明 如果我们要编写一个简单的PHP脚本,需要学习哪些...
说明 如果我们要编写一个简单的 PHP 脚本,需要学习哪些基础知识呢? PHP 基础 PHP 脚本可放置于文档中的任何位置. 标准 的 PHP 脚本以 <?php 开头,以 ?> 结尾: ...
- java编写存钱_用Java编写一个简单的存款
package desposit.money; public class DespositMoney { public static void main(String[] args) { Custom ...
- python脚本编写_如何用Python包编写一个简单的脚本,表达你对父母的爱?
全文共2800字,预计学习时长6分钟 在繁忙的工作生活中,我们经常忘记给所爱的人发WhatsApp.本教程将使用Python包Twilio编写一个简单的Python脚本来发送WhatsApp消息.我们 ...
最新文章
- vs2015添加vc助手
- 下载安装tomcat6.0
- python中用def实现自动排序_漫画排序算法Python实现
- 奇异值与特征值什么时候相等-matlab代码验证
- 01.神经网络和深度学习 W3.浅层神经网络(作业:带一个隐藏层的神经网络)
- (完美解决)Tomcat启动提示At least one JAR was scanned for TLDs yet contained no TLDs
- ASP.NET的属性绑定、表达式绑定、集合绑定、方法绑定、DropDownList集合绑定、DataList绑定、GridView绑定
- torch.nn 介绍(部分)
- 《剑指offer》第五十二题(两个链表的第一个公共结点)
- linux后台运行和关闭、查看后台任务(转)
- snipaste截长图
- SEO外语网站批量翻译软件
- 2022-02-11 学习记录:通过CSS3的clip-path实现多边形
- 教程:如何把公众号变成淘宝查券返利机器人
- 为什么连接xshell报错Could not connect to 172.16.16.100 (port 22): Connection failed
- 计算机键盘清洗怎么弄,笔记本电脑键盘怎么清洗干净(专业户教你清洗键盘简易方法)...
- Golang库 - viper读取配置文件
- 这里有一份元宇宙春节旅游攻略
- 健康闹钟+颈椎操,保护你的颈椎
- H5客户端获取Url参数的方法
热门文章
- EL:集成学习(Ensemble Learning)的概念讲解、问题应用、算法分类、关键步骤、代码实现等相关配图详细攻略
- linux下gcc、g++不同版本的安装和切换
- 脚本:获取CSDN文章的访问量
- OS_CORE.C(11)
- PostgreSQL 务实应用(三/5)分表复制
- [转载]C#中MessageBox.Show用法以及VB.NET中MsgBox用法
- To Noob Json是什么鬼?
- EXT4.2--Ext Designer 使用
- PADS 创建封装笔记
- 【转载】[OS X笔记]安装MacPorts