0 前言及编写shellcode准备工作
在Windows Shellcode开发介绍的最后一部分，我们将编写一个简单的改变鼠标左右键的shellcode。我们需要用到两个函数：SwapMouseButton和ExitProcess函数。首先看一个两个函数的参数与返回值情况：
SwapMouseButton只有一个BOOL类型参数，若参为TRUE则交换鼠标左右键，返回值非0；
ExitProcess也只有一个参数，代表进程退出代码。
整理一下思路：
我们需要调用以上两个函数，在C++中体现就是：
编译器知道与user32库链接并找到SwapMouseButton函数。但我们需要在shellcode中手动执行此操作：我们需要手动加载user32库，找到SwapMouseButton函数的地址并调用。
#include<Windows.h>
typedef BOOL(WINAPI* fswapMouseButton)(BOOL);
int main()
{
//声明函数指针
fswapMouseButton FunctionPointer;
//加载user32.dll库
HMODULE user = LoadLibrary((LPCWSTR)"user32.dll");
//获取SwapMouseButton函数地址
FunctionPointer = (fswapMouseButton)GetProcAddress(user, "SwapMouseButton");
//调用函数
FunctionPointer(true);
return 0;
}编译器知道LoadLibrary和GetProcAddress函数的地址。在shellcode中，我们必须以编程方式来计算。需要注意的是，我们在C++中不需要调用ExitProcess函数，因为main函数的return 0就是退出进程的作；但是我们在shellcode中需要调用ExitProcess函数来避免程序崩溃。
1 编写shellcode
通过前面的思路整理，可以总结出编写目标shellcode的步骤：
1. 查找kernel32.dll加载到内存的位置并找到其导出的GetProcessAddress函数
2. 使用GetProcessAddress函数查找LoadLibrary函数地址
3. 使用LoadLibrary加载user32.dll库
4. 在user32.dll中找到SwapMouseButton函数地址
5. 调用SwapMouseButton函数
6. 找到ExitProcess函数地址并调用
为了编写shellcode，在VS2019中使用_asm{ }命令直接编写汇编代码：
1. 1 查找kernel32.dll基地址
xor ecx, ecx
mov eax, fs: [ecx + 0x30] ; EAX = PEB
mov eax, [eax + 0xc] ; EAX = PEB->Ldr
mov esi, [eax + 0x14] ; ESI = PEB->Ldr.InMemOrder
lodsd ; EAX = Second module
xchg eax, esi ; EAX = ESI, ESI = EAX
lodsd ; EAX = Third(kernel32)
mov ebx, [eax + 0x10] ; EBX = Base address行1--2：将ecx清零避免出现NULL字节（mov ecx，0）
行3--4：现在eax存放PEB指针，正如上一部分讨论的，在0xC偏移处找到Ldr，在Ldr中0x14的偏移处，找到InMemoryOrderModuleList。
行5--7：现在位于InMemoryOrderModuleList上的主模块（项目编译运行生成的exe文件：若在VS2019中建立的项目名为shellcode_test，主模块就是shellcode_test.exe）。此处第一个元素是Flink，指向下一个模块的指针。可以看到我们把这个指针放在了esi寄存器中，lodsd指令将跟随esi寄存器指定的指针，我们将在eax寄存器中获得结果。这意味着在lodsd指令之后，我们将在eax寄存器中获取到第二个模块ntdll.dll。我们通过交换eax和esi的值将该指针放置在esi中，并再次使用lodsd指令到达第三个模块：kernel32.dll。详细分析见Windows Shellcode开发[2]
行8：此时，此时，我们在eax寄存器中获得指向 kernel32.dll 的InMemoryOrderList的指针。增加0x10字节将获得DllBase指针，即加载 kernel32.dll的内存地址。
1.2 获取kernel32.dll导出表
我们已经在内存中找到了kernel32.dll，现在我们需要分析这个PE文件并找到导出表：
mov edx, [ebx + 0x3c] ; EDX = DOS->e_lfanew
add edx, ebx ; EDX = PE Header
mov edx, [edx + 0x78] ; EDX = Offset export table
add edx, ebx ; EDX = Export table
mov esi, [edx + 0x20] ; ESI = Offset names table
add esi, ebx ; ESI = Names table
xor ecx, ecx ; EXC = 0行1--2：经过上一部分对PE文件格式的分析，我们在偏移0x3c处得到e_lfanew指针（e_lfanew指向PE头）。注意：虚拟地址 = 相对虚拟地址 + 基址
行3--4：在PE头的偏移0x78 处，我们可以找到导出的DataDirectory。同样，我们将这个值添加到edx寄存器，我们现在位于kernel32.dll的导出表中。
行5--7：在IMAGE_EXPORT_DIRECTORY结构中，在偏移量0x20处，我们可以找到指向AddressOfNames的指针，如此我们可以获得导出的函数名称。同时将指针保存在esi寄存器中并将ecx寄存器设置为0。
1.3 查找GetProcessAddress函数名
目前我们位于AddressOfNames字段，每4个字节代表一个指向函数名的指针。我们如下找到函数名和函数名序号：
Get_Function:
inc ecx ; Increment the ordinal
lodsd ; Get name offset
add eax, ebx ; Get function name
cmp dword ptr[eax], 0x50746547 ; GetP
jnz Get_Function
cmp dword ptr[eax + 0x4], 0x41636f72 ; rocA
jnz Get_Function
cmp dword ptr[eax + 0x8], 0x65726464 ; ddre
jnz Get_Function行1--3：第一行“Get_Function:”是一个标签，一个位置名称；我们将跳转到该位置以读取函数名。第3行递增ecx，作为函数的计数器和函数序号。
行4-5：我们在esi寄存器中有指向第一个函数名的指针。lodsd指令会将函数名的偏移量放在eax中，然后我们将其与ebx（kernel32基地址）相加。注意：lodsd指令还将esi寄存器的值增加 4，这样一来我们不必手动增加它，我们只需要再次调用lodsd以获得下一个函数名称指针。
行6--11：我们现在在eax寄存器中有一个指向导出函数名称的正确指针，接下来需要检查这个函数名是否是“GetProcAddress”。
1.4 查找GetProcessAddress函数地址
至此我们已找到GetProcessAdress函数序号，下面据此找到函数地址：
mov esi, [edx + 0x24] ; ESI = Offset ordinals
add esi, ebx ; ESI = Ordinals table
mov cx, [esi + ecx * 2] ; CX = Number of function
dec ecx
mov esi, [edx + 0x1c] ; ESI = Offset address table
add esi, ebx ; ESI = Address table
mov edx, [esi + ecx * 4] ; EDX = Pointer(offset)
add edx, ebx ; EDX = GetProcAddress行1--2：此时，我们在edx中有一个指向IMAGE_EXPORT_DIRECTORY结构的指针。在结构的偏移量 0x24 处，我们可以找到AddressOfNameOrdinals。在第2行，我们将此偏移量添加到ebx寄存器，它是kernel32.dll的映像库，因此我们得到了一个指向名称序数表的有效指针。
行3--4：esi寄存器包含指向名称序数数组的指针。我们在ecx寄存器中有GetProcAddress函数的名称序号，如此我们得到函数地址序号。函数名称序数从0开始所以我们需要减少相应的值。
行5--6：在偏移量 0x1c 处，我们可以找到AddressOfFunctions，即指向函数指针数组的指针。
行7--8：现在我们在ecx中获得了AddressOfFunctions数组的正确索引，我们只需在AddressOfFunctions[ecx]位置找到GetProcAddress函数指针。ecx * 4表示每个指针有 4 个字节，esi 指向数组的开头。在第8行计算虚拟地址，因此我们将在 edx中拥有指向GetProcAddress函数的指针。
1.5 找到LoadLibrary函数地址
xor ecx, ecx ; ECX = 0
push ebx ; Kernel32 base address
push edx ; GetProcAddress
push ecx ; 0
push 0x41797261 ; aryA
push 0x7262694c ; Libr
push 0x64616f4c ; Load
push esp ; "LoadLibrary"
push ebx ; Kernel32 base address
call edx ; GetProcAddress(LoadLibarry)行1--3：首先将ecx置零，然后将kernel32基地址和GetprocessAdress函数指针压栈。
行4--10：将“LoadLibraryA\0”字符串压栈然后调用GetProcessAdress函数以得到LoadLibrary函数地址。
1.6 加载user32.dll
add esp, 0xc ; pop "LoadLibraryA"
pop ecx ; ECX = 0
push eax ; EAX = LoadLibraryA
push ecx
mov cx, 0x6c6c ; ll
push ecx
push 0x642e3233 ; 32.d
push 0x72657375 ; user
push esp ; "user32.dll"
call eax ; LoadLibrary("user32.dll")行1--3：通过add esp将堆栈上的“LoadLibraryA”字符串清除，同时也将前面压入的0弹栈。在1.5中执行完call edx后，会将LoadLibrary函数地址存在在eax中，所以在此将函数地址压栈。
行4--10：将user32.dll字符串压栈，调用LoadLibrary函数加载user32.dll。
1.7 获取SwapMouseButton函数地址
add esp, 0x10 ; Clean stack
mov edx, [esp + 0x4] ; EDX = GetProcAddress
xor ecx, ecx; ECX = 0
push ecx
mov ecx, 0x616E6F74 ; tona
push ecx
sub dword ptr[esp + 0x3], 0x61 ; Remove "a"
push 0x74754265 ; eBut
push 0x73756F4D ; Mous
push 0x70617753 ; Swap
push esp ; "SwapMouseButton"
push eax ; user32.dll address
call edx ; GetProc(SwapMouseButton)行1--2：和上一步一样首先清理堆栈。第2行将GetProcessAdress函数地址放入edx。
行3--12：将SwapMouseButton字符串压入栈桢并调用GetProcessAdress函数以得到SwapMouseButton函数地址。
1.8 调用SwapMouseButton函数
add esp, 0x14 ; Cleanup stack
xor ecx, ecx ; ECX = 0
inc ecx ; true
push ecx ; 1
call eax ; Swap!类似前面的操作：清理堆栈、压入参数、调用函数。
1.9 获取ExitProcess函数地址并调用
add esp, 0x4 ; Clean stack
pop edx ; GetProcAddress
pop ebx ; kernel32.dll base address
mov ecx, 0x61737365 ; essa
push ecx
sub dword ptr[esp + 0x3], 0x61; Remove "a"
push 0x636f7250 ; Proc
push 0x74697845 ; Exit
push esp
push ebx ; kernel32.dll base address
call edx ; GetProc(Exec)
xor ecx, ecx ; ECX = 0
push ecx ; Return code = 0
call eax ; ExitProcess行1--3：再次记性清理堆栈操作。
行4--11：将ExitProcess字符串压栈调用GetProcessAdress函数得到ExitProcess函数地址
行12--14：压参后调用ExitProcess函数。
最终的shellcode如下：
xor ecx, ecx
mov eax, fs: [ecx + 0x30] ; EAX = PEB
mov eax, [eax + 0xc] ; EAX = PEB->Ldr
mov esi, [eax + 0x14] ; ESI = PEB->Ldr.InMemOrder
lodsd ; EAX = Second module
xchg eax, esi ; EAX = ESI, ESI = EAX
lodsd ; EAX = Third(kernel32)
mov ebx, [eax + 0x10] ; EBX = Base address
mov edx, [ebx + 0x3c] ; EDX = DOS->e_lfanew
add edx, ebx ; EDX = PE Header
mov edx, [edx + 0x78] ; EDX = Offset export table
add edx, ebx ; EDX = Export table
mov esi, [edx + 0x20] ; ESI = Offset namestable
add esi, ebx ; ESI = Names table
xor ecx, ecx ; EXC = 0
Get_Function:
inc ecx ; Increment the ordinal
lodsd ; Get name offset
add eax, ebx ; Get function name
cmp dword ptr[eax], 0x50746547 ; GetP
jnz Get_Function
cmp dword ptr[eax + 0x4], 0x41636f72 ; rocA
jnz Get_Function
cmp dword ptr[eax + 0x8], 0x65726464 ; ddre
jnz Get_Function
mov esi, [edx + 0x24] ; ESI = Offset ordinals
add esi, ebx ; ESI = Ordinals table
mov cx, [esi + ecx * 2] ; Number of function
dec ecx
mov esi, [edx + 0x1c] ; Offset address table
add esi, ebx ; ESI = Address table
mov edx, [esi + ecx * 4] ; EDX = Pointer(offset)
add edx, ebx ; EDX = GetProcAddress
xor ecx, ecx ; ECX = 0
push ebx ; Kernel32 base address
push edx ; GetProcAddress
push ecx; 0
push 0x41797261 ; aryA
push 0x7262694c ; Libr
push 0x64616f4c ; Load
push esp ; "LoadLibrary"
push ebx ; Kernel32 base address
call edx ; GetProcAddress(LL)
add esp, 0xc ; pop "LoadLibrary"
pop ecx ; ECX = 0
push eax ; EAX = LoadLibrary
push ecx
mov cx, 0x6c6c ; ll
push ecx
push 0x642e3233 ; 32.d
push 0x72657375 ; user
push esp ; "user32.dll"
call eax ; LoadLibrary("user32.dll")
add esp, 0x10 ; Clean stack
mov edx, [esp + 0x4] ; EDX = GetProcAddress
xor ecx, ecx ; ECX = 0
push ecx
mov ecx, 0x616E6F74 ; tona
push ecx
sub dword ptr[esp + 0x3], 0x61 ; Remove "a"
push 0x74754265 ; eBut
push 0x73756F4D ; Mous
push 0x70617753 ; Swap
push esp ; "SwapMouseButton"
push eax ; user32.dll address
call edx ; GetProc(SwapMouseButton)
add esp, 0x14 ; Cleanup stack
xor ecx, ecx ; ECX = 0
inc ecx ; true
push ecx ; 1
call eax ; Swap!
add esp, 0x4 ; Clean stack
pop edx ; GetProcAddress
pop ebx ; kernel32.dll base address
mov ecx, 0x61737365 ; essa
push ecx
sub dword ptr[esp + 0x3], 0x61 ; Remove "a"
push 0x636f7250 ; Proc
push 0x74697845 ; Exit
push esp
push ebx ; kernel32.dll base address
call edx ; GetProc(Exec)
xor ecx, ecx ; ECX = 0
push ecx ; Return code = 0
call eax ; ExitProcess2 测试shellcode
使用以下代码测试shellcoed：
#include "stdafx.h"
#include <Windows.h>
int main()
{
char *shellcode =
"\x33\xC9\x64\x8B\x41\x30\x8B\x40\x0C\x8B\x70\x14\xAD\x96\xAD\x8B\x58\x10\x8B\x53\x3C\x03\xD3\x8B\x52\x78\x03\xD3\x8B\x72\x20\x03"
"\xF3\x33\xC9\x41\xAD\x03\xC3\x81\x38\x47\x65\x74\x50\x75\xF4\x81\x78\x04\x72\x6F\x63\x41\x75\xEB\x81\x78\x08\x64\x64\x72\x65\x75"
"\xE2\x8B\x72\x24\x03\xF3\x66\x8B\x0C\x4E\x49\x8B\x72\x1C\x03\xF3\x8B\x14\x8E\x03\xD3\x33\xC9\x53\x52\x51\x68\x61\x72\x79\x41\x68"
"\x4C\x69\x62\x72\x68\x4C\x6F\x61\x64\x54\x53\xFF\xD2\x83\xC4\x0C\x59\x50\x51\x66\xB9\x6C\x6C\x51\x68\x33\x32\x2E\x64\x68\x75\x73"
"\x65\x72\x54\xFF\xD0\x83\xC4\x10\x8B\x54\x24\x04\x33\xC9\x51\xB9\x74\x6F\x6E\x61\x51\x83\x6C\x24\x03\x61\x68\x65\x42\x75\x74\x68"
"\x4D\x6F\x75\x73\x68\x53\x77\x61\x70\x54\x50\xFF\xD2\x83\xC4\x14\x33\xC9"
"\x41" // inc ecx - Remove this to restore the functionality
"\x51\xFF\xD0\x83\xC4\x04\x5A\x5B\xB9\x65\x73\x73\x61"
"\x51\x83\x6C\x24\x03\x61\x68\x50\x72\x6F\x63\x68\x45\x78\x69\x74\x54\x53\xFF\xD2\x33\xC9\x51\xFF\xD0";
// Set memory as executable
DWORD old = 0;
BOOL ret = VirtualProtect(shellcode, strlen(shellcode), PAGE_EXECUTE_READWRITE, &old);
// Call the shellcode
__asm
{
jmp shellcode;
}
return 0;
}
扫一扫
228
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
