https://www.cnblogs.com/theseventhson/p/13194646.html  分享了shellcode 的基本原理,核心思路是动态获取GetProcAddress和LoadLibrary函数地址,再通过这两个函数获取其他windows dll提供的函数地址;需要注意的是shellcode不能有全局变量和字符串,只能用局部变量和字符数组替代,这样才能在函数执行时在栈动态分配存储空间,不会和目标进程现有的空间冲突。

实战中,通过这种方式生成shellcode技术上可行,但比较麻烦,需要改动的地方太多,下面介绍一种shellcode现成的框架,开发人员可直接在特定的地方添加特定的代码即可,简单、灵活、易用;

  1、先介绍一下vs的编译顺序

一个大型的工程,往往有多个cpp文件组成,最后都被编译成一个exe文件,那么exe中那么多函数,这些函数都是怎么排序的了?

(1)文件之间:比如有多个文件,默认是按照文件名排序,比如先按照0-9排序,再按照a-z排序;下面默认先编译A.cpp,再编译B.cpp,最后编译main.c;但是也可以认为调整配置文件中的顺序,让B最先编译,A稍后编译,这样一来生成exe中函数顺序就按照这个来排序;

  (2)文件内部:按照定义/实现的顺序;比如下面的例子:函数实现的顺序分别是main、FuncB、FuncA,那么编译器在生成exe时编译的顺序也是这样的。

  上面说了这么多编译顺序,能用来干啥了?------>   确认shellcode 的范围和提取代码,比如上面用户把shellcode写进A和B函数,那么FuncA-FuncB者之间的代码都是shellcode,再调用CreateFile函数就能很容易保存到磁盘了;

  2、shellcode框架介绍

  (1)先来看看shellcode生成框架:四个文件起名很有讲究,这样一来编译器就会按照这个顺序来编译源文件了,生成的exe中也会按照这个顺序排列函数;

    0.entry文件中,并不执行shellcode,只是通过shellcodeEnd-shellcodeStart 确认shellcode 的范围和起始地址,然后写入磁盘的bin文件;

  (2)a.start: shellcodeStart函数直接jmp到shellcodeEntry;InitFuntions初始化需要用到的几个关键函数;最关键的shellcodeEntry函数:用户可以在这里添加shellcode的自定义逻辑

      这里的shellcodeStart函数,是个裸函数,仅有一行代码,就是jmp到shellcodeEntry,这么简单的功能,为啥不直接把shellcodeEntry的代码复制到这里来,从这里跳转的意义是啥?

  •  shellcodeStart在这里,生成shellcode的时候才能把最核心的getKernel32和getProcAddress函数包进来;
  • 后续加载shellcode的时候会用call,那么需要从shellcode返回,这里是裸函数,没有ret,等后续shellcode所有的函数执行完后,最后一个ret刚好可以返回shellcode加载器,这里设计比较巧妙;
__declspec(naked) void ShellcodeStart()
{
__asm
{
jmp ShellcodeEntry
} }

  (3)b.works:开发人员可以在这里自定义shellcode的执行逻辑(包装在单独的函数里),然后在上面的shellcodeEntry中调用该函数即可;

  (4)最后一个z.end:收尾工作,目前是空白的,啥也没做;由于shellcode的范围是shellcodeEnd-shellcodeStart,所以shellcode在End这行代码已经截至,这个函数内部任何代码都不会被收录到shellcode,这里请注意

  上面是整个框架的简介,最核心的地方是a.start的shellcodeEntry和b.works,开发人员直接在这里添加自定义的处理逻辑就好,其他地方一般都不用更改了,整个框架的复用性非常好;编译的时候也能看到各个文件编译的顺序:

  

用IDA查看如下:函数的编译顺序确实是按照上面讲的顺序编译的:

  3、shellcode代码加载

  利用上述框架生成的shellcode,保存在磁盘bin文件,怎么加载和运行了?这里先介绍一个简单的方法:自己编写一个loader;

  核心原理很简单:调用VirtualAlloc分配一段内存,然后把shellcode拷贝到这段内存,最后call跳转到shellcode执行;

#include<stdio.h>
#include<stdlib.h>
#include<windows.h>
int main(int argc, char* argv[])
{
HANDLE hFile = CreateFileA(argv[], GENERIC_READ, , NULL, OPEN_ALWAYS, , NULL);
if (hFile == INVALID_HANDLE_VALUE)
{
printf("Open File Error!%d\n", GetLastError());
return -;
}
DWORD dwSize;
dwSize = GetFileSize(hFile, NULL); LPVOID lpAddress = VirtualAlloc(NULL, dwSize, MEM_COMMIT, PAGE_EXECUTE_READWRITE);
if (lpAddress == NULL)
{
printf("VirtualAlloc error:%d\n", GetLastError());
CloseHandle(hFile);
return -; }
DWORD dwRead;
ReadFile(hFile, lpAddress, dwSize, &dwRead, );
__asm
{
call lpAddress; }
_flushall();
system("pause");
return ;
}

  用该加载器成功加载shellcode并运行:

  

  4、这里的shellcode是自己loader加载的,运行空间也是loader分配的,容易被查出来;后续会介绍一些其他方法,比如把shellcode注入其他进程执行,增加被查找到的难度;

最后感谢这两个链接的作者(特别是视频介绍,由浅入深,通俗易懂),供初学者参考:

https://www.freebuf.com/articles/system/93983.html (有现成的工程供参考使用)

https://www.bilibili.com/video/BV1y4411k7ch?p=10  (有详细的视频过程演示和说明)

windows:shellcode生成框架和加载的更多相关文章

  1. shellcode生成框架

    因为vs编译后自己会生成很多东西,我们稍微配置下 先获取kernel32基址 __declspec(naked) DWORD getKernel32() { __asm { mov eax, fs:[ ...

  2. ionic 在windows环境下更换logo和加载图片的问题

    做用自己的电脑做ionic项目时,更换logo和加载图片时,无论使用哪种命令,发现都上传不了,并且报错 最后发现,需要将 icon和splash两个文件改为.ai格式才能上传成功. 这是最终生成后的文 ...

  3. 背水一战 Windows 10 (62) - 控件(媒体类): InkCanvas 保存和加载, 手写识别

    [源码下载] 背水一战 Windows 10 (62) - 控件(媒体类): InkCanvas 保存和加载, 手写识别 作者:webabcd 介绍背水一战 Windows 10 之 控件(媒体类) ...

  4. Keras框架下的保存模型和加载模型

    在Keras框架下训练深度学习模型时,一般思路是在训练环境下训练出模型,然后拿训练好的模型(即保存模型相应信息的文件)到生产环境下去部署.在训练过程中我们可能会遇到以下情况: 需要运行很长时间的程序在 ...

  5. 关于C# 窗体自动隐藏和加载的问题

    最近在写一个小项目,开发一个小程序配合其他软件使用,其中一款软件在使用工作时需要截图生成报告,此时不能有其他应用程式界面在显示器桌面显示,故需要自动隐藏和加载窗体,通过阅读Windows API实现了 ...

  6. 前端性能和加载体验优化实践(附:PWA、离线包、内存优化、预渲染)

    一.背景:页面为何会卡? 1.1 等待时间长(性能) 项目本身包/第三方脚本比较大. JavaScript 执行阻塞页面加载. 图片体积大且多. 特别是对于首屏资源加载中的白屏时间,用户等待的时间就越 ...

  7. linux 编译,链接和加载

    1.   序 最近在折腾各种.so,碰到了一些问题,一开始对于很多错误也没有头绪,茫然不知所措.索性化了一天多时间将<<程序员的自我修养—链接.装载与库>>中部分内容略读了一遍 ...

  8. EF如何操作内存中的数据和加载外键数据:延迟加载、贪婪加载、显示加载

    EF如何操作内存中的数据和加载外键数据:延迟加载.贪婪加载.显示加载 之前的EF Code First系列讲了那么多如何配置实体和数据库表的关系,显然配置只是辅助,使用EF操作数据库才是每天开发中都需 ...

  9. CLR查找和加载程序集的方式

    C#开发者在开发WinForm程序.Asp.Net Web(MVC)程序等,不可避免的在项目中引用许多第三方的DLL程序集, 编译后引用的dll都放在根目录下.以我个人作品 AutoProject S ...

随机推荐

  1. 状压DP之中国象棋

    题目 传送们 这次小可可想解决的难题和中国象棋有关,在一个N行M列的棋盘上,让你放若干个炮(可以是0个),使得没有一个炮可以攻击到另一个炮,请问有多少种放置方法.大家肯定很清楚,在中国象棋中炮的行走方 ...

  2. MySQL入门(alter语法 与 外键)

    MySQL入门(三) 字段的修改.添加.与删除 修改表字段使用alter table语句,谨记! create table tf1( id int primary key auto_increment ...

  3. MySQL分库分表的原则

    一.分表 当一个表的数据达到几千万条的时候,每一次查询都会花费更长的时间,如果这时候在使用链表查询,那么我想应该会实在那里,那么我们应该如何解决这个问题呢? 1.为什么要分表: 分表的目的就是为了解决 ...

  4. Scala 基础(十三):Scala 模式匹配(一)

    1 match 应用案例 Scala的模式匹配 案例代码完整: package com.atguigu.base object MatchDemo { def main(args: Array[Str ...

  5. 数据可视化之powerBI入门(九)PowerBI数据建模:其实一点都不高深

    https://zhuanlan.zhihu.com/p/64149834 数据建模并没有那么高深,你同样可以学会!这篇文章通过一个实例创建一个简单的数据建模,并引出两个重要的概念:度量值和DAX. ...

  6. Django之 url组件

    本节内容 路由系统 models模型 admin views视图 template模板 路由系统 我们已知,用户从浏览器发出的请求会首先打到django url的路由分发系统这里,然后再到views视 ...

  7. golang | Go语言入门教程——结构体初始化与继承

    本文始发于个人公众号:TechFlow,原创不易,求个关注 今天是golang专题第10篇文章,我们继续来看golang当中的面向对象部分. 在上一篇文章当中我们一起学习了怎么创建一个结构体,以及怎么 ...

  8. Reface.AppStarter 类型扫描 —— 获得系统中所有的实体类型

    类型扫描 是 Reface.AppStarter 提供的最基本.最核心的功能. AutoConfig , ComponentScan 等功能都是基于该功能完成的. 每一个使用 Reface.AppSt ...

  9. 一文快速掌握华为云IPv6基础知识及使用指南

    随着5G.物联网等新兴技术领域的发展,IP空间需求巨大,IPv6成为万物互联的基础,势在必行:华为云作为IPv6成熟商用开拓者,针对金融.广电.媒资等不同行业推出IPv6解决方案,助力企业平滑升级到I ...

  10. vue学习(二) 三个指令v-cloak v-text v-html

    //style <style> [v-cloak]{ display:none } </style> //html <div id="app"> ...