ShellCode开发#

1.基本没人教的花活，网上会有文章，但是不会解释原理。这玩意其实难度不高，就是要注意的东西多。

2.shellcode开发其实有很多办法，纯汇编，C和汇编又或者纯C++。（像我这种纯FW只能纯C++了）

开发PIC shellcode注意事项#

1.不能使用全局变量，或者用static修饰的变量·使用API时必须动态调用(GetProAddress)·确保调自定义shellcode入口点

2.·用API之前已经加载了与之对应的DLL

3.·所有字符串都必须要用字符串数组的方式替代

·属性——优化——O1/Ob2/Oi/Os/Oy/GL·

属性——代码生成———MT/GS-/GY·

属性——链接器——/INCREMENTAL·

属性——链接器——调试——否

·属性——链接器——高级——入口点（自定义)

所有字符串都要用类似的格式去定义 unsigned char szUser32[] = { ‘u’,‘s’,‘e’,‘r’,‘3’,‘2’,’.’,‘d’,‘l’,‘l’,0 };防止破坏堆栈平衡

先看代码吧，代码是删减版只有模板

一个头文件comm.h

1
#include &lt;windows.h&gt;
2
//这个其实没什么好说的这个头文件主要是在这边定义函数指针
3
typedef FARPROC(WINAPI* FN_GetProcAddress)(
4
    _In_ HMODULE hModule,
5
    _In_ LPCSTR lpProcName
6
    );
7

8
typedef HMODULE(WINAPI* FN_LoadLibraryA)(
9
    _In_ LPCSTR lpLibFileName
10
    );
11

12
typedef int(WINAPI* FN_MessageBoxA)(
13
    _In_opt_ HWND hWnd,
14
    _In_opt_ LPCSTR lpText,
15
    _In_opt_ LPCSTR lpCaption,
16
    _In_ UINT uType);
17

18

19
typedef UINT(WINAPI* FN_WinExec)(
20
    LPCSTR lpCmdLine,
21
    UINT   uCmdShow
22
    );
23

24
typedef HANDLE(WINAPI * FN_CreateFileMappingW)(
25
        _In_     HANDLE hFile,
26
        _In_opt_ LPSECURITY_ATTRIBUTES lpFileMappingAttributes,
27
        _In_     DWORD flProtect,
28
        _In_     DWORD dwMaximumSizeHigh,
29
        _In_     DWORD dwMaximumSizeLow,
30
        _In_opt_ LPCWSTR lpName
31
        );
32

33

34
typedef struct tagApiInterface {
35
    FN_GetProcAddress pfnGetProcAddress;
36
    FN_LoadLibraryA pfnLoadLibrary;
37
    FN_MessageBoxA pfnMessageBoxA;
38
    FN_WinExec pfnWinExec;
39
    FN_CreateFileMappingW pfnCreateFileMappingW;
40
}APIINTERFACE, * PAPIINTERFACE;

然后是function.h，一般存放一些自实现的函数，我把我的删掉了

1
#pragma once
2
#include "comm.h"
3
#include &lt;windows.h&gt;
4
#include &lt;iostream&gt;
5
#include &lt;vector&gt;
6
#include &lt;cstdint&gt;
7
using namespace std;

最后是最重要的，注意看注释。

大概的思路：通过PEB（不知道是啥玩意的自己去补基础）去获取Kernel32.dll的地址，从Kernel32.dll中获取导出函数GetProcAddress，再通过GetProcAddress函数获取LoadLibraryA函数。就可以实现从任意DLL中获取任意导出函数进行编程。

1
#include "comm.h"
2
#include &lt;winternl.h&gt;
3
#include "function.h"
4

5

6
// 获取Kernel32.dll模块的基地址
7
ULONGLONG GetModuleKernel64()
8
{
9
    ULONGLONG dwKernel32Addr = 0;
10

11
    // 获取TEB的地址
12
    _TEB* pTeb = NtCurrentTeb();
13
    // 获取PEB的地址
14
    PULONGLONG pPeb = (PULONGLONG) * (PULONGLONG)((ULONGLONG)pTeb + 0x60);
15
    // 获取PEB_LDR_DATA结构的地址
16
    PULONGLONG pLdr = (PULONGLONG) * (PULONGLONG)((ULONGLONG)pPeb + 0x18);
17
    // 模块初始化链表的头指针InInitializationOrderModuleList
18
    PULONGLONG pInLoadOrderModuleList = (PULONGLONG)((ULONGLONG)pLdr + 0x10);
19

20
    // 获取链表中第一个模块信息，exe模块
21
    PULONGLONG pModuleExe = (PULONGLONG)*pInLoadOrderModuleList;
22
    //printf("EXE Base = &gt; %X \n", pModuleExe[6]);
23

24
    // 获取链表中第二个模块信息，ntdll模块
25
    PULONGLONG pModuleNtdll = (PULONGLONG)*pModuleExe;
26
    //printf("Ntdll Base = &gt; %X \n", pModuleNtdll[6]);
27

28
    // 获取链表中第三个模块信息，Kernel32模块
29
    PULONGLONG pModuleKernel32 = (PULONGLONG)*pModuleNtdll;
30
    //printf("Kernel32 Base = &gt; %X \n", pModuleKernel32[6]);
31

32
    // 获取kernel32基址
33
    dwKernel32Addr = pModuleKernel32[6];
34

35
    return dwKernel32Addr;
36
}
37

38
// 通过解析PE格式的导出表,从给定的模块基地址中获取指定函数的地址
39
FARPROC getProcAddress(HMODULE hModuleBase)
40
{
41
    // 获取DOS头
42
    PIMAGE_DOS_HEADER lpDosHeader = (PIMAGE_DOS_HEADER)hModuleBase;
43
    // 获取NT头
44
    PIMAGE_NT_HEADERS64 lpNtHeader = (PIMAGE_NT_HEADERS64)((ULONG64)hModuleBase + lpDosHeader-&gt;e_lfanew);
45
    // 检查导出目录的大小是否为0
46
    if (!lpNtHeader-&gt;OptionalHeader.DataDirectory[IMAGE_DIRECTORY_ENTRY_EXPORT].Size) {
47
        return NULL;
48
    }
49
    // 检查导出目录的虚拟地址是否为0
50
    if (!lpNtHeader-&gt;OptionalHeader.DataDirectory[IMAGE_DIRECTORY_ENTRY_EXPORT].VirtualAddress) {
51
        return NULL;
52
    }
53
    // 获取导出目录的地址
54
    PIMAGE_EXPORT_DIRECTORY lpExports = (PIMAGE_EXPORT_DIRECTORY)((ULONG64)hModuleBase + (ULONG64)lpNtHeader-&gt;OptionalHeader.DataDirectory[IMAGE_DIRECTORY_ENTRY_EXPORT].VirtualAddress);
55
    // 获取导出函数名称的地址
56
    PDWORD lpdwFunName = (PDWORD)((ULONG64)hModuleBase + (ULONG64)lpExports-&gt;AddressOfNames);
57
    // 获取导出函数名称序号的地址
58
    PWORD lpword = (PWORD)((ULONG64)hModuleBase + (ULONG64)lpExports-&gt;AddressOfNameOrdinals);
59
    // 获取导出函数地址的地址
60
    PDWORD  lpdwFunAddr = (PDWORD)((ULONG64)hModuleBase + (ULONG64)lpExports-&gt;AddressOfFunctions);
61

62
    // 循环计数器
63
    DWORD dwLoop = 0;
64
    // 存储找到的函数地址
65
    FARPROC pRet = NULL;
66
    for (; dwLoop &lt;= lpExports-&gt;NumberOfNames - 1; dwLoop++) {
67
        // 获取当前函数名称的地址
68
        char* pFunName = (char*)(lpdwFunName[dwLoop] + (ULONG64)hModuleBase);
69
        // 检查函数名称是否为"GetProcAddress"
70
        if (pFunName[0] == 'G' &amp;&amp;
71
            pFunName[1] == 'e' &amp;&amp;
72
            pFunName[2] == 't' &amp;&amp;
73
            pFunName[3] == 'P' &amp;&amp;
74
            pFunName[4] == 'r' &amp;&amp;
75
            pFunName[5] == 'o' &amp;&amp;
76
            pFunName[6] == 'c' &amp;&amp;
77
            pFunName[7] == 'A' &amp;&amp;
78
            pFunName[8] == 'd' &amp;&amp;
79
            pFunName[9] == 'd' &amp;&amp;
80
            pFunName[10] == 'r' &amp;&amp;
81
            pFunName[11] == 'e' &amp;&amp;
82
            pFunName[12] == 's' &amp;&amp;
83
            pFunName[13] == 's')
84
        {
85
            // 找到函数名称，获取其地址
86
            pRet = (FARPROC)(lpdwFunAddr[lpword[dwLoop]] + (ULONG64)hModuleBase);
87
            break;
88
        }
89
    }
90
    // 返回找到的函数地址
91
    return pRet;
92
}
93

94

95
void EntryMain()
96
{
97
    APIINTERFACE Api;
98

99
    HMODULE hKernel32 = (HMODULE)GetModuleKernel64();
100

101
    Api.pfnGetProcAddress = (FN_GetProcAddress)getProcAddress(hKernel32);
102

103
    char szLoadLibraryA[] = { 'L','o','a','d','L','i','b','r','a','r','y','A',0 };
104
    Api.pfnLoadLibrary = (FN_LoadLibraryA)Api.pfnGetProcAddress(hKernel32, szLoadLibraryA);

GinTvT

音乐

音乐

ShellCode开发#

开发PIC shellcode注意事项#

评论区

音乐

文章目录