2023年11月17日15:30:01评论63 views字数 6908阅读23分1秒阅读模式

CppDevShellcode

前言：

网络上推荐开发shellcode是用Clang、或者python开发，有些博客直接用的汇编在写。

为了简化开发的难度，并且windows上还是主推Visual Studio写cpp。

所以就有了这个使用Visual Studio开发shellcode的项目。

开发基础：cpp、win32编程、pe结构、x64/x32汇编

0x01 开发环境配置

保证随机基址开启（VS默认开启随机基址）
Debug改成Release模式（测试的时候也可以用debug，最后生成的时候改成Release就行）
修改入口函数（不能使用默认的main函数，vs在调用main函数之前做了很多处理导致代码会出现绝对地址）
关闭GS选项
关闭优化
使用静态库

图文

1）修改入口函数(32位)

shellcode开发

2）关闭gs

shellcode开发

3）关闭优化，调成静态库

shellcode开发

64位环境配置

由于微软不给在64位cpp代码中插入汇编指令，并且所有调用约定都是FASTCALL。需要使用联合编译汇编才行

新建一个name.asm文件（文件名不能和项目名一样）
项目属性-》生成依赖项-》生成自定义 ----》吧masm选项勾上
右键asm文件属性-》项目类型选择asm

图文：

1）项目生成依赖项

shellcode开发

2）asm属性

shellcode开发

0x02 拿kernel32模块基址

GetProcAddress函数和LoadLibraryA函数都是在kernel32.dll模块中的。

shellcode开发

那么首先我们需要去获取到kernel32.dll模块的基址，然后通过kernel32的基址拿到GetProcAddress函数和LoadLibraryA函数，这里可以通过自实现的getProAddress来去拿到地址。

kernel32.dll模块的基址可以使用GetModuleHandle来进行获取，但是我们如果使用GetModuleHandle来获取的话就会进入死循环，因为GetModuleHandle也是一个函数，那么GetModuleHandle又在那个模块呢？这样的话就会陷入一个死循环。

在exe启动的时候系统会分配给它一个4GB的虚拟空间，在这个虚拟空间中有一个内存块，专门来存放进程相关的一些信息，比如说进程的一些名字或者参数，以及是否是调试状态等等，这个是通过结构体进行存储的，也就是PEB。

还有一些线程类的一些相关信息，里面存放一些线程相关的信息，这里是通过TEB结构体进行存储的。

PEB: 进程相关的信息TEB: 线程相关的信息

那么既然我们无法直接通过函数进行获取的话，那么我们可以找到一个PEB这个结构体，然后通过这个结构体拿到这个模块的基址。

PEB存储在什么地方？

它存储在FS寄存器中。

000	指向SEH链指针
004	线程堆栈顶部
008	线程堆栈底部
00C	SubSystemTib
010	FiberData
014	ArbitraryUserPointer
018	FS段寄存器在内存中的镜像地址
020	进程PID
024	线程ID
02C	指向线程局部存储指针
030	PEB结构地址（进程结构}
034	上个错误号

那么只需要FS[0x30]就可以拿到PEB结构地址了。

如下代码：

int* x;__asm {    mov eax,fs:[0x30]    mov x,eax}

那么这一块就是我们PEB的结构了。

shellcode开发

PEB结构体如下:

#pragma once#include<Windows.h>typedef struct _UNICODE_STRING {    USHORT Length;    USHORT MaximumLength;    PWSTR  Buffer;} UNICODE_STRING, * PUNICODE_STRING;typedef struct _LDR_DATA_TABLE_ENTRY{
    LIST_ENTRY InLoadOrderLinks;    LIST_ENTRY InMemoryOrderLinks;    LIST_ENTRY InInitializationOrderLinks;    PVOID DllBase;    PVOID EntryPoint;    ULONG SizeOfImage;    UNICODE_STRING FullDllName;    UNICODE_STRING BaseDllName;    ULONG Flags;    USHORT LoadCount;    USHORT TlsIndex;    union    {        LIST_ENTRY HashLinks;        struct        {            PVOID SectionPointer;            ULONG CheckSum;        };    };    ULONG TimeDateStamp;
} LDR_DATA_TABLE_ENTRY, * PLDR_DATA_TABLE_ENTRY;typedef struct _PEB_LDR_DATA{    ULONG                   Length;    BOOLEAN                 Initialized;    PVOID                   SsHandle;    LIST_ENTRY              InLoadOrderModuleList;    LIST_ENTRY              InMemoryOrderModuleList;    LIST_ENTRY              InInitializationOrderModuleList;} PEB_LDR_DATA, * PPEB_LDR_DATA;typedef struct _PEB {    BYTE                          Reserved1[2];    BYTE                          BeingDebugged;    BYTE                          Reserved2[1];    PVOID                         Reserved3[2];    PPEB_LDR_DATA                 Ldr;}PEB, * PPEB;

如下方法是固定拿到模块的基址的，具体原理就是遍历链表。

HMODULE GetPebModule1(wchar_t* p){  PPEB pPeb;  PPEB_LDR_DATA pLdr;  PLDR_DATA_TABLE_ENTRY pLdrData;  //0048E000//0048E000  __asm  {    MOV EAX, FS: [0x18]    MOV EAX, [EAX + 0x30]    MOV pPeb, EAX  }
  pLdr = pPeb->Ldr;  pLdrData = (PLDR_DATA_TABLE_ENTRY)pLdr->InLoadOrderModuleList.Flink;
  for (; (pLdr->InLoadOrderModuleList.Flink) != (pLdrData->InLoadOrderLinks.Flink); )  {    if (wcscmp(pLdrData->BaseDllName.Buffer, p) == 0)    {      return (HMODULE)pLdrData->DllBase;    }    pLdrData = (PLDR_DATA_TABLE_ENTRY)(pLdrData->InLoadOrderLinks.Flink);  }
  return NULL;}

可以看到成功拿到了KERNEL32.DLL的基地址。

shellcode开发

0x03 自己实现GetProcAddress函数

自己实现GetProcAddress函数，去获取kernel32中的 LoadLibraryA 、GetProcAddress等函数地址

获取到函数地址之后转成函数指针调用。

原理：

1. 拿到kernel模块基址就是MZ的地址1. 解析pe文件格式1. 定位导出表1. 找到指定导出表中函数名称1. 再去拿指定函数的地址，并且返回

代码如下:


#include <iostream>#include <Windows.h>DWORD RAVTOVA(DWORD RVA, DWORD hModule){  return RVA + hModule;}FARPROCWINAPIMyGetProcAddress(  _In_ HMODULE hModule,  _In_ LPCSTR lpProcName){    //获取DOS头  PIMAGE_DOS_HEADER pIMAGE_DOS_HEADER = (PIMAGE_DOS_HEADER)hModule;  //获取NT头  PIMAGE_NT_HEADERS pIMAGE_NT_HEADERS = (PIMAGE_NT_HEADERS)(pIMAGE_DOS_HEADER->e_lfanew +    (DWORD)hModule);  //获取导出表  PIMAGE_EXPORT_DIRECTORY pIMAGE_EXPORT_DIRECTORY = (PIMAGE_EXPORT_DIRECTORY)RAVTOVA(    (DWORD)pIMAGE_NT_HEADERS->OptionalHeader.DataDirectory[0].VirtualAddress,    (DWORD)hModule);  //导出函数名称表  DWORD* NameAddress = (DWORD*)RAVTOVA(pIMAGE_EXPORT_DIRECTORY->AddressOfNames, (DWORD)hModule);
  //导出函数名称序号表  WORD* NameOrdinalAddress = (WORD*)RAVTOVA(pIMAGE_EXPORT_DIRECTORY->AddressOfNameOrdinals, (DWORD)hModule);  //导出函数地址表  DWORD* AddressFun = (DWORD*)RAVTOVA(pIMAGE_EXPORT_DIRECTORY->AddressOfFunctions, (DWORD)hModule);  for (size_t i = 0; i < pIMAGE_EXPORT_DIRECTORY->NumberOfNames; i++)  {
    char* FunName = (char*)RAVTOVA(NameAddress[i], (DWORD)hModule);    if (strcmp(FunName, lpProcName) == 0)    {      printf("%dn", NameOrdinalAddress[i] + pIMAGE_EXPORT_DIRECTORY->Base);      printf("%xn", RAVTOVA(AddressFun[NameOrdinalAddress[i]], (DWORD)hModule));      printf("找到了n");    }
    //printf("%sn", FunName);  }
  return NULL;

}int main(){  HMODULE Hmodule = GetModuleHandleA("ntdll.dll");  //MessageBoxA(0, 0, 0, 0);  MyGetProcAddress(Hmodule, "RtlDispatchAPC");    std::cout << "Hello World!n";}

注意：需要解析pe文件所以64位的和32位的MyGetProcAddress不通用。

0x04 保存函数地址

shellcode开发不能有绝对地址也就不能使用全局变量，所以需要一个结构体来保存函数指针。

函数调用的时候专递结构体指针就能拿到函数地址。

这里就新建一个头文件，把结构体和函数声明都放到这个头文件里面去

//windowsapi 函数指针声明typedef int (WINAPI* PFN_MessageBoxA)(HWND, LPCSTR, LPCSTR, UINT);typedef HMODULE(WINAPI* PFN_LoadLibraryA)(LPCSTR);typedef FARPROC(WINAPI* PFN_GetProcAddress)(HMODULE, LPCSTR);
//存函数地址的结构体typedef  struct SellcodeEvn{  PFN_MessageBoxA m_pfnMessageBoxA;  PFN_LoadLibraryA m_pfnLoadLibraryA;  PFN_GetProcAddress m_pfnGetProcAddress;

}SCENV, * PSCENV;
//函数的声明EXTERN_C HMODULE GetModuleKernel();FARPROC MyGetProcAddress(HMODULE hModule, char* lpProcName);

0x05 拿api函数地址

1)MyGetProcAddress函数第一个参数是模块基址，第二个参数是函数名。

2）不能有char*类型的变量（否则会被放到数据区，产生绝对地址）

void InitEnv(PSCENV pEnv){  char sz_MessageBoxA[] = { 'M','e','s','s','a','g','e','B','o','x','A','' };  char sz_LoadLibraryA[] = { 'L','o','a','d','L','i','b','r','a','r','y','A','' };  char sz_GetProcAddress[] = { 'G','e','t','P','r','o','c','A','d','d','r','e','s','s','' };  char sz_user32[] = { 'u','s','e','r','3','2','' };
  //拿kernel32的地址  HMODULE hKernel32 = GetModuleKernel();  pEnv->m_pfnGetProcAddress = (PFN_GetProcAddress)MyGetProcAddress(hKernel32, sz_GetProcAddress);  pEnv->m_pfnLoadLibraryA = (PFN_LoadLibraryA)pEnv->m_pfnGetProcAddress(hKernel32, sz_LoadLibraryA);    HMODULE hUser32 = pEnv->m_pfnLoadLibraryA(sz_user32);  pEnv->m_pfnMessageBoxA = (PFN_MessageBoxA)pEnv->m_pfnGetProcAddress(hUser32, sz_MessageBoxA);}

PS：自己开发一个char* 转char数组的工具，以及api函数转函数指针。或者让GPT给你转也行。

0x06 入口点调用函数完成自己的功能

入口函数之前不能放别的函数。第一个函数只能是入口函数。

//这是shellcode的入口函数void ShellCodeOEP(){  SCENV env; //存放函数地址的结构体  InitEnv(&env); //给结构体赋值函数地址
  //测试代码messageboxa  char sz_hello[] = { 'h','e','l','l','o','' };  env.m_pfnMessageBoxA(NULL, sz_hello, sz_hello, MB_OK);  //代码从这开始写

}

这里只做了一个messageboxa，需要什么功能照着模板写就是了。

也可以先生成DEBUG版本的调试一下，无错误再生成Release版本。

用2进制编辑器打开生成的pe文件，拷贝.text节区的所有内容即可完成shellcode制作。

2进制编辑器 010Editor、winhex都行。

0x07 64位--汇编拿kernel32基址

需要联合编译，拿基址的汇编代码只能单独写到.asm 文件里面。联合编译在头文件里面定义函数声明调用。

shellcode.asm

.codeGetModuleKernel proc  xor r8, r8  xor rax, rax  xor r10, r10  add r10, 60h  mov rax, gs:[r10]     ;通过GS寄存器获取PEB基址  mov rax, [rax + 18h]  ;获取PEB中Ldr数据结构的基址  mov rax, [rax + 10h]  ;获取Ldr数据结构的InmemoryOrderModuleList字段的基址  mov rax, [rax]       ;获取InmemoryOrderModuleList链表第一个节点 用这个取就是ntdll的基址  mov rax, [rax]       ;获取InmemoryOrderModuleList链表第一个节点  用这个就是kernen32的基址  mov rax, [rax + 30h]  ;获取节点中BaseAddress字段，既kernel32.dll的基址  retGetModuleKernel endpend

结语

有几个开发的注意事项。

声明变量不要给初始值。
入口函数在第一个。否则oep会在shellcode中间。
存api函数地址不能使用全局变量，可以定义一个结构体来存放。
MyGetProcAddress 由于要解析pe头，所以32位和64位不通用。
strcmp、memcpy这种函数得自己实现，可以去vc++6.0 里面拷贝。

生成完shellcode之后吧可执行文件丢到x64dbg里面去，f9运行到OEP往下翻一下，看看地址下面有没有横线。

出现横线就代表代码中出现了绝对地址的变量。

右键在内存窗口中转到，结合pdb符号文件找出哪个函数中出现的绝对地址。

特别鸣谢：

wangda:https://github.com/wangda38

此项目参照好兄弟提供的upx壳代码shellcode部分二开。

最终项目地址:

https://github.com/clownfive/CppDevShellcode

原文始发于微信公众号（Relay学安全）：shellcode开发

免责声明:文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与教学之用，读者将其信息做其他用途，由读者承担全部法律及连带责任，本站不承担任何法律及连带责任；如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截，联系方式见首页)，望知悉。

左青龙
微信扫一扫

右白虎
微信扫一扫

shellcode开发

CppDevShellcode

前言：

0x01 开发环境配置

图文

64位环境配置

0x02 拿kernel32模块基址

0x03 自己实现GetProcAddress函数

0x04 保存函数地址

0x05 拿api函数地址

0x06 入口点调用函数完成自己的功能

0x07 64位--汇编拿kernel32基址

结语

特别鸣谢：

MySQL遇到AI：字节跳动开源 MySQL 虚拟索引 VIDEX

Springboot-第一个示例demo1

审计分析 | Smartadmin 系统文件上传漏洞

Go红队开发—CLI框架(二)

某NET代码审计前台RCE漏洞分析

审计分析：验证缺陷导致文件上传漏洞的产生！

PHP与ThinkPHP框架代码审计综合技巧

终端安全软件开发中关于性能方面的一个坑

学生管理系统审计

审计技巧 | TP框架的系统如何快速高效挖掘漏洞

发表评论

在线咨询

微信