windows：shellcode 原理 -云博客

windows：shellcode 原理

# windos 2024-05-05 09:20 0 36 来源：云博客

　　shellcode，一段短小精干的代码，放在任何地方都能执行，不依赖当前所处环境，那么就有这么几点要求：

不能有全局变量：函数里的局部变量在栈空间，地址是执行的时候动态分配的；但全局变量在编译时，会由编译器分配好固定的存储空间。编写shellcode的程序肯定会为这个全局变量预留空间，但执行shellcode的目标进程未必会预留，可能已经被其他全局变量占用；
不能有字符串：和上个类似，字符串会被编译器放在文字常量区，地址也是编译时固定写死的，目标进程的同一地址可能已经被占用，导致shellcode出错；
能动态获取所需系统API的地址，代码才能不写死；

针对以上要求，解决的思路：

所有变量都在函数内，写成局部变量，地址就能动态分配了；
字符串用字符数组替代，也就变成了局部变量，地址也能动态分配，比如 char *s = "hello" 可以改成char q1[] = {‘h‘,‘e‘,‘l‘,‘l‘,‘o‘,‘\0‘}，q1的地址也会在栈的局部空间分配；
最难的就是这个：动态获取所需系统API地址；shellcode的很多操作涉及系统底层，必然调用windows的API。正常情况下，windows针对3环用户态程序提供LoadLibrary加载dll，返回dll的基址。然后通过GetProcAddress从dll种获取函数基址；但这两个函数本身也是windwos 的API，其地址依然需要动态获取，该怎么做了？

　　1、动态获取LoadLibraryA的地址

windwos 32位下，每个进程都有PEB结构体，记录了进程各种信息；在0xc处是PEB_LDR_DATA结构体，该结构体记录了顺序加载的模块链表，说明如下：

　　技术图片

　　核心代码如下：

　　（1）找到链表的头指针：（注意：不同版本windows的PEB结构体可能有细微差别，需要适配）

__asm{ mov eax,fs:[0x30] mov eax,[eax+0x0c] add eax,0x0c mov pBeg,eax mov eax,[eax] mov pPLD,eax }

　　（2）遍历链表，查找kernerl32.dll

while(pPLD!=pBeg){ pLast=(WORD*)pPLD->BaseDllName.Buffer; pFirst=(WORD*)szKernel32; while(*pFirst && (*pFirst-32==*pLast||*pFirst==*pLast)) {pFirst++,pLast++;} if(*pFirst==*pLast) { dwKernelBase=(DWORD)pPLD->DllBase; break; } pPLD=(LDR_DATA_TABLE_ENTRY*)pPLD->InLoadOrderModuleList.Flink;}

　　2、kernerl32.dll 基址找到后就好办了：根据PE的导出表能找到GetProcAddr的地址，核心代码如下：

MAGE_DOS_HEADER *pIDH=(IMAGE_DOS_HEADER *)dwKernelBase; IMAGE_NT_HEADERS *pINGS=(IMAGE_NT_HEADERS *)((DWORD)dwKernelBase+pIDH->e_lfanew);IMAGE_EXPORT_DIRECTORY *pIED=(IMAGE_EXPORT_DIRECTORY*)((DWORD)dwKernelBase+pINGS->OptionalHeader.DataDirectory[IMAGE_DIRECTORY_ENTRY_EXPORT].VirtualAddress);DWORD *pAddOfFun_Raw=(DWORD*)((DWORD)dwKernelBase+pIED->AddressOfFunctions);WORD *pAddOfOrd_Raw=(WORD*)((DWORD)dwKernelBase+pIED->AddressOfNameOrdinals);DWORD *pAddOfNames_Raw=(DWORD*)((DWORD)dwKernelBase+pIED->AddressOfNames);DWORD dwCnt=0;char *pFinded=NULL,*pSrc=szGetProcAddr;for(;dwCnt<pIED->NumberOfNames;dwCnt++){ pFinded=(char *)((DWORD)dwKernelBase+pAddOfNames_Raw[dwCnt]); while(*pFinded &&*pFinded==*pSrc) {pFinded++;pSrc++;} if(*pFinded == *pSrc) { pGetProcAddress=(PGETPROCADDRESS)((DWORD)dwKernelBase+pAddOfFun_Raw[pAddOfOrd_Raw[dwCnt]]); break; } pSrc=szGetProcAddr;}

　　有了GetProcAddr，又能继续查找LoadLibrary（也在kernerl32.dll里面）的地址，如下：

pLoadLibrary=(PLOADLIBRARY)pGetProcAddress((HMODULE)dwKernelBase,szLoadLibrary);

　　这下有了LoadLibrary和GetProcAddr两大函数地址，任何dll的任何函数入口都能找到了，比如MessageBox，如下：

pMessageBox=(PMESSAGEBOX)pGetProcAddress(pLoadLibrary(szUser32),szMessageBox);char szTitle[]={‘S‘,‘h‘,‘e‘,‘l‘,‘l‘,‘C‘,‘o‘,‘d‘,‘e‘,0};char szContent[]={0x48,0x65,0x6c,0x6c,0x6f,0x20,0x57,0x6f,0x72,0x6c,0x64,0x20,0x21,0};pMessageBox(NULL,szContent,szTitle,0);

　　完整代码如下：（所有代码都写入main，方便下一步提取）

#include<windows.h>int main(){ typedef DWORD (WINAPI *PGETPROCADDRESS) (HMODULE hModule,LPCSTR lpProcName); typedef int (WINAPI * PMESSAGEBOX) (HWND hWnd,LPCTSTR lpText,LPCTSTR lpCaption,UINT uType); typedef HMODULE (WINAPI * PLOADLIBRARY) (LPCTSTR lpFileName); typedef struct UNICODE_STRING { USHORT Length; USHORT MaximumLength; PWSTR Buffer; }UNICODE_STRING; typedef struct PEB_LDR_DATA{ DWORD Length; BYTE initialized; PVOID SsHandle; LIST_ENTRY InLoadOrderModuleList; LIST_ENTRY InMemoryOrderModuleList; LIST_ENTRY InInitializationOrderModuleList; VOID * EntryInProgress; }PEB_LDR_DATA; typedef struct LDR_DATA_TABLE_ENTRY { LIST_ENTRY InLoadOrderModuleList; LIST_ENTRY InMemoryOrderModuleList; LIST_ENTRY InInitializationOrderModuleList; void* DllBase; void* EntryPoint; ULONG SizeOfImage; UNICODE_STRING FullDllName; UNICODE_STRING BaseDllName; ULONG Flags; SHORT LoadCount; SHORT TlsIndex; HANDLE SectionHandle; ULONG CheckSum; ULONG TimeDateStamp; }LDR_DATA_TABLE_ENTRY; LDR_DATA_TABLE_ENTRY *pPLD=NULL,*pBeg=NULL; PGETPROCADDRESS pGetProcAddress=NULL; PMESSAGEBOX pMessageBox=NULL; PLOADLIBRARY pLoadLibrary=NULL; WORD *pFirst =NULL,*pLast=NULL; DWORD ret =0,i=0; DWORD dwKernelBase=0; char szKernel32[]={‘k‘,0,‘e‘,0,‘r‘,0,‘n‘,0,‘e‘,0,‘l‘,0,‘3‘,0,‘2‘,0,‘.‘,0,‘d‘,0,‘l‘,0,‘l‘,0,0,0}; char szUser32[]={‘U‘,‘S‘,‘E‘,‘R‘,‘3‘,‘2‘,‘.‘,‘d‘,‘l‘,‘l‘,0}; char szGetProcAddr[]={‘G‘,‘e‘,‘t‘,‘P‘,‘r‘,‘o‘,‘c‘,‘A‘,‘d‘,‘d‘,‘r‘,‘e‘,‘s‘,‘s‘,0}; char szLoadLibrary[]={‘L‘,‘o‘,‘a‘,‘d‘,‘L‘,‘i‘,‘b‘,‘r‘,‘a‘,‘r‘,‘y‘,‘A‘,0}; char szMessageBox[]={‘M‘,‘e‘,‘s‘,‘s‘,‘a‘,‘g‘,‘e‘,‘B‘,‘o‘,‘x‘,‘A‘,0}; __asm{ mov eax,fs:[0x30] mov eax,[eax+0x0c] add eax,0x0c mov pBeg,eax mov eax,[eax] mov pPLD,eax } // 遍历找到kernel32.dll while(pPLD!=pBeg) { pLast=(WORD*)pPLD->BaseDllName.Buffer; pFirst=(WORD*)szKernel32; while(*pFirst && (*pFirst-32==*pLast||*pFirst==*pLast)) { pFirst++,pLast++;} if(*pFirst==*pLast) { dwKernelBase=(DWORD)pPLD->DllBase; break; } pPLD=(LDR_DATA_TABLE_ENTRY*)pPLD->InLoadOrderModuleList.Flink; } // 遍历kernel32.dll的导出表，找到GetProcAddr函数地址 IMAGE_DOS_HEADER *pIDH=(IMAGE_DOS_HEADER *)dwKernelBase; IMAGE_NT_HEADERS *pINGS=(IMAGE_NT_HEADERS *)((DWORD)dwKernelBase+pIDH->e_lfanew); IMAGE_EXPORT_DIRECTORY *pIED=(IMAGE_EXPORT_DIRECTORY*)((DWORD)dwKernelBase+ pINGS->OptionalHeader. DataDirectory[IMAGE_DIRECTORY_ENTRY_EXPORT].VirtualAddress); DWORD *pAddOfFun_Raw=(DWORD*)((DWORD)dwKernelBase+pIED->AddressOfFunctions); WORD *pAddOfOrd_Raw=(WORD*)((DWORD)dwKernelBase+pIED->AddressOfNameOrdinals); DWORD *pAddOfNames_Raw=(DWORD*)((DWORD)dwKernelBase+pIED->AddressOfNames); DWORD dwCnt=0; char *pFinded=NULL,*pSrc=szGetProcAddr; for(;dwCnt<pIED->NumberOfNames;dwCnt++) { pFinded=(char *)((DWORD)dwKernelBase+pAddOfNames_Raw[dwCnt]); while(*pFinded &&*pFinded==*pSrc) {pFinded++;pSrc++;} if(*pFinded == *pSrc) { pGetProcAddress=(PGETPROCADDRESS)((DWORD)dwKernelBase+pAddOfFun_Raw[pAddOfOrd_Raw[dwCnt]]); break; } pSrc=szGetProcAddr; } // 有了GetProcAddr 可以获得任何api pLoadLibrary=(PLOADLIBRARY)pGetProcAddress((HMODULE)dwKernelBase,szLoadLibrary); pMessageBox=(PMESSAGEBOX)pGetProcAddress(pLoadLibrary(szUser32),szMessageBox); // 使用函数 char szTitle[]={‘S‘,‘h‘,‘e‘,‘l‘,‘l‘,‘C‘,‘o‘,‘d‘,‘e‘,0}; char szContent[]={0x48,0x65,0x6c,0x6c,0x6f,0x20,0x57,0x6f,0x72,0x6c,0x64,0x20,0x21,0}; pMessageBox(NULL,szContent,szTitle,0); return 0;}

　　2、shellcode提取：从IDA看，main函数从401000开始，

　　技术图片

在4012E0结束，总长度2e0；

技术图片

　　这里可以直接在hexview查看二进制编码，可以直接从401000复制到4012E0，这段代码插入其他exe代码的入口点

　　技术图片

　　3、随变找个exe，比如下面这个变量位置测试的exe，查看发现其入口点是4796：

　　技术图片

　　12bc入口+2e0(shellcode长度)=159c，先删除这部分代码：

　　技术图片

　　再把shellcode复制过来：

　　技术图片

　　再次运行exe：能看到弹窗，达到注入代码的目的：

　　技术图片

-----------------------------------------------------------分割线------------------------------------------------------------------------------------------------------------------------------

内存和数据相关区域的分工：

（1）栈（stack）：由编译器进行管理，自动分配和释放，存放函数调用过程中的各种参数、局部变量、返回值以及函数返回地址;

（2）堆（heap）：用于程序动态申请分配和释放空间。C语言中的malloc和free，C++中的new和delete均是在堆中进行的，还有windows驱动编程常用的ExAllocatePool；正常情况下，程序员申请的空间在使用结束后应该释放，若程序员没有释放空间，则程序结束时系统自动回收。堆内存的好处：只要程序员不主动释放，且程序运行不结束，这块数据会一直存在；这个特性可以用来隐藏驱动（https://www.cnblogs.com/theseventhson/p/13170445.html）;

（3）全局（静态）存储区：分为DATA段和BSS段。DATA段（全局初始化区）存放初始化的全局变量和静态变量；BSS段（全局未初始化区）存放未初始化的全局变量和静态变量。程序运行结束时自动释放。其中BBS段在程序执行之前会被系统自动清0，所以未初始化的全局变量和静态变量在程序执行之前已经为0；

（4）文字常量区：存放常量字符串，程序结束后由系统释放；

其中，栈内存存放的数据仅仅在函数调用过程使用，结束后就没用了，所以编译器会增加分配(esp-xxx)和释放(esp+xxx)的代码；但全局变量和静态变量要求在任何函数都能使用，所以不能存放在栈，只能放在DATA和BSS段，等程序运行结束后由操作系统回收；代码实验如下：

第一次的代码（就是上面用来做注入测试的storPosition.exe）：

#include <stdio.h>#include <stdlib.h>int k1 = 1;int k2;static int k3 = 2;static int k4;int main( ){ static int m1=2, m2; int i=1; char*p; char str[10] = "hello"; char* q = "hello"; p= (char *)malloc( 100 ); free(p); printf("栈区-变量地址 i：%p\n", &i); printf(" p：%p\n", &p); printf(" str：%p\n", str); printf(" q：%p\n", &q); printf("堆区地址-动态申请：%p\n", p); printf("全局外部有初值 k1：%p\n", &k1); printf(" 外部无初值 k2：%p\n", &k2); printf("静态外部有初值 k3：%p\n", &k3); printf(" 外静无初值 k4：%p\n", &k4); printf(" 内静态有初值 m1：%p\n", &m1); printf(" 内静态无初值 m2：%p\n", &m2); printf("文字常量地址 ：%p, %s\n",q, q); printf("程序区地址 ：%p\n",&main); return 0;}

各种变量地址的分布：

技术图片

第二次的代码：和第一次比增加了3个局部变量：m、j和q1，并打乱了顺序：

#include <stdio.h>#include <stdlib.h>int k1 = 1;int k2;static int k3 = 2;static int k4;int main( ){ char*p; int m=3; static int m1=2, m2; int j=2,i=1; char str[10] = "hello"; char* q = "hello"; char q1[] = {‘h‘,‘e‘,‘l‘,‘l‘,‘o‘,‘\0‘}; p= (char *)malloc( 100 ); free(p); printf("栈区-变量地址 i：%p\n", &i); printf("栈区-变量地址 j：%p\n", &j); printf("栈区-变量地址 m：%p\n", &m); printf(" p：%p\n", &p); printf(" str：%p\n", str); printf(" q：%p\n", &q); printf(" q1=%s：%p\n", q1, &q1); printf("堆区地址-动态申请：%p\n", p); printf("全局外部有初值 k1：%p\n", &k1); printf(" 外部无初值 k2：%p\n", &k2); printf("静态外部有初值 k3：%p\n", &k3); printf(" 外静无初值 k4：%p\n", &k4); printf(" 内静态有初值 m1：%p\n", &m1); printf(" 内静态无初值 m2：%p\n", &m2); printf("文字常量地址 ：%p, %s\n",q, q); printf("程序区地址 ：%p\n",&main); return 0;}