將數據放入代碼中的shellcode函數

有的時候我們需要用ｓｈｅｌｌｃｏｄｅ執行一個函數，這個函數中包含一些全局的數據，你會怎麼做

（１）這個函數的代碼將從０地址開始執行

（２）如何能夠找到與０地址相對的偏移地址

解決方案：

（１）方法１：０地址處使用ｐｕｓｈ指令將數據壓入棧中，形成棧變數：這種方法適用小量的局部數據，因為大量的數據產生較多指令

（２）方法２：push , call , pop 方法

fun:

push edi ;徵用edi寄存器

call entry ;跳轉到entry，此時eip入棧（受取指流水線影響，此時的edi正好是data1的值）

data1:

......

entry:

pop edi ;彈出eip到edi，此時edi=data1

mov eax edi ;交給eax

pop edi ；釋放對edi的徵用

（3）方法2理論上通過的，但實際用C語言怎樣編寫這樣代碼呢？

[cpp] view plain copy print?

1. #include"stdafx.h"
2. #include<Windows.h>
4. BOOL__stdcallMyStrEqu(char*user,char*data);/////////////////////////////注意這個聲明，可能導致函數地址排布出現混亂，如沒有則未優化的時候static函數都是相對模塊線性增序
5. staticBOOL__declspec(naked)CheckUserAndPass2(char*user,char*passwd)///為防止編譯器插入其他espbuffer檢測代碼，函數直接用naked的
6. {
7. __asm
8. {
9. pushebp;////naked的約定下，要仿造cdecl對頁指針保護
10. movebp,esp;
11. //paraebp+4ebp+8
13. //下面開始我們的shellcode

[cpp] view plain copy print?

1. pushebx;//需要徵用ebx作為一個臨時指針
2. pushedi;
3. callentry1;
5. _emit"a";//_emit等價db（數據可以用其他程序生成_emit形式的代碼~~）
6. _emit"a";
7. _emit"a";
8. _emit0;
10. entry1:
11. popedi;
12. movebx,edi;
13. popedi;
14. pushebx;
15. pushdwordptr[user];
16. callMyStrEqu;
17. cmpeax,0;
18. jzret0;
20. pushedi;
21. callentry2;
23. _emit"b";
24. _emit"b";
25. _emit"b";
26. _emit"x";
27. _emit"x";
28. _emit0;
30. entry2:
31. popedi;
32. movebx,edi;
33. popedi;
34. pushebx;
35. pushdwordptr[passwd];
36. callMyStrEqu;
37. cmpeax,0;
38. jzret0;
39. popebx;
40. moveax,1;//返回1
41. popebp;
42. ret;
43. ret0:
44. popebx;
45. moveax,0;<spanstyle="font-family:Arial,Helvetica,sans-serif;">//返回0</span>
46. popebp;
47. ret;
48. };
49. }
51. staticBOOL__stdcallMyStrEqu(char*user,char*data)
52. {
53. if(!user||!data)
54. returnFALSE;
56. while((*user)&&(*data)&&((*user)==(*data)))
57. {
58. user++;
59. data++;
60. }
62. return(*user)==(*data);
63. }
65. staticvoid__empty(){};//__empty必須在代碼中出現，否則很容易被優化掉導致計算代碼距離失敗
67. BOOLCheckUserAndPass(char*user,char*passwd)
68. {
69. if(MyStrEqu(user,"aaa")&&MyStrEqu(passwd,"bbbxx"))
70. {
71. returnTRUE;
72. }
74. returnFALSE;
75. }
78. int_tmain(intargc,_TCHAR*argv[])
79. {
80. charbf_user[100]={};
81. charbf_pass[100]={};
82. printf("testCheckUserAndPass:
    inputUser:");
83. gets(bf_user);
84. printf("inputPass:");
85. gets(bf_pass);
86. printf("result:%d
    ",CheckUserAndPass(bf_user,bf_pass));
87. //////////////////////////////////////////////////////////////////////////
88. printf("testCheckUserAndPass2:
    inputUser:");
89. gets(bf_user);
90. printf("inputPass:");
91. gets(bf_pass);
92. printf("result:%d
    ",CheckUserAndPass2(bf_user,bf_pass));
93. //////////////////////////////////////////////////////////////////////////編譯器可能最終會優化函數順序導致我們需要的兩個函數位置發生調換，用演算法尋找最上面的start
94. unsignedintfs_empty=((unsignedint)(void*)__empty);
95. unsignedintfs_addf=((unsignedint)(void*)MyStrEqu);
96. unsignedintfs_addf2=((unsignedint)(void*)CheckUserAndPass2);
97. unsignedintfunc_entry=((unsignedint)(void*)CheckUserAndPass2);//入口地址
98. unsignedintfstart=fs_addf<fs_addf2?fs_addf:fs_addf2;
100. unsignedchar*buf=newunsignedchar[abs(fs_empty-fstart)+100];
102. if(fstart<=fs_empty)
103. for(unsignedinti=0;i<(fs_empty-fstart);i++)
104. {
105. unsignedcharby=((unsignedchar*)fstart)[i];
106. buf[i+5]=by;//要在前面插入shortjmp
107. }
108. else
109. for(unsignedinti=0;i<(fstart-fs_empty);i++)
110. {
111. unsignedcharby=((unsignedchar*)fstart)[i];
112. buf[i+5]=by;
113. }

[cpp] view plain copy print?

1. <spanstyle="white-space:pre"></span>//由於不能確定start就是我們要的入口，插入一個jmp來條轉過去
2. buf[0]=0xE9;//shortjmp
3. (*(int*)(&buf[1]))=(int)func_entry-(int)fstart;//offset
5. DWORDdwOldProtect;
6. ::VirtualProtect(buf,abs(fs_empty-fs_addf)+100,PAGE_EXECUTE_READWRITE,&dwOldProtect);//之後buf就可以調用了
7. typedefBOOL(__cdecl*PFN_CheckPass)(char*user,char*passwd);
8. PFN_CheckPassfnCheck=(PFN_CheckPass)buf;
9. printf("testCheckUserAndPass:
   inputUser:");
10. gets(bf_user);
11. printf("inputPass:");
12. gets(bf_pass);
13. BOOLx=fnCheck(bf_user,bf_pass);
14. printf("result:%d
    ",x);
15. return0;
16. }

最後你可以用dump內存把shellcode dump到文件中，以便使用
推薦閱讀：