搜索

[17922] 2021-04-12_模仿cs开局一个shellcode的实现.

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2021-04-12_模仿cs开局一个shellcode的实现.md 模 仿 c s 开 局 一 个 s h e l l c o d e 的 实 现 . m d 原 创   w 8 a y   H a c k i n g 就 是 好 玩   2 0 2 1 - 0 4 - 1 2 关 键 词 ： C 2 生 成 s h e l l c o d e D o n u t 生 成 s h e l l c o d e D l l 反 射 生 成 s h e l l c o d e S l i v e r P E 结 构 s R D I 代 码 阅 读 与 优 化 c o b a l t   s t r i k e 开 局 我 们 一 般 会 生 成 一 段 s h e l l c o d e ， 在 通 过 其 他 手 段 在 目 标 机 器 上 加 载 执 行 ， 这 样 的 好 处 是 整 个 过 程 ( 除 了 加 载 器 外 ) 无 文 件 ， 所 有 执 行 都 是 在 内 存 中 进 行 ， 并 且 也 好 进 行 分 离 免 杀 。 c o b a l t   s t r i k e   s h e l l c o d e 的 执 行 流 程 是   会 先 从 t e a m   s e r v e r 服 务 器 上 下 载 b e a c o n . d l l ， 然 后 反 射 d l l 执 行 。 之 前 也 有 写 过 一 个 简 单 的 任 意 p e 文 件 转 换 s h e l l c o d e 在 线 生 成 工 具 ： h t t p s : / / i . h a c k i n g 8 . c o m / e x e 2 s h e l l c o d e / 最 近 在 看 一 些 g o 语 言 写 的 c 2 ， 它 们 也 有 生 成 s h e l l c o d e 的 选 项 ， 所 以 就 来 学 习 一 下 这 个 " 开 局 " 一 个 s h e l l c o d e 的 操 作 是 如 何 实 现 的 ， 如 果 是 自 己 写 c 2 也 可 以 模 仿 一 下 。 S l i v e r S l i v e r 是 一 个 开 源 的 ， 跨 平 台 的 c 2 平 台 ， 支 持 m T L S 、 W i r e G u a r d 、 H T T P ( S ) 、 D N S 等 多 个 C 2 植 入 手 段 ， 支 持 生 成 M a c O S 、 W i n d o w s 、 L i n u x 等 多 个 平 台 的 " 木 马 " 下 载 源 代 码 ， 找 寻 一 番 后 ， 发 现 生 成 s h e l l c o d e 的 函 数 在 的 函 数 s e r v e r / g e n e r a t e / b i n a r i e s . g o S l i v e r S h e l l c o d e
i m a g e - 2 0 2 1 0 4 0 9 1 5 0 3 0 1 0 2 3 看 注 释 说 生 成 s h e l l c o d e 使 用 的 s R D I , s R D I 是 什 么 后 面 再 说 ， 细 细 一 翻 代 码 发 现 了 不 对 。 。 i m a g e - 2 0 2 1 0 4 0 9 1 5 0 6 1 9 4 6 1 它 将 原 来 生 成 s r d i 的 函 数 注 释 了 ， 用 生 成 了 s h e l l c o d e ， 编 译 木 马 的 g o 程 序 编 译 选 项 也 改 为 了 D o n u t   s h e l l c o d e   是 啥 是 啥 s l i v e r 中 使 用 的 是 这 个 库 生 成 s h e l l c o d e ， 这 个 库 是 的 G o 实 现 d o n u t 可 以 生 成 x 8 6 、 x 6 4 可 内 存 执 行 V B S c r i p t ， J S c r i p t ， E X E ， D L L   s h e l l c o d e 的 工 具 。 它 内 部 会 自 动 对 代 码 段 进 行 压 缩 和 1 2 8 位 对 称 加 密 ， . n e t 可 以 直 接 加 载 ， 普 通 的 e x e 需 要 有 重 定 位 信 息 才 行 D o n u t b u i l d m o d e = p i e h t t p s : / / g i t h u b . c o m / B i n j e c t / g o - d o n u t h t t p s : / / g i t h u b . c o m / T h e W o v e r / d o n u t
i m a g e - 2 0 2 1 0 4 0 9 1 6 3 1 2 0 6 0 6 做 个 实 验 测 试 一 下 ， 编 写 一 个 g o 程 序 编 译 用 d o n u t 载 入 p i e . e x e   生 成 s h e l l c o d e i m a g e - 2 0 2 1 0 4 0 9 1 6 3 8 1 9 6 4 3 s h e l l c o d e   l o a d e r 加 载 一 下 m a i n . g o p a c k a g e   m a i n i m p o r t   " o s / e x e c " f u n c   m a i n ( ) {   _   =   e x e c . C o m m a n d ( " c a l c " ) . R u n ( ) } g o   b u i l d   - b u i l e m o d e = e x e   - o   e x e . e x e   m a i n . g o g o   b u i l d   - b u i l d m o d e = p i e   - o   p i e . e x e   m a i n . g o
i m a g e - 2 0 2 1 0 4 0 9 1 6 4 1 0 7 0 6 1 成 功 但 是 用 g o 直 接 生 成 的 e x e . e x e 转 换 不 了 s h e l l c o d e i m a g e - 2 0 2 1 0 4 0 9 1 6 4 2 2 9 6 8 6 提 示 没 有 重 定 位 信 息 。 为 什 么 需 要 重 定 位 表 ？ 为 什 么 需 要 重 定 位 表 ？ 没 有 仔 细 看 源 码 ， 我 猜 的   -   = d o n u t 将 e x e 加 载 到 内 存 中 展 开 ， 如 果 有 重 定 位 表 ， 就 可 以 加 载 P E 文 件 到 任 意 位 置 ， 然 后 根 据 重 定 位 表 来 修 复 那 些 绝 对 地 址 的 位 置 就 行 了 。 如 果 没 有 重 定 位 表 ， 内 存 中 的 P E 文 件 展 开 可 能 会 跟 s h e l l c o d e   l o a d e r 文 件 冲 突 ， 如 果 放 到 内 存 中 任 意 位 置 ， 可 能 因 为 绝 对 地 址 的 问 题 造 成 失 败 。 历 史 文 件 信 息 历 史 文 件 信 息
s l i v e r 注 释 了 ， 反 射 d l l ( r d i ) 生 成 s h e l l c o d e 的 方 式 ， 为 啥 ？ 看 文 件 的 历 史 记 录 信 息 ， 发 现 它 是 在 用 生 成 s h e l l c o d e 还 是 生 成 s h e l l c o d e 的 方 式 上 转 来 转 去   -   = i m a g e - 2 0 2 1 0 4 0 9 1 6 4 7 4 2 3 7 8 2 0 2 0 / 5 / 1 6   编 写 了 使 用 r d i 方 式 生 成 s h e l l c o d e 的 方 式 2 0 2 0 / 8 / 1 3   改 用 了 D o n u t 生 成 2 0 2 0 / 1 0 / 5   又 把 r d i 的 方 式 换 了 回 去 2 0 2 0 / 1 0 / 2 1   又 换 成 了 D o n u t 生 成 2 0 2 0 / 1 1 / 1 5   又 换 成 r d i 方 式 2 0 2 1 / 3 / 8     叒 换 成 了 D o n u t 生 成 s h e l l c o d e 的 方 式 ， 下 面 注 释 了 一 行 r d i 的 方 式 可 能 它 们 也 在 这 两 种 方 式 上 犹 豫 不 定   -   =   ? 所 以 再 来 看 看 反 射 d l l 生 成 s h e l l c o d e 方 式 是 怎 样 的 。 反 射 反 射 D l l 生 成 生 成 s h e l l c o d e ( s R D I ) S h e l l c o d e R D I r d i d o n u t
原 理 原 理 反 射 d l l 原 先 是 作 为 注 入 技 术 来 使 用 的 ， 它 可 以 在 内 存 中 加 载 执 行 d l l ， 来 逃 脱 杀 软 对 磁 盘 文 件 的 监 控 。 后 来 经 过 改 造 将 它 变 成 了 s h e l l c o d e 的 方 式 ， 可 以 将 任 意 d l l 变 成 可 以 反 射 的 s h e l l c o d e ， 用 来 加 载 我 们 自 己 r a t 等 程 序 。 生 成 生 成 s R D I   s h e l l c o d e s l i v e r 生 成 反 射 d l l   s h e l l c o d e 的 代 码 在 函 数 。 它 里 面 的 g o 代 码 就 是   h t t p s : / / g i t h u b . c o m / m o n o x g a s / s R D I   这 个 项 目 的 实 现 。 s l i v e r 已 经 将 它 封 装 好 了 ， 只 需 要 传 入 d l l 路 径 ， 函 数 名 称 就 能 够 生 成 s h e l l c o d e g o 生 成 生 成 d l l 以 下 代 码 都 是 从 s i l v e r 拿 出 来 的 。 s e r v e r / g e n e r a t e / s r d i . g o S h e l l c o d e R D I m a i n . h # i n c l u d e   < w i n d o w s . h > v o i d   R u n S l i v e r ( ) ; B O O L   W I N A P I   D l l M a i n (         H I N S T A N C E   _ h i n s t D L L ,   / /   h a n d l e   t o   D L L   m o d u l e         D W O R D   _ f d w R e a s o n ,         / /   r e a s o n   f o r   c a l l i n g   f u n c t i o n         L P V O I D   _ l p R e s e r v e d       / /   r e s e r v e d ) ; m a i n . g o p a c k a g e   m a i n / *   S l i v e r   I m p l a n t   F r a m e w o r k   C o p y r i g h t   ( C )   2 0 1 9     B i s h o p   F o x   T h i s   p r o g r a m   i s   f r e e   s o f t w a r e :   y o u   c a n   r e d i s t r i b u t e   i t   a n d / o r   m o d i f y   i t   u n d e r   t h e   t e r m s   o f   t h e   G N U   G e n e r a l   P u b l i c   L i c e n s e   a s   p u b l i s h e d   b y   t h e   F r e e   S o f t w a r e   F o u n d a t i o n ,   e i t h e r   v e r s i o n   3   o f   t h e   L i c e n s e ,   o r   ( a t   y o u r   o p t i o n )   a n y   l a t e r   v e r s i o n .   T h i s   p r o g r a m   i s   d i s t r i b u t e d   i n   t h e   h o p e   t h a t   i t   w i l l   b e   u s e f u l ,   b u t   W I T H O U T   A N Y   W A R R A N T Y ;   w i t h o u t   e v e n   t h e   i m p l i e d   w a r r a n t y   o f   M E R C H A N T A B I L I T Y   o r   F I T N E S S   F O R   A   P A R T I C U L A R   P U R P O S E .     S e e   t h e   G N U   G e n e r a l   P u b l i c   L i c e n s e   f o r   m o r e   d e t a i l s .
公 开 了 很 多 接 口 ， 方 便 可 以 用 r e g s v r 3 2 等 程 序 调 用 ， 并 且 有 互 斥 变 量 防 止 函 数 被 重 复 调 用 。 编 译 成 编 译 成 d l l g o 调 用 调 用 s R D I   生 成 生 成 s h e l l c o d e 复 制 s l i v e r   下 到 同 一 个 目 录 ， 然 后 新 建 一 个 g o 文 件   Y o u   s h o u l d   h a v e   r e c e i v e d   a   c o p y   o f   t h e   G N U   G e n e r a l   P u b l i c   L i c e n s e   a l o n g   w i t h   t h i s   p r o g r a m .     I f   n o t ,   s e e   < h t t p s : / / w w w . g n u . o r g / l i c e n s e s / > . * / / / # i n c l u d e   " m a i n . h " i m p o r t   " C " i m p o r t   (   " o s / e x e c " ) v a r   i s R u n n i n g   b o o l   =   f a l s e / /   R u n S l i v e r   -   E x p o r t   f o r   s h a r e d   l i b   b u i l d / / e x p o r t   R u n S l i v e r f u n c   R u n S l i v e r ( )   {   i f   ! i s R u n n i n g   {     i s R u n n i n g   =   t r u e     m a i n ( )   } } / /   T h a n k s   N e 0 n d 0 g   f o r   t h o s e / / h t t p s : / / g i t h u b . c o m / N e 0 n d 0 g / m e r l i n / b l o b / m a s t e r / c m d / m e r l i n a g e n t d l l / m a i n . g o # L 6 5 / /   D l l I n s t a l l   i s   u s e d   w h e n   e x e c u t i n g   t h e   S l i v e r   i m p l a n t   w i t h   r e g s v r 3 2 . e x e   ( i . e .   r e g s v r 3 2 . e x e   / s   / n   / i   s l i v e r . d l l ) / /   h t t p s : / / m s d n . m i c r o s o f t . c o m / e n - u s / l i b r a r y / w i n d o w s / d e s k t o p / b b 7 5 9 8 4 6 ( v = v s . 8 5 ) . a s p x / / e x p o r t   D l l I n s t a l l f u n c   D l l I n s t a l l ( )   {   m a i n ( )   } f u n c   m a i n ( )   {   _   =   e x e c . C o m m a n d ( " c a l c . e x e " ) . R u n ( ) } g o   b u i l d   - l d f l a g s   " - s   - w "   - b u i l d m o d e = c - s h a r e d   - o   e x p o r t . d l l   m a i n . g o s e r v e r / g e n e r a t e / s r d i . g o s e r v e r / g e n e r a t e / s r d i - s h e l l c o d e . g o g e n e r a t e . g o p a c k a g e   m a i n
执 行 后 就 能 生 成 s h e l l c o d e 了 s R D I 代 码 阅 读 代 码 阅 读 做 个 记 录 ， s R D I 的 一 些 加 载 步 骤 。 从 从 P E B 获 取 获 取   L o a d L i b r a r y A 、 、 G e t P r o c A d d r e s s 一 般 的 思 路 是 遍 历 P E B - l d r ， 得 到 d l l 列 表 ， 遍 历 每 个 d l l ， 获 取 d l l 的 导 出 函 数 , 实 际 上 只 需 要 遍 历 k e r n a l 3 2 . d l l ， 获 取 、 两 个 函 数 就 可 以 根 据 它 们 来 加 载 任 意 d l l 。 结 合 w i n d b g 来 看 P E B 数 据 结 构 i m p o r t   (   " f m t "   " i o / i o u t i l "   " o s " ) f u n c   m a i n ( )   {   f i l e n a m e   : =   " e x p o r t . d l l "   f u n c t i o n N a m e   : =   " R u n S l i v e r "   f i l e p a t h   : =   " s h e l l c o d e . b i n "   d a t a ,   e r r   : =   S h e l l c o d e R D I ( f i l e n a m e ,   f u n c t i o n N a m e ,   " " )   i f   e r r   ! =   n i l   {     p a n i c ( e r r )   }   f m t . P r i n t l n ( l e n ( d a t a ) )   _   =   o s . R e m o v e ( f i l e p a t h )   e r r   =   i o u t i l . W r i t e F i l e ( f i l e p a t h ,   d a t a ,   0 6 4 4 )   i f   e r r   ! =   n i l   {     p a n i c ( e r r )   } } L o a d L i b r a r y A G e t P r o c A d d r e s s d t   n t ! _ p e b
i m a g e - 2 0 2 1 0 4 1 2 1 7 0 1 0 6 6 8 2 0 x 1 8   L d r 地 址 上 保 存 了 所 有 d l l 信 息 ， 查 看 p e b _ l d r 数 据 i m a g e - 2 0 2 1 0 4 1 2 1 7 0 3 0 1 4 1 6 、 、 三 个 位 置 都 保 存 了 d l l 列 表 。 分 别 是 按 照 顺 序 、 内 存 、 初 始 化 顺 序 加 载 。 它 们 都 是 l i s t _ e n t r y 结 构 ， 查 看 这 个 结 构 d t   n t ! _ p e b _ l d r _ d a t a I n L o a d O r d e r M o d u l e L i s t I n M e m o r y O r d e r M o d u l e L i s t I n I n i t i a l i z a t i o n O r d e r M o d u l e L i s t
i m a g e - 2 0 2 1 0 4 1 2 1 7 0 5 0 1 0 2 4 是 一 个 双 链 表 结 构 , 链 表 指 向 的 数 据 结 构 i m a g e - 2 0 2 1 0 4 1 2 1 7 1 7 1 9 8 1 9 D l l B a s e 是 d l l 的 基 址 ， B a s e D l l N a m e 是 d l l 的 名 称 。 如 果 B a s e D l l N a m e 判 断 成 功 ， 解 析 D l l B a s e 的 P E 结 构 获 取 导 出 表 ， 得 到 导 出 函 数 的 地 址 ， 调 用 即 可 。 动 态 初 始 化 函 数 动 态 初 始 化 函 数 由 L o a d L i b r a r y A 、 G e t P r o c A d d r e s s ， 就 可 以 来 加 载 更 多 A P I 了 。 d t   n t ! _ l i s t _ e n t r y d t   n t ! _ l d r _ d a t a _ t a b l e _ e n t r y / / / / /   S T E P   1 :   l o c a t e   a l l   t h e   r e q u i r e d   f u n c t i o n s / / / p L d r L o a d D l l   =   ( L D R L O A D D L L ) G e t P r o c A d d r e s s W i t h H a s h ( L D R L O A D D L L _ H A S H ) ; p L d r G e t P r o c A d d r e s s   =   ( L D R G E T P R O C A D D R E S S ) G e t P r o c A d d r e s s W i t h H a s h ( L D R G E T P R O C A D D R E S S _ H A S H ) ; u S t r i n g . B u f f e r   =   s K e r n e l 3 2 ; u S t r i n g . M a x i m u m L e n g t h   =   s i z e o f ( s K e r n e l 3 2 ) ; u S t r i n g . L e n g t h   =   s i z e o f ( s K e r n e l 3 2 ) ;
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理