Shellcode 测试出错

Question

嘿，我使用了一些你们大多数人都熟悉的代码。它基本上接受一个字符数组并将其转换为函数指针。使用此代码，理论上您可以使用它测试任何 shellcode 的功能，如果它能够正常运行，它将是一个对我的工作非常有价值的程序......我在 Windows XP SP3 上执行此操作，并且正在使用 MinGW 的 gcc 进行编译和gdb 来调试该死的东西。

这就是我得到的...

unsigned char code[] =
"\x90\x90\x90\x90\x90\x90\x90\x90";
main()
{
  printf("Code length = %i...\n",sizeof(code)-1);
  int (*ret)()=(int(*)())code;
  ret();
}

所以我决定使用 nops 作为“shellcode”，因为它对眼睛和大脑都很容易，而且无论如何都可能有效。不幸的是，它没有。

当我编译并运行程序时，我得到...

An unhandled win32 exception occurred in horsefile.exe[3612].

...当我在 gdb 中运行它时，我得到...

Program received signal SIGSEV, Segmentation fault.
0x00409000 in code()

...其中 0x00409000 是 shellcode 函数 ret() 的入口点地址。

我已经关闭了 DEP，因为我认为转换字符数组，我认为它在堆栈上（实际上可能在 .data 部分中），并且堆栈上没有执行代码（转换处理字符数组数据作为堆栈上的代码）。所以我关闭了 DEP，但它仍然行为不端。

有什么想法吗？请记住，我在 Windows XP SP3 上使用适用于 Windows 的 MinGW 编译器/调试器套件。

编辑 - unsigned char code[] 而不是 char *code[] ...仍然无法正常工作... 编辑 - 在“shellcode”末尾添加了ret (\xc3)，仍然没有乐趣......

Answer 1

我想通了。毕竟，我的 Windows XP SP3 VM 的 DEP（数据执行保护）实际上已启用。

要在 Windows XP 上关闭它，请按照these 步骤操作。

对于 Windows Vista - Windows 10，下载并安装 Enhanced Mitigation Experience Toolkit，运行它，然后指定所需的安全设置。

Answer 2

您的 shell 代码 包含 nops、0x00 操作码并且没有进一步的已知内容。我可以看到失败的两个原因：

• 操作系统可能不允许您从存储字符串文字的段运行代码。
• 操作序列不会以RET 操作码结束，因此您最终会运行一些随机的未知操作码...

尝试将code 更改为unsigned char const code[] = "\x90\x90\x90\x90\x90\x90\x90\x90\xC3";

或者，您可以尝试在 main() 函数中本地定义 code：

int main(void) {
    unsigned char code[] = "\x90\x90\x90\x90\x90\x90\x90\xC3";

    printf("Code at %p, length = %i\n", (void*)code, (int)sizeof(code)-1);
    int (*ret)() = (int(*)())code;
    ret();
}

这两种方法都不能保证有效，因为编译器存储code 数组的位置可能无法执行。