msf生成的shellcode分析--走，組團(tuán)分析shellcode呀

2022-05-10 22:50 作者:rkvir逆向工程學(xué)院 0人讀過 | 我要投稿

作者丨selph

分析?MSF Windows/exec Shellcode

最近分析漏洞用到msf生成的樣本進(jìn)行測試，其中用到payload選項為Windows/exec cmd="calc.exe"的這個payload，本著一定要知道利用代碼是怎么運行的想法，開始對該shellcode的詳細(xì)分析。

實驗環(huán)境

???????????虛擬機(jī)：Kali Linux 2022.1 x64

???????????物理機(jī)：Windows 10 21H2 家庭版

???????????軟件：x86dbg，scdbg，windbg，010 Editor

生成shellcode

使用Kali Linux生成shellcode：

┌──(selph?kali)-[~/桌面/shellcode]
└─$ msfvenom -p windows/exec cmd=calc.exe -f raw -o shellcode.bin
[-] No platform was selected, choosing Msf::Module::Platform::Windows from the payload
[-] No arch selected, selecting arch: x86 from the payload
No encoder specified, outputting raw payload
Payload size: 193 bytes
Saved as: shellcode.bin

前置知識補充

通過fs寄存器獲取模塊信息

使用windbg可以很方便查看用到的這些結(jié)構(gòu)

fs寄存器指向線程的TEB結(jié)構(gòu)：

0:000> dt _TEB
ntdll!_TEB
?? +0x000 NtTib ???????????: _NT_TIB
?? +0x01c EnvironmentPointer : Ptr32 Void
?? +0x020 ClientId???????? : _CLIENT_ID
?? +0x028 ActiveRpcHandle? : Ptr32 Void
?? +0x02c ThreadLocalStoragePointer : Ptr32 Void
?? +0x030 ProcessEnvironmentBlock : Ptr32 _PEB

TEB[0x30]指向當(dāng)前的PEB結(jié)構(gòu)：

0:000> dt _peb
ntdll!_PEB
?? +0x000 InheritedAddressSpace : UChar
?? +0x001 ReadImageFileExecOptions : UChar
?? +0x002 BeingDebugged??? : UChar
?? +0x003 BitField???????? : UChar
?? +0x003 ImageUsesLargePages : Pos 0, 1 Bit
?? +0x003 IsProtectedProcess : Pos 1, 1 Bit
?? +0x003 IsImageDynamicallyRelocated : Pos 2, 1 Bit
?? +0x003 SkipPatchingUser32Forwarders : Pos 3, 1 Bit
?? +0x003 IsPackagedProcess : Pos 4, 1 Bit
?? +0x003 IsAppContainer?? : Pos 5, 1 Bit
?? +0x003 IsProtectedProcessLight : Pos 6, 1 Bit
?? +0x003 IsLongPathAwareProcess : Pos 7, 1 Bit
?? +0x004 Mutant?????????? : Ptr32 Void
?? +0x008 ImageBaseAddress : Ptr32 Void
?? +0x00c Ldr????????????? : Ptr32 _PEB_Ldr_DATA
?? +0x010 ProcessParameters : Ptr32 _RTL_USER_PROCESS_PARAMETERS

PEB[0xC]指向_PEB_Ldr_DATA結(jié)構(gòu)，這里保存了模塊相關(guān)的信息：

0:000> dt _PEB_Ldr_DATA
ntdll!_PEB_Ldr_DATA
?? +0x000 Length?????????? : Uint4B
?? +0x004 Initialized????? : UChar
?? +0x008 SsHandle???????? : Ptr32 Void
?? +0x00c InLoadOrderModuleList : _LIST_ENTRY
?? +0x014 InMemoryOrderModuleList : _LIST_ENTRY
?? +0x01c InInitializationOrderModuleList : _LIST_ENTRY
?? +0x024 EntryInProgress? : Ptr32 Void
?? +0x028 ShutdownInProgress : UChar
?? +0x02c ShutdownThreadId : Ptr32 Void

這里的三個_LIST_ENTRY雙向鏈表結(jié)構(gòu)都是連接本進(jìn)程內(nèi)所有模塊的_Ldr_DATA_TABLE_ENTRY結(jié)構(gòu)，這里有更詳細(xì)的模塊信息：

例如0x18偏移處的模塊基址，0x2c偏移處的模塊名稱等....

0:000> dt _Ldr_DATA_TABLE_ENTRY
ntdll!_Ldr_DATA_TABLE_ENTRY
?? +0x000 InLoadOrderLinks : _LIST_ENTRY
?? +0x008 InMemoryOrderLinks : _LIST_ENTRY
?? +0x010 InInitializationOrderLinks : _LIST_ENTRY
?? +0x018 DllBase????????? : Ptr32 Void
?? +0x01c EntryPoint?????? : Ptr32 Void
?? +0x020 SizeOfImage????? : Uint4B
?? +0x024 FullDllName????? : _UNICODE_STRING
?? +0x02c BaseDllName????? : _UNICODE_STRING
?? +0x034 FlagGroup??????? : [4] UChar
?? +0x034 Flags??????????? : Uint4B
?? +0x034 PackagedBinary?? : Pos 0, 1 Bit
?? +0x034 MarkedForRemoval : Pos 1, 1 Bit
?? +0x034 ImageDll???????? : Pos 2, 1 Bit
?? +0x034 LoadNotificationsSent : Pos 3, 1 Bit
?? +0x034 TelemetryEntryProcessed : Pos 4, 1 Bit
?? +0x034 ProcessStaticImport : Pos 5, 1 Bit
?? +0x034 InLegacyLists??? : Pos 6, 1 Bit
?? +0x034 InIndexes??????? : Pos 7, 1 Bit
?? +0x034 ShimDll????????? : Pos 8, 1 Bit
?? +0x034 InExceptionTable : Pos 9, 1 Bit
?? +0x034 ReservedFlags1?? : Pos 10, 2 Bits
?? +0x034 LoadInProgress?? : Pos 12, 1 Bit
?? +0x034 LoadConfigProcessed : Pos 13, 1 Bit
?? +0x034 EntryProcessed?? : Pos 14, 1 Bit
?? +0x034 ProtectDelayLoad : Pos 15, 1 Bit
?? +0x034 ReservedFlags3?? : Pos 16, 2 Bits
?? +0x034 DontCallForThreads : Pos 18, 1 Bit
?? +0x034 ProcessAttachCalled : Pos 19, 1 Bit
?? +0x034 ProcessAttachFailed : Pos 20, 1 Bit
?? +0x034 CorDeferredValidate : Pos 21, 1 Bit
?? +0x034 CorImage???????? : Pos 22, 1 Bit
?? +0x034 DontRelocate???? : Pos 23, 1 Bit
?? +0x034 CorILOnly??????? : Pos 24, 1 Bit
?? +0x034 ChpeImage??????? : Pos 25, 1 Bit
?? +0x034 ReservedFlags5?? : Pos 26, 2 Bits
?? +0x034 Redirected?????? : Pos 28, 1 Bit
?? +0x034 ReservedFlags6?? : Pos 29, 2 Bits
?? +0x034 CompatDatabaseProcessed : Pos 31, 1 Bit
?? +0x038 ObsoleteLoadCount : Uint2B
?? +0x03a TlsIndex???????? : Uint2B
?? +0x03c HashLinks??????? : _LIST_ENTRY
?? +0x044 TimeDateStamp??? : Uint4B
?? +0x048 EntryPointActivationContext : Ptr32 _ACTIVATION_CONTEXT
?? +0x04c Lock???????????? : Ptr32 Void
?? +0x050 DdagNode???????? : Ptr32 _Ldr_DDAG_NODE
?? +0x054 NodeModuleLink?? : _LIST_ENTRY
?? +0x05c LoadContext????? : Ptr32 _LdrP_LOAD_CONTEXT
?? +0x060 ParentDllBase??? : Ptr32 Void
?? +0x064 SwitchBackContext : Ptr32 Void
?? +0x068 BaseAddressIndexNode : _RTL_BALANCED_NODE
?? +0x074 MAppingInfoIndexNode : _RTL_BALANCED_NODE
?? +0x080 OriginalBase???? : Uint4B
?? +0x088 LoadTime???????? : _LARGE_INTEGER
?? +0x090 BaseNameHashValue : Uint4B
?? +0x094 LoadReason?????? : _Ldr_DLL_LOAD_REASON
?? +0x098 ImplicitPathOptions : Uint4B
?? +0x09c ReferenceCount?? : Uint4B
?? +0x0a0 DependentLoadFlags : Uint4B
?? +0x0a4 SigningLevel???? : UChar

手動解析PE文件拿到導(dǎo)出表

關(guān)于PE文件解析，可以使用010 Editor的exe.bt模板來輔助解析

使用010 Editor隨便打開一個DLL（一般都有導(dǎo)出表），界面如下：

這里通過下面模板的表格去找對應(yīng)的偏移即可輔助理解分析中用到的結(jié)構(gòu)，跟著shellcode的反匯編中給出的偏移去找結(jié)構(gòu)，本文中足夠用了

具體操作這里就不再介紹，有需要深入了解可自行學(xué)習(xí)

分析shellcode

準(zhǔn)備工作

把生成的shellcode傳到物理機(jī)，使用010editor打開：

復(fù)制，二進(jìn)制，打開x86dbg（用隨便一個測試進(jìn)程），選中一片空白區(qū)域，二進(jìn)制編輯：

把剛剛復(fù)制的shellcode黏貼進(jìn)去，然后確定，修改eip為我們復(fù)制shellcode的首地址：

接下來就可以用x86dbg開始調(diào)試分析了（使用x86dbg方便查看每個指令運行的結(jié)果，故這里沒使用IDA）

接下來收集一下shellcode調(diào)用API的信息，使用scdbg進(jìn)行掃描：

這里調(diào)用了三個函數(shù)：WinExec("calc.exe")，GetVersion()，ExitProcess(0)

可以通過參考資料[2]去查詢API Hash Table

開始分析

首先shellcode設(shè)置了DF標(biāo)志位，然后跳轉(zhuǎn)進(jìn)函數(shù)BE2F6E

00BE2EE5?????? | 90?????????????????????? | nop????????????????????????????????????? |
00BE2EE6?????? | FC?????????????????????? | cld????????????????????????????????????? |
00BE2EE7?????? | E8 82000000????????????? | call testmfc x86.BE2F6E????????????????? |?通過call?將當(dāng)前下一條指令的地址放到棧里

接下來進(jìn)入函數(shù)：

這里通過call+pop ebp的方式獲取了shellcode本身的地址，通過硬編碼偏移獲得shellcode末尾的字符串“calc.exe”，然后入棧3個參數(shù)call ebp（ebp的值是剛剛call進(jìn)來的call指令的下一行）

shellcode使用call+pop可以實現(xiàn)shellcode地址的定位功能

首先保存寄存器環(huán)境，通過fs寄存器獲得PEB地址，從PEB中找到_Ldr_DATA_TABLE_ENTRY結(jié)構(gòu)，找到模塊基址用于遍歷導(dǎo)出表中的函數(shù)名稱，尋找函數(shù)要用

這里最后判斷ecx是否為0，ecx為0意味著沒有導(dǎo)出表，如果沒有導(dǎo)出表則跳轉(zhuǎn)：

00BE2F68?????? | 5F?????????????????????? | pop edi????????????????????????????????? |?還原保存的edi?當(dāng)前模塊名Hash
00BE2F69?????? | 5A?????????????????????? | pop edx????????????????????????????????? |?還原保存的_Ldr_DATA_TABLE_ENTRY中的鏈表節(jié)點地址
00BE2F6A ??????| 8B12???????????????????? | mov edx,dword ptr ds:[edx]?????????????? |?讀取下一個節(jié)點
00BE2F6C?????? | EB 8D??????????????????? | jmp testmfc x86.BE2EFB?????????????????? |

還原搜索導(dǎo)出表之前的環(huán)境，然后通過鏈表讀取下一個節(jié)點，再次跳轉(zhuǎn)回去搜索下一個節(jié)點保存的模塊是否有我們需要的函數(shù)

如果模塊有導(dǎo)出表則不進(jìn)行跳轉(zhuǎn)，繼續(xù)執(zhí)行：

存在導(dǎo)出表則計算導(dǎo)出表在模塊中的位置，然后解析導(dǎo)出表信息：導(dǎo)出名稱表，導(dǎo)出名稱數(shù)量，如果導(dǎo)出名稱數(shù)量為0，則表示這里肯定沒有我們要調(diào)用的函數(shù)名稱導(dǎo)出的函數(shù)，則跳轉(zhuǎn)：

還原搜索導(dǎo)出表之前的環(huán)境，然后通過鏈表讀取下一個節(jié)點，再次跳轉(zhuǎn)回去搜索下一個節(jié)點保存的模塊。

如果導(dǎo)出名稱數(shù)量不為0則繼續(xù)執(zhí)行：

這里ecx是導(dǎo)出名稱數(shù)量，同時也作為索引去搜索導(dǎo)出名稱表中的函數(shù)名稱，對每一個找到的導(dǎo)出名稱進(jìn)行Hash計算，然后與棧中保存的我們要找的函數(shù)的Hash進(jìn)行比對，如果找不到，則找下一個函數(shù)，如果函數(shù)找完了，則找下一個模塊

如果找到了，則pop導(dǎo)出表地址給eax，再次解析導(dǎo)出表信息：導(dǎo)出序號表，導(dǎo)出地址表，從導(dǎo)出名稱表中獲得的索引去獲取導(dǎo)出序號表中對應(yīng)的序號，通過找到的導(dǎo)出序號去導(dǎo)出地址表找到對應(yīng)的導(dǎo)出函數(shù)地址，保存到eax里

拿到導(dǎo)出函數(shù)地址之后，堆棧平衡還原到搜索函數(shù)之前的位置，然后自己構(gòu)造返回地址，通過push jmp來模擬call，push的返回地址是我們構(gòu)造的剛剛push函數(shù)hash后面的call留下的地址

執(zhí)行完函數(shù)會返回回去：

然后接下來走同樣的途徑，去依次調(diào)用接下來要調(diào)用的函數(shù)：GetVersion，ExitProcess

這里shellcode最后這個call ebp之后的內(nèi)容，不是指令，是我們調(diào)用函數(shù)的字符串參數(shù)“calc.exe”

到這里shellcode整個工作流程就是這些了，本例中，執(zhí)行結(jié)果就是彈出計算器

執(zhí)行流程總結(jié)

Shellcode執(zhí)行流程總結(jié)：

1.????????入棧函數(shù)的參數(shù)和函數(shù)名的Hash，跳轉(zhuǎn)到函數(shù)進(jìn)行搜索：

a.????????通過_TEB找到_PEB

b.????????通過_PEB找到_PEB_Ldr_DATA

c.????????通過_PEB_Ldr_DATA找到當(dāng)前的_Ldr_DATA_TABLE_ENTRY，載入進(jìn)程的模塊信息雙向鏈表

d.????????獲取模塊基址

e.????????手工解析PE文件，找到導(dǎo)出表，若無則跳轉(zhuǎn)至第8步

f.?????????解析導(dǎo)出表，找到導(dǎo)出名稱表和導(dǎo)出名稱數(shù)量，若數(shù)量為0，則跳轉(zhuǎn)至第8步

g.????????根據(jù)導(dǎo)出名稱表遍歷每一個導(dǎo)出名稱計算Hash，比對Hash與我們保存的Hash是否相同

h.????????若找不到該函數(shù)，則通過鏈表找到下一個模塊信息，跳轉(zhuǎn)至第4步進(jìn)行循環(huán)

i.?????????若找到目標(biāo)函數(shù)，則調(diào)用該函數(shù)，然后返回出來

2.????????入棧下一個函數(shù)及其所需要的參數(shù)，然后再走一遍上面的流程去調(diào)用執(zhí)行，直到完成shellcode所有要執(zhí)行的函數(shù)

完整反匯編分析注釋

完整反匯編分析注釋截圖版

總結(jié)

該shellcode的主要流程其實是下面那一小段，入棧函數(shù)參數(shù)和函數(shù)Hash，然后調(diào)用函數(shù)去搜索函數(shù)地址并調(diào)用，然后再用相同的方式調(diào)用下一個函數(shù)，直到完成shellcode執(zhí)行的功能，通過對本例的分析，可以很清晰明了地了解shellcode是如何獲取函數(shù)地址的，以及如何調(diào)用的，也算是一次不錯的反匯編練習(xí)

最后，感謝大家的瀏覽，如有問題歡迎師傅們指出、探討與交流~

參考資料

???????????[1]?RE Corner - scdbg download (sandsprite.com)

(http://sandsprite.com/blogs/index.php?uid=7&pid=152)

???????????[2]https://raw.githubusercontent.com/avast/ioc/master/CobaltStrike/api_hashes/win10_api_hashes.txt

???????????[3]?走進(jìn)shellcode - 安全客，安全資訊平臺 (anquanke.com)

(https://www.anquanke.com/post/id/264883)

???????????[4]?LODS/LODSB/LODSW/LODSD/LODSQ — Load String (felixcloutier.com)

(https://www.felixcloutier.com/x86/lods:lodsb:lodsw:lodsd:lodsq)

???????????[5]?匯編跳轉(zhuǎn)指令: JMP、JECXZ、JA、jb、JG、JL、JE、JZ、JS、JC、JO、JP 等_zmmycsdn的博客-CSDN博客_匯編jb(https://blog.csdn.net/zmmycsdn/article/details/78511948)

標(biāo)簽：

最美情侣中文字幕电影,在线麻豆精品传媒,在线网站高清黄,久久黄色视频