Question

我尝试制作一个Programm，以十六进制形式放入一些组装好的程序集并运行它。使用诸如int3之类的简单指令，它可以工作，但是当我尝试通过syscall从程序中退出时，它不起作用。我用rasm2

组装了它

mov eax, 1
mov ebx, 12
int 0x80

，然后将其作为参数./Programm b801000000bb0c000000cd80 1 但是我遇到了段错误。

这是我的代码：

#include <stdlib.h>
#include <unistd.h>
#include <stdio.h>
#include <string.h>
#include <sys/mman.h>

char *base16dec(char *b16str) {
  size_t stingrlength = strlen(b16str);
  char *decodedstr = malloc(stingrlength / 2);
  for (size_t i = 0; i < stingrlength; i += 2) {
    u_int8_t num = 0;
    char stringIn[3];
    stringIn[0] = b16str[i];
    stringIn[1] = b16str[i+1];
    stringIn[2] = 0;
    sscanf(stringIn, "%hhx", &num);
    decodedstr[i/2] = (char) num;
  }
  return decodedstr;
}

这将解码十六进制字符串

int main(int argc, char *argv[]) {
  char *dirstr = "XXXXXX";
  char dir[7];
  strcpy(dir, dirstr);
  int fd = mkstemp(dir);
  if (fd == -1) {
    dirstr = "/tmp/XXXXXX";
    char dir[12];
    strcpy(dir, dirstr);
    fd = mkstemp(dir);
  }
  unlink(dir);

这将创建用于存储程序集的tmp文件

  char *stringIn;
  if (argc == 2) {
    stringIn = malloc(strlen(argv[1]));
    strcpy(stringIn, argv[1]);
  } else if (argc == 3) {
    u_int8_t num = 0;
    sscanf(argv[2], "%hhu", &num);
    if (num == 1) {
      char *done = base16dec(argv[1]);
      stringIn = malloc(strlen(done));
      strcpy(stringIn, done);
    } else {
      stringIn = malloc(strlen(argv[1]));
      strcpy(stringIn, argv[1]);
    }
  } else {
    stringIn = malloc(1024);
    scanf("%s", stringIn);
    char *done = base16dec(stringIn);
    stringIn = malloc(strlen(done));
    strcpy(stringIn, done);
  }

此方法将输入解析并复制到stringIn

  ftruncate(fd, strlen(stringIn));
  u_int8_t *code = mmap(NULL, strlen(stringIn), PROT_READ | PROT_WRITE | PROT_EXEC, MAP_PRIVATE , fd, 0);

这将扩展tmp文件并使它可执行，并创建一个指向code的指针

  for (int i = 0; i < 1024; i++) {
    code[i] = (u_int8_t) stringIn[i];
  }

这会将程序集字节复制到code

  #if __x86_64__
  __asm__(
    "mov %0, %%rbx\n"
    "jmp *%%rbx"
    :
    : "g" (code)
    : "memory"
  );
  #elif __i386__
  __asm__(
    "mov %0, %%ebx\n"
    "jmp *%%ebx"
    :
    : "r" (code)
  );
  #else
  #endif

这会跳转到程序集

  return 0;
}

编辑：

我无法使用gdb调试shellcode

我使用64位Linux Mint

我尝试使用0

复制strcpy

Answer 1

因为这是一个Shellcode，所以不能有空字节。在您的代码中，您有2个带有立即数的mov，它们被填充为32位

mov eax, 1
mov ebx, 12

哪个编码为B801 000000 BB0C 000000 ，当C击中空字节时，它认为字符串已结束，因此仅结束复制部分指令，然后将其复制执行垃圾。

相反，您需要使用：

xor eax, eax
inc eax
xor ebx, ebx
mov bl, 12

这将提供系统调用所需的值，并且不会编码为任何空字节。

为什么我不能通过系统调用从shellcode退出？

1 个答案: