0

Я пишу с-шеллкод по этому примеру. Повторяю действия из примера по заполнению структуры: Сам пример:

    ;IA86 and AMD64
    IFDEF _M_IA86
    .386
    .model flat, stdcall
    ENDIF

    ;set code section .shell
    .CODE shell

    ;data struct
    Shell_Static_Data STRUCT 
        phrase_ldrloaddll db 16 dup(0)
        phrase_msgbox db 16 dup(0) //почему byte?
        phrase_hello db 16 dup(0)
        phrase_hello_title db 16 dup(0)
        phrase_user32 dw 16 dup(0)//почему word? 
        phrase_ntdll dw 16 dup(0)
    Shell_Static_Data ENDS

    shelldata Shell_Static_Data <"LdrLoadDll", "MessageBoxA", "Hello hacker", "Shellcode", \
         {'u', 's', 'e', 'r', '3', '2', '.', 'd', 'l', 'l'}, {'N', 't', 'd', 'l','l', '.', 'd', 'l', 'l'}>
;getting ptr to shelldata struct

IFDEF _M_IA86

get_data_struct_ptr PROC
;delta
    call get_delta
get_delta:
    pop eax
;calc var
    sub eax, 5
    sub eax, sizeof shelldata
    ret
get_data_struct_ptr ENDP

ELSEIFDEF _M_AMD64

get_data_struct_ptr PROC
;delta
    call get_delta
get_delta:
    pop rax
;calc var
    sub rax, 5
    sub rax, sizeof shelldata
    ret
get_data_struct_ptr ENDP

ENDIF

END

Почему выставляются именно db или dw. Как это связанно с размером массива,объявляемого в структуре на Си? В соответствие этому ассемблерному коду записывается структура на Си:

 #pragma pack(push, 1)
typedef struct _Shell_Static_Data {
    char phrase_ldrloaddll[16];
    char phrase_msgbox[16];
    char phrase_hello[16];
    char phrase_hello_title[16];
    wchar_t phrase_user32[16];
    wchar_t phrase_ntdll[16];
} Shell_Static_Data, *PShell_Static_Data;
#pragma pack(pop)

extern PShell_Static_Data __stdcall get_data_struct_ptr();

__declspec(noinline) void entry();

void *get_module_base_addr(wchar_t *mod_name);
void *get_proc_addr(void *mod_addr, char *proc_name);

Пример рабочий и он запускается по инструкции.

Теперь я пишу свой аналог,основываясь на этот пример: MASM:

     ;IA86 and AMD64
        IFDEF _M_IA86
        .386
        .model flat, stdcall
        ENDIF

        ;set code section .shell
        .CODE shell

        ;data struct
        Shell_Static_Data STRUCT 
            phrase_ldrloaddll db 16 dup(0)
            phrase_ntdll dw 16 dup(0)
            phrase_kernel32 dw 16 dup(0)
            phrase_FindFirFil db 16 dup(0)
            phrase_FindNexFileA db 16 dup(0)
            phrase_DelFilA db 16 dup(0)
            phrase_FindCL db 16 dup(0)
            phrase_ExPr db 16 dup(0)
            phrase_PathM db 42 dup(0) ;не понимаю какое число нужно выставлять, это зависит от размера массива?
    ;что нужно выбрать db или dw, может dt ? На чём завязан этот выбор?
            phrase_path db 38 dup(0)
        Shell_Static_Data ENDS

        shelldata Shell_Static_Data <"LdrLoadDll", {'N','t','d','l','l','.','d','l','l'},{'K','e','r','n','e','l','3','2','.','d','l','l'},"FindFirstFileA","FindNextFileA","DeleteFileA","FindClose","ExitProcess","C:\\Users\\Documents\\delete\\d*.*","C:\\Users\\Documents\\delete\\">
;getting ptr to shelldata struct

IFDEF _M_IA86

get_data_struct_ptr PROC
;delta
    call get_delta
get_delta:
    pop eax
;calc var
    sub eax, 5
    sub eax, sizeof shelldata
    ret
get_data_struct_ptr ENDP

ELSEIFDEF _M_AMD64

get_data_struct_ptr PROC
;delta
    call get_delta
get_delta:
    pop rax
;calc var
    sub rax, 5
    sub rax, sizeof shelldata
    ret
get_data_struct_ptr ENDP

ENDIF

END

Здесь я пытаюсь по аналогии с примера записать свои функции и строки(так как указателями в турториале запретили пользоваться по причине прямых ссылок, а в шеллкоде такое нельзя) Мне не понятно, как записываются поля структуры на ассемблере: как понять нужен db или dw, какое число за ним следует, каким оно должно быть и от чего это зависит(может от количества символов в кавычках?) Структура на Си выглядит так:

#pragma pack(push, 1)
typedef struct _Shell_Static_Data {
    char phrase_ldrloaddll[16];
    wchar_t phrase_ntdll[16];
    wchar_t phrase_kernel32[16];
    char phrase_FindFirFil[16];//findfirstfilea
    char phrase_FindNexFileA[16];
    char phrase_DelFilA[16];
    char phrase_FindCL[16];//findclose
    char phrase_ExPr[16];//exitproc
    char phrase_PathM[42];//путь с маской
    char phrase_path[38];
} Shell_Static_Data, *PShell_Static_Data;
#pragma pack(pop)

extern PShell_Static_Data __stdcall get_data_struct_ptr();

__declspec(noinline) void entry();

С выставленными текущими параметрами VS говорит,что :

A2041 string or text literal too long
(shellcode_native.asm)

A2006 undefined symbol : shelldata

Помогите разобраться с ошибками

2
  • db vs. dw -- это слишком очевидно. Просто sizeof(type). Windows wchar_t -- 16-битный тип. Можете всё в байтах писать.
    – 0andriy
    21 мар 2020 в 23:07
  • Потом у вас параметры попутаны. Вы вообще понимаете как динамическая загрузка работает? В вашем примере вы пытаетесь что именно сделать? Несколько функций за раз выполнить? А потом, вы читали ABI на вот это вот всё?
    – 0andriy
    21 мар 2020 в 23:14

1 ответ 1

0

Здесь:

 shelldata Shell_Static_Data <"LdrLoadDll", {'N','t','d','l','l','.','d','l','l'},{'K','e','r','n','e','l','3','2','.','d','l','l'},"FindFirstFileA","FindNextFileA","DeleteFileA","FindClose","ExitProcess","C:\\Users\\Documents\\delete\\d*.*","C:\\Users\\Documents\\delete\\">

Абсолютные пути нужно было писать C:\Users\Documents\delete\ , а не с двумя слеш

Ваш ответ

By clicking “Отправить ответ”, you agree to our terms of service and acknowledge you have read our privacy policy.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.