2021年暑期夏令营笔记(day7-day8)

Hannibal0x included in 学习安全技术

2021-08-27 1886 words 4 minutes

Contents

## 0x00 shellcode从0到1

Linux系统调用表

https://github.com/torvalds/linux/tree/master/arch/x86/entry/syscalls

https://chromium.googlesource.com/chromiumos/docs/+/master/constants/syscalls.md

0x01 Windows平台下的shellcode利用

Windows下的Shellcode
优势：使用起来非常灵活，且易变形
劣势：开发困难
难点：如何动态定位API函数地址

API HASH

https://neil-fox.github.io/Anti-analysis-using-api-hashing/

在常规编程中,只需引入其头文件,便可调用某API函数,编译器在编译过程中会将相关信息编译到PE文件中(这里的相关信息主要是指 MAGE_IMPORT_DESCRIPTORS结构体)。当程序执行时,操作系统会将PE文件映射到内存,这个映射过程包括调用 LoadLibrary加载相应的动态链接库,以及调用 GetProcAddress取所有AP函数在内存中的地址,像这样的dll加载方式,我们称为隐式链接。

ShellCode开源框架

https://github.com/mai1zhi2/ShellCodeFramework

实操

https://uknowsec.cn/posts/notes/shellcode%E5%8A%A0%E8%BD%BD%E6%80%BB%E7%BB%93.html

实战视角

msf生成弹出calc一段shellcode分析

Metasploit & CobaltStrike 的shellcode分析

在APT攻击中,有对现有 shellcode的利用,如海莲花组织利用CS的 shellcode进行攻击，同时,某些APT组织也会开发一些特定的 shellcode

推荐资料：

逆向工程核心原理
Windows核心编程
 https://securitycafe.ro/?s=shellcode+development

0x02 加壳

原理：原程序最开始运行的一段代码是原始入口点，加壳之后只要先把壳代码运行再跳转到入口点，原程序依然正常运行。而在壳代码中就可以对原程序进行加解密等操作。

目的：使反汇编和反编译变得尽可能复杂，“反”出来结果尽可能无意义，甚至根本就“反”不出来。

结果：静态反汇编的代码无意义，需要动态分析。

壳的分类：
1.压缩壳
2.加密壳
3.虚拟机壳

加壳后的区别：

入口点不同
区段名会变
区段大小会变

在32位系统下，操作系统给每一个应用程序都分配了4gb的存储空间（虚拟存储空间），仅仅是exe就不需要考虑这个问
题，但是很多exe会加载动态链接库（.dll）

exe基址：

dll基址：

为什么是需要重定位：
1、对与exe，exe首先会加载到内存，每个文件总是使用独立的虚拟内存空间，这就意味着exe文件就不需要考虑基址重定位的问题
2、对于dll，在一个4gb虚拟内存里有多个dll，不能保证每次都加载到同样的位置，存在被其他dll占用的问题
3、对于系统的dll，实际上不会发生重定位

随机基址(alsr)

恶意代码bypass alsr、bypass dep等等，windows vista之后才有的机制（原因：针对缓冲区溢出的保护机制，从NT6.0开
始使用）

windows7上：程序重启就能随机基址，基址会变化
windows10：重启的系统，基址会变化

开启条件：程序（vs中可以查看）+操作系统（windows7之后）

exe程序开启alsr和没有开启有什么区别？（都能执行）

1、区段数量不一样