首页
论坛
课程
招聘
[原创]便捷稳定的 Shellcode 生成框架(windows)
2022-3-19 14:19 13809

[原创]便捷稳定的 Shellcode 生成框架(windows)

2022-3-19 14:19
13809

Shellcode 生成框架

shellcode-factory
dwm-screen-shot

一个简单shellcode生成框架,使用后可以变得开心。(开发中...)

dwm截屏演示分为 payload 与 exe 分别位于两个项目中,欢迎 star

shellcode特点

位置无关,在执行或注入前无需进行任何额外的处理。

简洁小巧,可以轻松的在不同的功能中实现通用的功能。

更新

  • 加入了DWM屏幕截图 demo exe请查看 dwm-screen-shot
  • 更新了一些bug 现在框架能作为生产工具安全使用

使用方法

1
2
3
4
5
6
7
8
9
10
11
12
13
14
// 确保你已经安装了VS2019或以上 Make sure u have installed Visual Studio 2019 or later version
// 打开PowerShell并进入一个为项目准备的文件夹,依次输入以下命令, Enter the following commands in PowerShell
 
> git clone https://github.com/lainswork/shellcode-factory.git
 
> cd shellcode-factory
 
> devenv shellcode-factory.sln /build "Debug|x64" /Project shellcode-generator
 
> cd ./x64/Debug
 
> .\shellcode-generator
 
// 现在你得到了 ./x64/Debug/payload.hpp     Now, u get ./x64/Debug/payload.hpp

MessageBox演示

 

image

dwm截屏演示

 

https://user-images.githubusercontent.com/46841563/159622629-b337380b-7ca2-4f3a-b043-d278be75a08f.mp4

起因与经过

21年中旬朋友在windows的dwm进程中发现一段异常执行的 "恶意代码",
在使用ida进行简单分析后得出结论:“该代码在dwm中 hook 相关渲染函数,恶意截取用户桌面画面”。
这段代码的来源指向了一款曾在2017年爆火网络的多人射击游戏,我们猜测其目的为:“截取用户游戏画面以判断用户是否在作弊”。
该shellcode引起了我的兴趣,它大概有如下特点:
| data types | ranges |
| ------- | ------- |
| .api | 0x0000 - 0x1D00 |
| .text | 0x1D00 - 0x2100 |
| .data | 0x2100 - 0x5000 |

 

在这个shellcode中,存在一些只会被链接进exe的清单文件,我猜测:“该shellcode的开发者先使用编译器编译并链接了一个不带crt的exe
之后对该exe进行加壳,最后使用exe to shellcode类的工具生成该代码。”

反思

类似的 shellcode 的生成过程似乎不是很可靠 (将无意义的清单文件留存在shellcode中与我们编写shellcode的目的相背离),好奇心驱使下,我搜寻了 windows 下 的 shellcode 编写方法,结果不如人意。
有的人使用dll to shellcode框架或工具
有的人直接在c++代码中写下两个“标记函数”,之后将两个“标记函数”地址之间的bytes复制出来。
下面是一些常见的框架:

 

Cobalt Strike 生成 shellcode

 

MSVC 配合 Get-PEHeader生成shellcode

 

Win PE系列之导出表解析与ShellCode的编写及应用

 

基于C++的shellcode框架

 

我的目标是建立一个可以满足如下条件的shellcode生成框架:

  • 不要让我用二进制编辑器来手动提取bytes
  • 它应该有扩展的可能性
  • 生成的shellcode应该与位置无关,在使用时只需要进行: 映射-执行
  • 要能使用全局变量(静态变量),因为我们可能使用静态字符串
  • 尽可能的支持新的c++标准

我们可以选择从编译链接入手,但是徒手撸编译器太难了,撸个小链接器却很容易

1
2
3
4
5
1.不要让我用二进制编辑器来手动提取bytes
2.它应该有扩展的可能性
3.生成的shellcode应该与位置无关,在使用时只需要进行: 映射-执行
4.要能使用全局变量(静态变量),因为我们可能使用静态字符串
5.尽可能的支持新的c++标准

原理

coff

coff全称 通用对象文件格式(Common Object File Format),我们常用的PE(exe,dll,sys,lib,obj)文件都属于coff,但我们这里要说的,是lib。
当我们在VS中将编译目标设置为lib时,.lib文件其实是个.obj文件的文件包,其中包含了你编译的所有.obj文件(也就是我们c++源代码.cpp所编译后的文件)。

obj

.obj是 coff的一种,obj文件中包含我们编写的源代码编译后的字节码,其中包含了极其详细的符号信息:每个函数的名称、函数的字节码、静态数据的字节码、重定位信息、等等。

shellcode 链接方法

其实我们要做的事情很简单,将所有bytes从obj中提取出来,对相对寻址进行重定位就可以生成我们要的shellcode

payload 代码

使用 SC_EXPORT 标志公开函数

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
SC_EXPORT
DWORD ShellCodeEntryPoint(LPVOID lpParameter) {
    CHAR buf[256] = {0};
    LI_FN(sprintf)(buf, xorstr_( "函数%s 线程参数0x%p"), __FUNCDNAME__, lpParameter);
    LI_FN(MessageBoxA)(HWND(0), buf, xorstr_("来自shellcode的展示"), MB_OK);
    return 0;
}
 
SC_EXPORT
DWORD ShellCodeEntryPoint2(LPVOID lpParameter) {
    CHAR buf[256] = {0};
    LI_FN(sprintf)(buf, xorstr_("函数%s 线程参数0x%p"), __FUNCDNAME__, lpParameter);
    LI_FN(MessageBoxA)(HWND(0), buf, xorstr_("来自shellcode的展示"), MB_OK);
    return 0;
}
 
SC_EXPORT
DWORD ShellCodeEntryPoint3(LPVOID lpParameter) {
    CHAR buf[256] = {0};
    LI_FN(sprintf)(buf,xorstr_( "函数%s 线程参数0x%p"), __FUNCDNAME__, lpParameter);
    LI_FN(MessageBoxA)(HWND(0), buf, xorstr_("来自shellcode的展示"), MB_OK);
    return 0;
}

使用 SC_EXPORT_DATA 公开全局变量 不要在 .h 中使用SC_EXPORT_DATA

1
SC_EXPORT_DATA(int, Xxxx)

使用内嵌函数 内嵌函数的具体规则请自己查询,

1
2
3
4
5
6
7
8
9
10
11
12
13
//使用内嵌函数 这个东西只在本cpp起作用,不要写在.h里面 写在每个cpp的最开头部分
extern "C" {
#pragma function(memset)
void *__cdecl memset(void *dest, int value, size_t num) {
    __stosb(static_cast<unsigned char *>(dest), static_cast<unsigned char>(value), num);
    return dest;
}
#pragma function(memcpy)
void *__cdecl memcpy(void *dest, const void *src, size_t num) {
    __movsb(static_cast<unsigned char *>(dest), static_cast<const unsigned char *>(src), num);
    return dest;
}
}
你可以在 payload 中做什么:
  • 使用新标准的c++代码,包括但不限于初始化列表、Lamda表达式、模板函数

  • 使用多个.cpp文件,这代表你可以将不同的代码写在不同的cpp中

  • 使用字符串、全局变量、导出全局变量相对shellcode的偏移

  • 使用面向对象与C++ STL模板

  • 使用开源库xorstr ,加密常量字符串

你无法在 payload 中使用什么:
  • 不要使用全局初始化,因为shellcode不能进行 CRT init

  • 无法直接调用 系统API(这将在本框架优化后解决),暂时的调用api方法是 使用lazy_importer

  • 无法使用 __declspec(thread) Tls线程局部储存关键字(但可以使用windows apiTlsAlloc TlsSetValue TlsGetValue)来解决

  • 异常 try catch (没啥用,请忽略)

  • SDL检查(没啥用,请忽略)

  • 基本运行时检查(没啥用,请忽略)

依赖

  • lazy_importer

    优势

  • 开启C++优化 /O1
  • 开发方便

    缺陷:

    该框架只支持 X64

    原因是目前没有好办法解决x86下的.data数据重定位问题,在x86下.data数据重定位类型为IMAGE_REL_I386_DIR32,意为"RVA 绝对虚拟地址"
    但是假如你不在代码中使用静态字符串或者全局变量,你仍然可以使用x86编译 shellcode-payload.lib,并用 x86 shellcode-generator.exe生成相应的代码

对x86的支持,后面可能会通过硬编码插入来解决

Todo:

修改api导入策略,摆脱lazy_importer,实现可以在payload中直接使用api函数和crt函数的方法。

 

实现链接时混淆和虚拟化,这样我们可以将shellcode-generator(链接生成器)作为服务器功能,将payload.lib储存于服务器,每次执行shellcode获取都会生成完全不同的代码。(这个比较困难)

 


看雪2022 KCTF 秋季赛 防守篇规则,征题截止日期11月12日!(iPhone 14等你拿!)

最后于 2022-3-23 12:58 被lainswork编辑 ,原因:
收藏
点赞9
打赏
分享
最新回复 (18)
雪    币: 11840
活跃值: 活跃值 (6491)
能力值: ( LV9,RANK:270 )
在线值:
发帖
回帖
粉丝
hzqst 活跃值 3 2022-3-20 21:45
2
1
草,到底谁是恶意代码
雪    币: 2633
活跃值: 活跃值 (3626)
能力值: ( LV8,RANK:120 )
在线值:
发帖
回帖
粉丝
badboyl 活跃值 2 2022-3-20 22:31
3
0
hzqst 草,到底谁是恶意代码
大黄牛出没
雪    币: 202
活跃值: 活跃值 (245)
能力值: ( LV4,RANK:41 )
在线值:
发帖
回帖
粉丝
4
1

我上个月写了个类似的,不过没有用coff,用的elf格式,在windows下clang生成obj文件(linux一样), 然后解析一下处理导入导出,函数等,重定位可以参考elf32/64的重定位,解决完后按照PE的格式写导入导出表,或者自己定义格式, 把加载器自己编译一下自己就可以形成加载shellcode了, 再带上新的文件就可以想怎么加载就怎么加载

这样可以支持全局变量,未知函数(类似脚本函数导入),IAT导入,导出
不支持异常。

和你的思路很像,不过我没有用lib,只考虑了coff,coff加载可以参考 https://github.com/serge1/COFFI
不过我也没有采用coff,没elf解析爽

重定位32位可以采用模拟加载地址为0x0, 然后计算一下形成类似PE的重定位表,加载的时候写入就可以了。


函数导出可以采用static和非static来分别导出,或者使用clang的属性来分辨

最后于 2022-3-21 09:29 被wx_卖女孩的小火柴_588616编辑 ,原因:
雪    币: 3513
活跃值: 活跃值 (1694)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
木志本柯 活跃值 2022-3-21 09:32
5
0
这段恶意代码有签名吗?
雪    币: 245
活跃值: 活跃值 (354)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
lainswork 活跃值 2022-3-22 14:54
6
0
wx_卖女孩的小火柴_588616 我上个月写了个类似的,不过没有用coff,用的elf格式,在windows下clang生成obj文件(linux一样),&nbsp;然后解析一下处理导入导出,函数等,重定位可以参考elf32/ ...
解析obj文件和解析lib文件是一样的,但解析lib相当于对obj的打包。之所以解析lib是因为方便后续加强为能链接多个lib的框架~~~ ,最终实现将带crt 的普通lib也链接进shellcode,最最后可以制造出一个完美的shellcode链接器以期实现对任何的不做特殊处理的C++代码进行链接。
32位下的重定位可能需要插入一些硬编码来完成。shellcode-factory的宗旨是在执行器执行时不需要做任何额外工作,包括重定位工作。否则就和写个pe链接器没区别了,那样还不如直接使用dll注入。
雪    币: 245
活跃值: 活跃值 (354)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
lainswork 活跃值 2022-3-22 14:55
7
0
木志本柯 这段恶意代码有签名吗?
你要把它加进黑名单数据库嘛?
雪    币: 245
活跃值: 活跃值 (354)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
lainswork 活跃值 2022-3-22 14:58
8
0
hzqst 草,到底谁是恶意代码
在不经用户同意下,将代码注入到系统关键进程,并截取用户屏幕画面。它不是恶意代码谁是恶意代码呢?
它的代码是可以看到你整个屏幕上的内容的,不止是游戏窗口。
不管你是看小视频、聊天、商业谈判、代码、还是不为人知的任何事,都会被一览无余~~~
雪    币: 214
活跃值: 活跃值 (1122)
能力值: ( LV3,RANK:20 )
在线值:
发帖
回帖
粉丝
劫局丶 活跃值 2022-3-22 15:26
9
0
善意注入,恶意截屏是吧
雪    币: 245
活跃值: 活跃值 (354)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
lainswork 活跃值 2022-3-22 18:29
10
0
劫局丶 善意注入,恶意截屏是吧
恶意注入恶意截屏
雪    币: 245
活跃值: 活跃值 (354)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
lainswork 活跃值 2022-3-22 18:36
11
0
劫局丶 善意注入,恶意截屏是吧

从去年开始,我在不作弊的情况下玩吃鸡会被不停封号,进游戏,几分钟后就会永久封禁。这种情况是随机出现的。但是毕竟PC上这么多开发工具,也不算是清白,也认了。最后帮我把网瘾戒掉了。
分析蓝洞截屏的时候发现吧,我发现照着蓝洞的反汇编代码写并不能完成截屏。最后我通过尝试其他版本PC发现,蓝洞的hook点是非全系统兼容的,个别版本的电脑不执行它的hook函数,就会封号。好家伙,合着蓝洞靠封号创收啊,RNM蓝洞,退钱!

最后于 2022-3-22 18:37 被lainswork编辑 ,原因:
雪    币: 214
活跃值: 活跃值 (1122)
能力值: ( LV3,RANK:20 )
在线值:
发帖
回帖
粉丝
劫局丶 活跃值 2022-3-23 13:26
12
0
lainswork 劫局丶 善意注入,恶意截屏是吧 从去年开始,我在不作弊的情况下玩吃鸡会被不停封号,进游戏,几分钟后就会永久封禁。这种情况是随机出现的。但是毕竟P ...
现在免费了,冲他
雪    币: 2165
活跃值: 活跃值 (1821)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
dearfuture 活跃值 2022-3-23 14:26
13
0
这两个项目都很有意思啊,牛逼
雪    币: 2723
活跃值: 活跃值 (1493)
能力值: ( LV12,RANK:293 )
在线值:
发帖
回帖
粉丝
KuCha128 活跃值 1 2022-3-24 16:52
14
0
mark
雪    币: 76
活跃值: 活跃值 (913)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
saloyun 活跃值 2022-3-29 15:31
15
0
X86编译不过额。。。
雪    币: 245
活跃值: 活跃值 (354)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
lainswork 活跃值 2022-3-29 19:53
16
0
saloyun X86编译不过额。。。
X86不能用,看ReadMe.md里写的
雪    币: 245
活跃值: 活跃值 (899)
能力值: ( LV7,RANK:110 )
在线值:
发帖
回帖
粉丝
zhenwo 活跃值 1 2022-3-30 22:01
17
0
貌似Twitter某大牛最近刚推的。
雪    币: 245
活跃值: 活跃值 (354)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
lainswork 活跃值 2022-4-1 09:18
18
0
zhenwo 貌似Twitter某大牛最近刚推的。
发链接瞅瞅
雪    币: 245
活跃值: 活跃值 (899)
能力值: ( LV7,RANK:110 )
在线值:
发帖
回帖
粉丝
zhenwo 活跃值 1 2022-4-2 17:04
19
0
lainswork 发链接瞅瞅
ShellcodeTemplate - An Easily Modifiable Shellcode Template For Windows X64/X86  点进去看了下,内容不一样,当时只看了下Twitter的小标题。
游客
登录 | 注册 方可回帖
返回