Linux 64 位 shellcode

Question

我正在尝试在我的 64 位 Ubuntu 上编写我的第一个“Hello world”shellcode，但它不起作用。

我有文件 hello.asm：

; 64-bit "Hello World!" in Linux NASM

global _start            ; global entry point export for ld

section .text
_start:

    ; sys_write(stdout, message, length)

    mov    rax, 1        ; sys_write
    mov    rdi, 1        ; stdout
    mov    rsi, message    ; message address
    mov    rdx, length    ; message string length
    syscall

    ; sys_exit(return_code)

    mov    rax, 60        ; sys_exit
    mov    rdi, 0        ; return 0 (success)
    syscall

section .data
    message: db 'Hello, world!',0x0A    ; message and newline
    length:    equ    $-message        ; NASM definition pseudo-instruction

我使用了这个命令：

nasm -felf64 hello.asm -o hello.o
ld -o hello hello.o
objdump -d hello

我将来自 objdump 的 shellcode 放入我的 C 程序中：

char code[] = "\xb8\x01\x00\x00\x00\xbf\x01\x00\x00\x00\x48\xbe\xd8\x00\x60\x00\x00\x00\x00\x00\xba\x0e\x00\x00\x00\x0f\x05\xb8\x3c\x00\x00\x00\xbf\x00\x00\x00\x00\x0f\x05";

int main(int argc, char **argv)
{
    int (*func)();
    func = (int (*)()) code;
    (int)(*func)();
    return 0;
}

并在 gcc 中编译它，但运行后出现“分段错误（核心转储）”。

我不知道我做错了什么。汇编代码似乎可以工作，因为当我运行 ./hello 时，它会打印“Hello world”。

Answer 1

您可以简单地使用nasm -felf64 编译并使用ld 链接。不需要gcc。我相信您偶然发现的问题是代码中的x86 样式equ $-message 计算。对于 x86_64，这是无效的。这是一个简单的例子：

section .data
    string1 db  0xa, "  Hello StackOverflow!!!", 0xa, 0xa, 0

section .text
    global _start

    _start:
        ; calculate the length of string
        mov     rdi, string1        ; string1 to destination index
        xor     rcx, rcx            ; zero rcx
        not     rcx                 ; set rcx = -1
        xor     al,al               ; zero the al register (initialize to NUL)
        cld                         ; clear the direction flag
        repnz   scasb               ; get the string length (dec rcx through NUL)
        not     rcx                 ; rev all bits of negative results in absolute value
        dec     rcx                 ; -1 to skip the null-terminator, ecx contains length
        mov     rdx, rcx            ; put length in rdx
        ; write string to stdout
        mov     rsi, string1        ; string1 to source index
        mov     rax, 1              ; set write to command
        mov     rdi,rax             ; set destination index to rax (stdout)
        syscall                     ; call kernel

        ; exit
        xor     rdi,rdi             ; zero rdi (rdi hold return value)
        mov     rax, 0x3c           ; set syscall number to 60 (0x3c hex)
        syscall                     ; call kernel

编译/输出

$ nasm -felf64 -o hello-stack_64.o hello-stack_64.asm
$ ld -o hello-stack_64 hello-stack_64.o
$ ./hello-stack_64

  Hello StackOverflow!!!

Answer 2

这里有两层问题。

1) char data[] = ... 将被放入数据段，不可执行。您需要 const char data[] = ... 以便将其放在文本段中。 （从技术上讲，它将在 只读数据 段中，可以标记为不可执行，但据我所知目前没有人这样做。）

2) 这是我反汇编data的内容得到的：

   0:   b8 01 00 00 00          mov    eax, 0x1
   5:   bf 01 00 00 00          mov    edi, 0x1
   a:   48 be d8 00 60 00 00    movabs rsi, 0x6000d8
  11:   00 00 00 
  14:   ba 0e 00 00 00          mov    edx, 0xe
  19:   0f 05                   syscall 
  1b:   b8 3c 00 00 00          mov    eax, 0x3c
  20:   bf 00 00 00 00          mov    edi, 0x0
  25:   0f 05                   syscall 

这就是我尝试运行它时得到的结果：

$ strace ./a.out
execve("./a.out", ["./a.out"], [/* 38 vars */]) = 0
write(1, 0x6000d8, 14)                  = -1 EFAULT (Bad address)
_exit(0)                                = ?
+++ exited with 0 +++

您可以看到这与您想要的相差不远那，但它显然不起作用，绝对地址0x6000d8 处没有任何内容。问题是您只将 code 放入data，而不是字符串。您需要将字符串紧跟在代码之后，并使用 PC 相对寻址来获取它。 nighter 的回答显示了这是如何完成的（在data 中可能不会出现\x00 字节的附加约束条件下，如果您实际上在这里利用典型的缓冲区溢出而不是仅仅使用机器语言，这将是必要的）。

Answer 3

如果您想将空字节注入缓冲区，最好删除空字节，但主要问题可能是数据段中有字符串？

我像这样重写它并让它工作。

    global _start
    _start:
    jmp short string

    code:
    pop rsi
    xor rax, rax
    mov al, 1
    mov rdi, rax
    mov rdx, rdi
    add rdx, 14
    syscall

    xor rax, rax
    add rax, 60
    xor rdi, rdi
    syscall

    string:
    call code
    db  'Hello, world!',0x0A

---

$ nasm -felf64 hello.asm -o hello.o
$ ld -s -o hello hello.o
$ for i in $(objdump -d hello |grep "^ " |cut -f2); do echo -n '\x'$i; done; echo
\xeb\x1e\x5e\x48\x31\xc0\xb0\x01\x48\x89\xc7\x48\x89\xfa\x48\x83\xc2\x0e\x0f\x05\x48\x31\xc0\x48\x83\xc0\x3c\x48\x31\xff\x0f\x05\xe8\xdd\xff\xff\xff\x48\x65\x6c\x6c\x6f\x2c\x20\x77\x6f\x72\x6c\x64\x21\x0a

---

char code[] = "\xeb\x1e\x5e\x48\x31\xc0\xb0\x01\x48\x89\xc7\x4\x89\xfa  \x48\x83\xc2\x0e\x0f\x05\x48\x31\xc0\x48\x83\xc0\x3c\x48\x31\xff\x0f\x05\xe8\xdd\xff\xff\xff\x48\x65\x6c\x6c\x6f\x2c\x20\x77\x6f\x72\x6c\x64\x21\x0a";

int main(int argc, char **argv)
{
    int (*func)();
    func = (int (*)()) code;
    (int)(*func)();
     return 0;
}

---

$ gcc -fno-stack-protector -z execstack -o code code.c    
$./code
Hello, world!

Answer 4

希望回答这个问题还为时不晚:)

您必须使用此代码编译您的 C 代码（禁用堆栈保护并使其可执行）：

gcc -fno-stack-protector -z execstack -o hello hello.c

祝你好运