使用 MASM32 不起作用的小技巧

Question

我必须为一个安全项目编写一个 shellcode。只是为了培训，我想编写一个打开一个非常简单的 MessageBox 的 shellcode。下面是整个代码的摘录（这段代码只是调用了'LoadLibrary'和'ExitProcess'函数）：

.386
.model flat, stdcall
option casemap:none

include \masm32\include\windows.inc

.code

start:    
    jmp short GetLibrary

GetLibraryReturn:
    pop ecx                     ;recover 'user32.dllN'
    mov ebx, 758c4977h          ;recover LoadLibrary PTR
    push ecx                    ;push 'kernel.dll'
    call ebx                    ;invoke LoadLibrary

ender:
    push eax
    mov eax, 758c79b0h          ;ExitProcess
    call eax

GetLibrary:
    call GetLibraryReturn
    db 'user32.dll'
    db 00h

[...]

end start

如您所见，它非常简单。然而，你可以在代码的末尾，有以下说明：

db 00h

不幸的是，编译后，我在shellcode中间有一个操作码'00'。 为了解决这个问题，有一个像这样的解决方案：

.386
.model flat, stdcall
option casemap:none

include \masm32\include\windows.inc

.code

start:    
    jmp short GetLibrary

GetLibraryReturn:
    pop ecx                     ;recover 'user32.dllN'
    xor edx, edx                ;init EDX register
    mov [ecx + 10], dl          ;replace 'N' by 'NULL'
    mov ebx, 758c4977h          ;recover LoadLibrary PTR
    push ecx                    ;push 'kernel.dll'
    call ebx                    ;invoke LoadLibrary

ender:
    push eax
    mov eax, 758c79b0h          ;ExitProcess addr
    call eax                    ;invoke 'ExitProcess'

GetLibrary:
    call GetLibraryReturn
    db 'user32.dllN'            ;Push an additional character 'N'

end start

因此，微妙之处在于在“user32.dll”原始字符串的末尾添加另一个字符。接下来我们只需要用 NULL 替换它，将 edx 寄存器初始化为 0，并使用 8 位寄存器执行以下指令来替换“N”附加字符：

mov [ecx + 10], dl    ;'10' corresponds to the 'user32.dll' string length

如您所见，这两个版本应该执行相同的操作。只是生成的代码经过修改。不幸的是，执行失败了，我不明白为什么。也许有一个关键字要添加到上面的表达式中。我尝试了几种组合，但编译失败。我真的迷路了。

非常感谢您的帮助。

Answer 1

代码段是不可写的，所以如果你在代码段中定义了一个字符串，默认情况下你不能写入它。您要么必须在数据段中声明它，要么必须修改代码段的权限才能对其进行写入。