系统调用在 shellcode 中的使用

Question

我正在学习汇编，我编写了这个 shellcode，它应该可以在 Firefox 上打开 Google 主页。但是它什么也没做（甚至由于添加了我不明白的指令add %al,(%rax)而导致最后的段错误），我做对了吗？实际上，我什至不确定我是否正确编码了字符串。谢谢！

global _start

_start:
xor rax, rax
push rax

;https:////www.google.com
push 0x6d6f632e656c676f
push 0x6f672e7777772f2f
push 0x2f2f3a7370747468

mov rcx, rsp

push 0x786f66657269662f ; /firefox
push 0x6e69622f7273752f ; /usr/bin

mov rdi, rsp

push rax
push    rcx
push    rdi
mov     rsi, rsp

; execve
mov     al, 0x3b
syscall

我使用以下代码测试我的代码：

char code[] = \x48\x31\xc0\x50\x68\x6f\x67\x6c\x65\x68\x2f\x2f\x77\x77\x68\x68\x74\x74\x70\x48\x89\xe1\x68\x2f\x66\x69\x72\x68\x2f\x75\x73\x72\x48\x89\xe7\x50\x51\x57\x48\x89\xe6\xb0\x3b\x0f\x05
int main(int argc, char **argv){
   (*(void(*)()) code)();
   return 0;
}`

Answer 1

您错过了 firefox 路径上的空终止符。在 firefox 十六进制之前添加 push rax，就像使用 google.com 一样。

另外，为了确保不会因为缺少envp 变量（即随机的rdx）而崩溃，请在构造rsi 时添加此行

...
push    rax
mov     rdx, rsp # Add this to set rdx = [null]
push    rcx
...

这会将一个空数组通过rdx 寄存器传递给envp。

最后：通常push rax 是一种破解空值和换行符阻止字符串输入的方法。如果您只是在自己的 c 代码中调用它，您可以使用 push 0 而不是 push rax 并忘记最上面的一行 xor（使用 mov rax, 0x3b 进行系统调用）。您可以保持原样。这只是一个注释。