shellcode 在作为单独代码单独运行和与 C++ 代码一起运行时调用不同的系统调用

Question

我有这样一个运行shell的代码：

BITS 64

global _start
_start:

  mov rax, 59

  jmp short file
  c1:
  pop rdi

  jmp short argv
  c2:
  pop rsi

  mov rdx, 0

  syscall

file:

  call c1
  db '/bin/sh',0

argv:

  call c2
  dq arg, 0

arg:

  db 'sh',0

以这种方式构建时它可以工作：

nasm -f elf64 shcode.asm
ld shcode.o -o shcode

Althougt，当我把它变成二进制形式时：

nasm -f bin shcode.asm

将其粘贴到以下 C++ 代码中：

int main(void)
{

  char kod[]="\xB8\x3B\x00\x00\x00\xEB\x0B\x5F\xEB\x15\x5E\xBA\x00\x00\x00\x00\x0F\x05\xE8\xF0\xFF\xFF\xFF\x2F\x62\x69\x6E\x2F\x73\x68\x00\xE8\xE6\xFF\xFF\xFF\x34\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x73\x68\x00";
  reinterpret_cast<void(*)()>(kod)();

  return 0;

}

使用 clang++ texp.cpp -o texp.e -Wl,-z,execstack 并执行，shell 没有运行。

运行后

strace ./texp.e

我看到了这样的东西（我用 ^C 停止了这个过程）：

syscall_0xffffffffffffffda(0x7ffc23e0a297, 0x7ffc23e0a2a4, 0, 0x4a0, 0x7fe1ff3039b0, 0x7fe1ff69b960) = -1 ENOSYS (Nie zaimplementowana funkcja)
syscall_0xffffffffffffffda(0x7ffc23e0a297, 0x7ffc23e0a2a4, 0, 0x4a0, 0x7fe1ff3039b0, 0x7fe1ff69b960) = -1 ENOSYS (Nie zaimplementowana funkcja)
.
.
.
syscall_0xffffffffffffffda(0x7ffc23e0a297, 0x7ffc23e0a2a4, 0, 0x4a0, 0x7fe1ff3039b0, 0x7fe1ff69b960) = -1 ENOSYS (Nie zaimplementowana funkcja)
^Csyscall_0xffffffffffffffda(0x7ffc23e0a297, 0x7ffc23e0a2a4, 0, 0x4a0,  0x7fe1ff3039b0, 0x7fe1ff69b960strace: Process 2806 detached
 <detached ...>

Nie zaimplementowana funkcja - 功能未实现

所以程序（又名 shellcode）可能正在运行不正确的系统调用。

Answer 1

在您的 C++ shellcode 调用程序中，strace 显示您的 execve 系统调用是

execve("/bin/sh", [0x34], NULL)         = -1 EFAULT (Bad address)

后面的syscall_0xffffffffffffffda(...) = -1 ENOSYS 来自无限循环，其中 RAX = -EFAULT 而不是 59，然后来自RAX=- ENOSYS（同样不是有效的电话号码）。此循环由您的 call/pop 创建。

---

大概是因为您从未链接的 .o 或 PIE 可执行文件中十六进制转储了 arg 的绝对地址，这就是您将 0x34 作为绝对地址的方式。

如果要从随机堆栈地址运行且没有重定位修复，那么在 shellcode 中嵌入绝对地址的整个方法显然不起作用。 dq arg, 0 与位置无关。

您至少需要使用指针自己构造argv 数组（通常使用push）。您也可以使用push imm32 来构造arg 本身。例如push 'shsh' / lea rax, [rsp+2].

或者最常见的技巧是利用特定于 Linux 的“功能”：您可以使用 xor esi,esi 传递 argv=NULL（而不是指向 NULL 指针的指针）。

(使用 mov reg,0 完全违背了 jmp/call/pop 技巧避免零字节的目的。如果允许零字节，你最好使用普通的 RIP-relative LEA。但如果不是，你可以跳转转发数据，然后使用带有负位移的 RIP 相对 LEA。）