如何编写一个shellcode

hellcode实际是一段代码（也可以是填充数据），是用来发送到服务器利用特定漏洞的代码，一般可以获取权限。另外，Shellcode一般是作为数据发送给受攻击服务的。 Shellcode是溢出程序和蠕虫病毒的核心，提到它自然就会和漏洞联想在一起，毕竟Shellcode只对没有打补丁的主机有用武之地。网络上数以万计带着漏洞顽强运行着的服务器给hacker和Vxer丰盛的晚餐。漏洞利用中最关键的是Shellcode的编写。由于漏洞发现者在漏洞发现之初并不会给出完整Shellcode，因此掌握Shellcode编写技术就显得尤为重要。

如下链接是shellcode编写的基础，仅供参考

http://blog.chinaunix.NET/uid-24917554-id-3506660.html

缓冲区溢出的shellcode很多了，这里重现下缓冲区溢出。

[cpp] view plain copy

int fun(char *shellcode)

{

char str[4]=""//这里定义4个字节

strcpy(str,shellcode)//这两个shellcode如果超过4个字节，就会导致缓冲区溢出

printf("%s",str)

return 1

}

shellcode，实际上是十六进制形式的机器语言，大家知道机器语言是二进制的，CPU只认识二进制，因为要被直接注入到内存中，没办法编译了，所以希望CPU可以执行，那就只能用机器代码了，一般用汇编语言写出程序，在从目标代码中提取出。十六进制和二进制是和容易转换的

Android下so注入是基于ptrace系统调用，因此要想学会android下的so注入，首先需要了解ptrace的用法。

ptrace用法可以参考博客：http://blog.sina.com.cn/s/blog_4ac74e9a0100n7w1.html，也可以在ubuntu下输入man ptrace命令，查看具体描述。

android中进程系统调用劫持可参考博客：http://www.kanxue.com/bbs/showthread.php?t=180461，这是一个android简单的ptrace监控远程进程监控调用的例子。

Android系统是基于Linux系统，在linux系统中可以通过ptrace系统调用实现进程注入。ptrace注入过程大致过程如下：

(1)基于shellcode加载

[1]编写shellcode，shellcode是使用汇编语言写一段汇编程序，该程序实现so库的加载、so库函数查找以及执行库中的函数。

[2]通过远程进程pid，ATTACH到远程进程。

[3]获取远程进程寄存器值，并保存，以便注入完成后恢复进程原有状态。

[4]获取远程进程系统调用mmap、dlopen、dlsym调用地址。

[5]调用远程进程mmap分配一段存储空间，并在空间中写入shellcode、so库路径以及函数调用参数。

[6]执行远程进程shellcode代码。

[7]恢复远程进程寄存器。

[8]detach远程进程。

基于shellcode注入可看雪古河大哥写的libInject,网址: http://bbs.pediy.com/showthread.php?t=141355

(2)直接加载

[1]通过远程进程pid，ATTACH到远程进程。

[2]获取远程进程寄存器值，并保存，以便注入完成后恢复进程原有状态。

[3]获取远程进程系统调用mmap、dlopen、dlsym调用地址。

[4]调用远程进程mmap分配一段存储空间，并在空间中写入so库路径以及函数调用参数。

[5]执行远程进程dlopen,加载so库。

[6]执行远程进程dlsym，获取so库中需要执行的函数地址。

[7]执行远程进程中的函数。

[7]恢复远程进程寄存器。

[8]DETACH远程进程。

目前android so注入的版本基本上都是基于古河大哥的libInject修改而来。关于so注入的项目，还可以参考洗大师的一个开源项目，网址：https://code.google.com/p/libandroidinjector/downloads/list。洗大师注入需要修改elf文件。

提供一个方便测试so注入成功与否的小测试库，代码如下：

1

2

3

4

5

6

7

8

9

10

11

12

13

#include <unstd.h>

#include <stdio.h>

#include <android/log.h>

#define LOG_TAG"test"

__attribute__((constructor))

void

inject

()

{

__android_log_print(ANDROID_LOG_DEBUG,LOG_TAG,"Hello,I

am injected.")

}

说明：若函数被设定为constructor属性，则该函数会在main()函数执行之前被自动的执行。因此，so注入测试中，只需注入以上代码编译的so库，无需调用注入so的相关函数，即可测试是否注入到远程进程。

---