c - 为什么我无法使用系统调用退出 shellcode？

Question

我尝试制作一个程序，在其中放入一些十六进制组装的程序集并运行它。使用像 int3 这样的简单指令它可以工作，但是当我尝试使用系统调用退出程序时它不起作用。我用rasm2

组装它

mov eax, 1
mov ebx, 12
int 0x80

然后将其作为参数./Programm b801000000bb0c000000cd80 1但我遇到了段错误。

这是我的代码:

#include <stdlib.h>
#include <unistd.h>
#include <stdio.h>
#include <string.h>
#include <sys/mman.h>

char *base16dec(char *b16str) {
  size_t stingrlength = strlen(b16str);
  char *decodedstr = malloc(stingrlength / 2);
  for (size_t i = 0; i < stingrlength; i += 2) {
    u_int8_t num = 0;
    char stringIn[3];
    stringIn[0] = b16str[i];
    stringIn[1] = b16str[i+1];
    stringIn[2] = 0;
    sscanf(stringIn, "%hhx", &num);
    decodedstr[i/2] = (char) num;
  }
  return decodedstr;
}

这将解码十六进制字符串

int main(int argc, char *argv[]) {
  char *dirstr = "XXXXXX";
  char dir[7];
  strcpy(dir, dirstr);
  int fd = mkstemp(dir);
  if (fd == -1) {
    dirstr = "/tmp/XXXXXX";
    char dir[12];
    strcpy(dir, dirstr);
    fd = mkstemp(dir);
  }
  unlink(dir);

这将创建存储程序集的 tmp 文件

  char *stringIn;
  if (argc == 2) {
    stringIn = malloc(strlen(argv[1]));
    strcpy(stringIn, argv[1]);
  } else if (argc == 3) {
    u_int8_t num = 0;
    sscanf(argv[2], "%hhu", &num);
    if (num == 1) {
      char *done = base16dec(argv[1]);
      stringIn = malloc(strlen(done));
      strcpy(stringIn, done);
    } else {
      stringIn = malloc(strlen(argv[1]));
      strcpy(stringIn, argv[1]);
    }
  } else {
    stringIn = malloc(1024);
    scanf("%s", stringIn);
    char *done = base16dec(stringIn);
    stringIn = malloc(strlen(done));
    strcpy(stringIn, done);
  }

这会解析输入并将其复制到stringIn

  ftruncate(fd, strlen(stringIn));
  u_int8_t *code = mmap(NULL, strlen(stringIn), PROT_READ | PROT_WRITE | PROT_EXEC, MAP_PRIVATE , fd, 0);

这会扩展 tmp 文件并使其可执行，并创建一个名为 code 的指针

  for (int i = 0; i < 1024; i++) {
    code[i] = (u_int8_t) stringIn[i];
  }

这会将汇编字节复制到code

  #if __x86_64__
  __asm__(
    "mov %0, %%rbx\n"
    "jmp *%%rbx"
    :
    : "g" (code)
    : "memory"
  );
  #elif __i386__
  __asm__(
    "mov %0, %%ebx\n"
    "jmp *%%ebx"
    :
    : "r" (code)
  );
  #else
  #endif

这会跳转到程序集

  return 0;
}

编辑:

我无法使用 gdb 调试 shellcode

我使用 64 位 Linux Mint

我尝试使用 strcpy 复制 0

Answer 1

由于这是一个 shellcode，所以不能有空字节。在您的代码中，您有 2 个带有立即数的 mov，这些立即数被填充为 32 位

mov eax, 1
mov ebx, 12

编码为 B801000000BB0C000000，当 C 遇到空字节时，它认为字符串已经结束，因此它仅最终复制部分指令，然后它执行垃圾。

相反，您需要使用:

xor eax, eax
inc eax
xor ebx, ebx
mov bl, 12

这将为系统调用提供您想要的值，并且不会编码为任何空字节。