用c语言手搓shellcode

手搓shellcode

为什么要用c语言搓个shellcode出来，为什么不用msfvenom？因为这玩意生成的shellcode是基于winsocket的，注进去还要启动个监听，我仅仅想要验证一下可行性而已，不如自己搓个弹出messagebox版本的shellcode
环境

windows 11，amd64， 编译器用的x64 Native Tools Command Prompt for VS 2022（MSVC）
原理

要写一个能在 Windows 上的 Shellcode，最大的挑战在于 PIC（Position Independent Code，位置无关代码）。你不能硬编码 API 的地址（因为重启或不同机器上地址会变），也不能直接引用数据段的字符串和全局变量，全局变量依赖重定位表，Shellcode 没有这东西。所有数据必须在栈（Stack）上。更不能用库函数，因为代码没有导入表（IAT）。
我们以 弹出MessageBox为例，需要解决四个主要问题：

• 找到 kernel32.dll 的基地址
  
• 在 kernel32 中找到 GetProcAddress 和 LoadLibraryA 的地址
  
• 使用 LoadLibraryA 加载 user32.dll（MessageBox 在这里面）
  
• 解析出 MessageBoxA 的地址并调用
  

1.找 kernel32.dll 的基地址

我们利用 TEB (Thread Environment Block) 和 PEB (Process Environment Block) 来查找。
_WIN64 和 32 位使用不同的寄存器：64 位：gs:[0x60]32 位：fs:[0x30]
获取 PEB后，找到peb下的Ldr，再获取InMemoryOrderModuleList。链表顺序通常是: .exe -> ntdll.dll -> kernel32.dll. LDR_DATA_TABLE_ENTRY 结构体比较复杂，但在 InMemoryOrderLinks 偏移处    DllBase 通常在 entry 之后特定的偏移位置。  可以利用CONTAINING_RECORD的技巧或者直接偏移计算。

1. HMODULE GetKernel32() {
2. #ifdef _WIN64
3.     PEB *peb = (PEB*)__readgsqword(0x60);
4. #else
5.     PEB *peb = (PEB*)__readfsdword(0x30);
6. #endif
8.     PEB_LDR_DATA *ldr = peb->Ldr;
10.     LIST_ENTRY *head = &ldr->InMemoryOrderModuleList;
11.     LIST_ENTRY *entry = head->Flink;
13.     entry = entry->Flink;
14.     entry = entry->Flink;
15.    
16.     LDR_DATA_TABLE_ENTRY *ldrEntry = CONTAINING_RECORD(entry, LDR_DATA_TABLE_ENTRY, InMemoryOrderLinks);
17.     return (HMODULE)ldrEntry->DllBase;
18. }

复制代码

2.手动解析导出表

获取 DOS Header 和 NT Header。从 OptionalHeader.DataDirectory 获取导出表 RVA。然后获取三个主要数组的地址（addressOfFunctions、addressOfNames、addressOfNameOrdinals），遍历 AddressOfNames 找函数名。使用 ordinals 和 AddressOfFunctions 得到函数实际地址。
其实就是等价于 Windows API 的 GetProcAddress，但是自己实现了，不依赖任何导入表。

1. FARPROC MyGetProcAddress(HMODULE hModule, const char *lpProcName) {
2.     PIMAGE_DOS_HEADER dos = (PIMAGE_DOS_HEADER)hModule;
3.     PIMAGE_NT_HEADERS nt = (PIMAGE_NT_HEADERS)((BYTE*)hModule + dos->e_lfanew);
5.     DWORD exportDirRVA = nt->OptionalHeader.DataDirectory[IMAGE_DIRECTORY_ENTRY_EXPORT].VirtualAddress;
6.     if (exportDirRVA == 0) return NULL;
8.     PIMAGE_EXPORT_DIRECTORY exportDir = (PIMAGE_EXPORT_DIRECTORY)((BYTE*)hModule + exportDirRVA);
10.     DWORD *names = (DWORD*)((BYTE*)hModule + exportDir->AddressOfNames);
11.     WORD *ordinals = (WORD*)((BYTE*)hModule + exportDir->AddressOfNameOrdinals);
12.     DWORD *funcs = (DWORD*)((BYTE*)hModule + exportDir->AddressOfFunctions);
14.     for (DWORD i = 0; i < exportDir->NumberOfNames; i++) {
15.         char *name = (char*)((BYTE*)hModule + names[i]);
17.         if (MyStrCmp(name, lpProcName) == 0) {
18.             WORD ordinal = ordinals[i];
19.             return (FARPROC)((BYTE*)hModule + funcs[ordinal]);
20.         }
21.     }
22.     return NULL;
23. }

复制代码

这里因为不能依赖库函数，所以 MyStrCmp是自己实现的

1. int MyStrCmp(const char *s1, const char *s2) {
2.     while (*s1 && (*s1 == *s2)) {
3.         s1++;
4.         s2++;
5.     }
6.     return *(const unsigned char*)s1 - *(const unsigned char*)s2;
7. }

复制代码

3.EntryPoint

首先函数名和 DLL 名手动写成 char 数组，避免直接引用字符串。获取 Kernel32 基址，再获取 GetProcAddress 函数指针、获取 LoadLibraryA 和 ExitProcess 函数指针，就可以加载 user32.dll， 获取 MessageBoxA 函数指针了

1. void EntryPoint() {
3.     char sLoadLib[] = {'L','o','a','d','L','i','b','r','a','r','y','A',0};
4.     char sGetProc[] = {'G','e','t','P','r','o','c','A','d','d','r','e','s','s',0};
5.     char sExit[]    = {'E','x','i','t','P','r','o','c','e','s','s',0};
6.     char sUser32[]  = {'u','s','e','r','3','2','.','d','l','l',0};
7.     char sMsgBox[]  = {'M','e','s','s','a','g','e','B','o','x','A',0};
8.     char sText[]    = {'H','e','l','l','o',' ','F','r','o','m',' ','C',0};
9.     char sTitle[]   = {'T','e','s','t','.',0};
12.     HMODULE hKernel32 = GetKernel32();
14.     P_GetProcAddress pGetProcAddress = (P_GetProcAddress)MyGetProcAddress(hKernel32, sGetProc);
16.     if (!pGetProcAddress) return;
18.     P_LoadLibraryA pLoadLibraryA = (P_LoadLibraryA)pGetProcAddress(hKernel32, sLoadLib);
19.     P_ExitProcess pExitProcess   = (P_ExitProcess)pGetProcAddress(hKernel32, sExit);
21.     HMODULE hUser32 = pLoadLibraryA(sUser32);
23.     P_MessageBoxA pMessageBoxA = (P_MessageBoxA)pGetProcAddress(hUser32, sMsgBox);
26.     if (pMessageBoxA) {
27.         pMessageBoxA(NULL, sText, sTitle, MB_OK);
28.     }
31.     if (pExitProcess) {
32.         pExitProcess(0);
33.     }
34. }

复制代码

编译

编译shellcode，这里建议开启O1优化把函数内联进去

1. cl.exe /c /nologo /Gy /O1 /GS- /Tc shellcode.c /Fo:shellcode.obj

复制代码

链接shellcode

1. link.exe /nologo /ENTRY:EntryPoint /SUBSYSTEM:WINDOWS /NODEFAULTLIB /ALIGN:16 /ORDER:@order.txt shellcode.obj /OUT:shellcode.exe

复制代码

注意这里因为shellcode必须要保证入口函数偏移为0，所以要指定函数的顺序（order.txt）
我采用的顺序如下：

1. EntryPoint
2. GetKernel32
3. MyGetProcAddress
4. MyStrCmp

复制代码

这里虽然error但是其实在用户态，shellcode.exe就已经可以执行了
然后把shellcode.exe的.text段抠出来，这里我们用python比较方便

1. import pefile
2. import os
4. def extract_shellcode(file_path, out_file="shellcode.bin"):
5.     try:
6.         pe = pefile.PE(file_path)
7.     except FileNotFoundError:
8.         print(f"Error: File '{file_path}' not found!")
9.         return
10.     except pefile.PEFormatError as e:
11.         print(f"Error: Invalid PE file: {e}")
12.         return
13.    
15.     shellcode = b""
16.     for section in pe.sections:
17.         if b".text" in section.Name:
18.             shellcode = section.get_data()
19.             break
20.             
21.     if not shellcode:
22.         print("Error: .text section not found!")
23.         return
24.    
25.     print(f"Shellcode Length: {len(shellcode)} bytes\n")
26.    
28.     c_array = ''.join(f"\\x{byte:02x}" for byte in shellcode)
29.     print(f"// C String Format:\n"{c_array}"")
30.    
32.     print("\n// Hex Format:")
33.     print(shellcode.hex())
34.    
36.     try:
37.         with open(out_file, "wb") as f:
38.             f.write(shellcode)
39.         print(f"\nShellcode written to '{out_file}'")
40.     except Exception as e:
41.         print(f"Error writing shellcode to file: {e}")
43. if __name__ == "__main__":
44.     exe_path = "shellcode.exe"
45.     out_path = "shellcode.bin"  
46.     extract_shellcode(exe_path, out_path)

复制代码

就得到了hex串
执行

然后简单写个加载器试试
[code]#include #include #include int main() {    unsigned char shellcode[] =         "";    void* exec_mem = VirtualAlloc(0, sizeof(shellcode), MEM_COMMIT | MEM_RESERVE, PAGE_READWRITE);    if (exec_mem == NULL) {        std::cerr

前排留名，哈哈哈