onlinedisassembler

https://onlinedisassembler.com 線上反彙編工具，類似於lda。功能比較單一。

Any.run 等平臺線上分析

1. 將shellcode儲存為檔案
2. 通過如下指令碼，轉換shellcode為char陣列

import binascii
filename = "C:\\Users\\liang\\Desktop\\工作相關\\樣本\\rdpscan\\rdpscan\\ssleay32.dll"
#filename = "C:\\Users\\liang\\Desktop\\payload"

shellcode = "{"
ctr = 1
maxlen = 15

for b in open(filename, "rb").read():
    shellcode += "0x" + str(binascii.hexlify(b.to_bytes(length=1, byteorder='big')))[2:4] + ","
    if ctr == maxlen:
        shellcode += "\n"
        ctr = 0
    ctr += 1
shellcode = shellcode[:-1] + "}"
print(shellcode)
 

1. 將結果複製到char shellcode處，並 通過如下vs程式載入shellcode

#include <windows.h>
#include <stdio.h>
#include <string.h>

#pragma comment(linker, "/section:.data,RWE")  

unsigned  char shellcode[] = 複製到這裡

typedef void(__stdcall* CODE) ();

int main()
{

    PVOID p = NULL;
    if ((p = VirtualAlloc(NULL, sizeof(shellcode), MEM_COMMIT | MEM_RESERVE, PAGE_EXECUTE_READWRITE)) == NULL)
        MessageBoxA(NULL, "申請記憶體失敗", "提醒", MB_OK);
    if (!(memcpy(p, shellcode, sizeof(shellcode))))
        MessageBoxA(NULL, "寫記憶體失敗", "提醒", MB_OK);

    CODE code = (CODE)p;

    code();
    return 0;
}
 

1. 設定c執行庫的靜態編譯，如圖設定，將執行庫設定為多執行緒/MT
   

2. 點選生成解決方案，將生成的exe上傳至Any.run去分析
   如圖，即可通過線上分析平臺去分析shellcode。簡單快捷
   

槽點主要有如下幾方面：

1. 一定要選擇靜態編譯c執行庫，因為Any.run 的執行庫可能會不全。以防萬一
2. shellcode不可以是\xFF 這類形式，必須是0xFF。因為前者屬於字串，後者屬於陣列。待分析的shellcode較大，超過65535位元組後，vs在編譯時會報錯 fatal error C1091: compiler limit: string exceeds 65535 bytes in length

scdbg

windows shellcode執行模擬器，模擬執行shellcode
對於簡單的shellcode 推薦使用此方法，模擬執行找到c2地址

使用文章以及介紹

https://isc.sans.edu/forums/diary/Analyzing+Encoded+Shellcode+with+scdbg/24134

優點

1. 支援debug shellcode
2. dum記憶體
3. 重定向tcp請求到其他機器，但是不支援urlopen等函式

缺點：

1. 功能較為單一，模擬執行不是很全。有時候可能執行不到某些流程。並且沒有實現部分dll的匯出函式

圖片

下載連結
http://sandsprite.com/CodeStuff/scdbg.zip

miasm

miasm是一個python llvm寫的逆向工程框架。

但是官方中提供了很多例子，我們可以直接利用官方提供的指令碼去完成很多工

miasm不僅僅支援pe檔案，還支援elf等，支援x86，arm，mips等架構

miasm功能不僅僅侷限於這些，還有很多好玩的功能，例如自動化脫殼等。參考

1. https://miasm.re/blog/index.html
2. https://github.com/cea-sec/miasm/

miasm 反編譯shellcode

使用graphviz 載入got檔案，獲得如下

同理 arm的選擇arm，mips選擇mips處理器型別

如果不像使用官方自帶，可以自己寫

沙箱中執行shellcode

記錄每步執行的各種暫存器的值

沙箱中執行可執行系統檔案

在知道系統架構的情況下 可以選擇相應系統架構的sandbox，執行shellcode，從而獲得更多資訊

可以支援自寫dll，方便hook，如圖，但是我沒寫

支援的系統架構如下

其他功能

1. 新增斷點

    # A breakpoint callback takes the jitter as first parameterdef dump(jitter):
        # Dump data ad address run_addr with a length of len(data)
        new_data = jitter.vm.get_mem(run_addr, len(data))
        # Save to disk
        open('/tmp/dump.bin', 'wb').write(new_data)
        # Stop execution
        return False

    # Register a callback to the breakpointmyjit.add_breakpoint(0x4000004b, dump)...myjit.cpu.EAX = 0x40000000myjit.init_run(run_addr)myjit.continue_run()
    

1. hook沙箱中系統函式和peb等和資料結構
   例如hook urlmon_URLDownloadToCacheFileW

    def urlmon_URLDownloadToCacheFileW(jitter):
        ret_ad, args = jitter.func_args_stdcall(["lpunkcaller",
                                                 "szurl",
                                                 "szfilename",
                                                 "ccfilename",
                                                 "reserved",
                                                 "pbsc"])
        url = jitter.get_str_unic(args.szurl)
        print "URL:", url
        jitter.set_str_unic(args.szfilename, "toto")
        jitter.func_ret_stdcall(ret_ad, 0)

注意 有時候程式呼叫沙箱沒有實現的api，則需要通過上述該方法自己實現一個
sandbox 預設只實現了以下幾個dll的匯出函式 ntdll.dll", "kernel32.dll", "user32.dll",
"ole32.dll", "urlmon.dll",
"ws2_32.dll", 'advapi32.dll', "psapi.dll"

1. 讀寫並修改系統可執行檔案
   例如pe檔案的修改，新增.text區段，修改pe檔案結構等。當然，也支援elf，mach-o檔案的修改等

import sys
from elfesteem import pe_init

# Get the shellcode
data = open(sys.argv[1]).read()
# Generate a PE
pe = pe_init.PE(wsize=32)
# Add a ".text" section containing the shellcode to the PE
s_text = pe.SHList.add_section(name=".text", addr=0x1000, data=data)
# Set the entrypoint to the shellcode's address
pe.Opthdr.AddressOfEntryPoint = s_text.addr
# Write the PE to "sc_pe.py"
open('sc_pe.exe', 'w').write(str(pe))

思維擴充套件

1. sandbox載入一個pe檔案
2. 在pe檔案中申請一段記憶體，存放shellcode
3. 修改eip到shellcode處
4. 執行

好處，可以結合pe檔案自動分析，分析處該shellcode的具體行為

OD載入shellcode

方法一

需要安裝Olly Advanced 外掛

1. 隨便load一個應用程式
2. Alt+m 開啟記憶體頁面，新增記憶體，如圖
   
3. 將shellcode複製進去
4. 設定新的eip

方法二

該方法靈活應用

如圖我們可以看出，載入shellcode的方式有以下幾個步驟

1. 呼叫virtualloc申請記憶體，屬性為可寫可執行。用來存放shellcode

2. 呼叫createprocess 執行shellcode

   注意，並不是一定通過createprocess去執行shellcode。也可以通過內聯彙編jmp，setThreadContext等方式去執行shellcode。理論上，只要可以修改eip，就可以執行shellcode

od中輸入命令 bp createprocess

等執行shellcode的時候，od會自動停在createprocess處，也就是shellcode開始執行的位置。如圖

相關推薦