快捷導(dǎo)航

通過LyScript實(shí)現(xiàn)從文本中讀寫ShellCode

更新時(shí)間：2022年08月04日 09:23:34 作者：lyshark

LyScript 插件通過配合內(nèi)存讀寫，可實(shí)現(xiàn)對特定位置的ShellCode代碼的導(dǎo)出。本文將利用這一特性實(shí)現(xiàn)從文本中讀寫ShellCode，感興趣的可以了解一下

LyScript 插件通過配合內(nèi)存讀寫，可實(shí)現(xiàn)對特定位置的ShellCode代碼的導(dǎo)出，或者將一段存儲在文本中的ShellCode代碼插入到程序堆中，此功能可用于快速將自己編寫的ShellCode注入到目標(biāo)進(jìn)程中，以用于后續(xù)測試工作。

LyScript項(xiàng)目地址：https://github.com/lyshark/LyScript

將本地ShellCode注入到堆中: 第一種用法是將一個(gè)本地文本中的ShellCode代碼導(dǎo)入到堆中。

首先準(zhǔn)備一個(gè)文本文件，將生成的shellcode放入文件內(nèi)。

然后可以循環(huán)讀取文本，并逐個(gè)將shellcode注入到目標(biāo)堆空間中。

from LyScript32 import MyDebug

# 將shellcode讀入內(nèi)存
def read_shellcode(path):
    shellcode_list = []
    with open(path,"r",encoding="utf-8") as fp:
        for index in fp.readlines():
            shellcode_line = index.replace('"',"").replace(" ","").replace("\n","").replace(";","")
            for code in shellcode_line.split("\\x"):
                if code != "" and code != "\\n":
                    shellcode_list.append("0x" + code)
    return shellcode_list

if __name__ == "__main__":
    dbg = MyDebug()
    dbg.connect()

    # 開辟堆空間
    address = dbg.create_alloc(1024)
    print("開辟堆空間: {}".format(hex(address)))
    if address == False:
        exit()

    # 設(shè)置內(nèi)存可執(zhí)行屬性
    dbg.set_local_protect(address,32,1024)

    # 從文本中讀取shellcode
    shellcode = read_shellcode("d://shellcode.txt")

    # 循環(huán)寫入到內(nèi)存
    for code_byte in range(0,len(shellcode)):
        bytef = int(shellcode[code_byte],16)
        dbg.write_memory_byte(code_byte + address, bytef)

    # 設(shè)置EIP位置
    dbg.set_register("eip",address)
    
    input()
    dbg.delete_alloc(address)

    dbg.close()

執(zhí)行后，堆空間內(nèi)會自動填充。

如果把這個(gè)過程反過來，就是將特定位置的匯編代碼保存到本地。

from LyScript32 import MyDebug

# 將特定內(nèi)存保存到文本中
def write_shellcode(dbg,address,size,path):
    with open(path,"a+",encoding="utf-8") as fp:
        for index in range(0, size - 1):
            # 讀取機(jī)器碼
            read_code = dbg.read_memory_byte(address + index)

            if (index+1) % 16 == 0:
                print("\\x" + str(read_code))
                fp.write("\\x" + str(read_code) + "\n")
            else:
                print("\\x" + str(read_code),end="")
                fp.write("\\x" + str(read_code))

if __name__ == "__main__":
    dbg = MyDebug()
    dbg.connect()

    eip = dbg.get_register("eip")
    write_shellcode(dbg,eip,128,"d://lyshark.txt")
    dbg.close()

寫出后的文件如下：