shellcode 在两个循环而不是一个循环中执行

问题描述

我成功构建了我的 shellcode。

[BITS 64]

segment .text
    global _start

_start: jmp call

back:   lea rsi,[rsp]
    mov rdi,[rsi]
    xor rax,rax
    push rax
    lea rdx,[rsp]
    mov al,0x3b
    syscall
call:   call back
    db "/bin/sh",0

但是代码执行有一些神秘之处。我仍然无法弄清楚是什么问题，也许有人能够提供帮助。

当我使用radare2调试代码时，设置参数和系统调用的整个过程会执行两次。我不知道它有什么问题。寄存器、rip 等看起来不错。最后，shell 在第二个循环后弹出。但是对于在堆栈上执行它是一件很痛苦的事情，因为我的 /bin/sh 在第二个循环中搞砸了。

第一个系统调用返回-14（坏地址）

我已经尝试了一些代码变体和 RTFM。帮助

先谢谢你:)

解决方法

好吧，argv 数组格式错误。 您将该参数设置为堆栈上的一个地址，但没有放置空指针来终止它。

这是执行 _start 的第一条指令时的（下部）堆栈：

...
0
argN
...
arg0
argc <-- rsp

请注意，这些是您的程序的参数。另请注意，<-- 表示“指向”（或：包含的地址）。

当调用 back 时，堆栈为：

...
0
argN
...
arg0
count
ptr to shell path <-- rsp

在 lea 之后（顺便说一下，具有这种简单寻址模式的 lea 只是一个 mov）和 xor 之后，堆栈是：>

...
0
argN
...
arg0
count
ptr to shell path <-- rsp,rsi
                  rdi = ptr to shell path

然后就在 syscall 之前：

...
0
argN
...
arg0
count
ptr to shell path <-- rsi
                  rdi = ptr to shell path
0                 <-- rsp,rdx
            

然后 execve 将从 rdi（检查）读取可执行路径，从 envp（检查）读取 rdx，并从 argv rsi（失败）。
最后一个失败，因为 execve 将从 shell 的路径读取堆栈到第一个 0，但 count 不是一个有效的指针（它可能是 1）。

由于系统调用失败，执行失败到 call back，重复这些步骤，但这次来自前一次迭代的 0 将正确终止 argv：

...
0
argN
...
arg0
count
ptr to shell path
0
ptr to shell path <-- rsi
                  rdi = ptr to shell path
0                 <-- rsp,rdx

您可以：

• 什么都不做，保留这种方式作为调用 shell 的一种棘手方式（请注意，count 的某些值可能会被解释为有效指针，从而为 shell 提供一个参数）。
• 将 count 更改为零。您可以向上移动 xor eax,eax 并使用 mov [rsp+8],rax。只要您可以在 [rsp+8] 处书写，这在其他上下文中也适用。
• 自己推一个零。要么在寄存器中弹出返回地址，然后在推送零后推送它，要么使用 xchg 或类似的。
• 将 argv 和 envp 作为 NULL 传递（即将 rsi 和 rdx 清零）。在 Linux 上，这与您正在执行的操作具有相同的效果（传递带有单个空指针的数组）。
• 如果你想把你的程序参数传递给shell，你可以双击pop然后推送返回地址，或者弹出返回地址并使用mov覆盖count。