Shellcode 与漏洞利用

外壳代码是一小段机器代码，执行时会完成某项操作，经典用途是生成一个命令行 Shell。控制 EIP 后，您会将执行过程重定向到它这一有效载荷。

它以原始字节（操作码）的形式编写，因此可以直接注入内存。

常见的有效载荷目标包括：

• 绑定 Shell：在受害者设备上开放一个监听端口。
• 反向 Shell：连接回攻击者（通过防火墙或 NAT 时效果更好）。
• 执行命令：运行单条命令，例如添加用户。

在真实的渗透测试中，反向 Shell 最为常见。

msfvenom 用于生成有效载荷。您需要指定有效载荷类型、监听地址和端口、输出格式，以及需要避开的坏字符。

-b 标志用于排除坏字符；-f 用于设置输出格式。

原始外壳代码通常包含坏字符（例如空字节）。编码器会转换有效载荷以避开这些字节，然后在前面加上一个解码存根，在运行时还原原始代码。

经典编码器是 x86/shikata_ga_nai。

经过编码的外壳代码会在运行前于内存中自行解码。这种自修改需要在栈上留出少量空间，这也是NOP 滑道和足够的缓冲区空间有帮助的原因之一。

有时您必须先调整 ESP，以免解码器破坏自身代码。

完整的漏洞利用缓冲区如下：

• 填充到偏移量。
• JMP ESP 返回地址。
• NOP 滑道。
• 经过编码的外壳代码。

将其发送到易受攻击的输入，执行过程就会进入您的有效载荷。

对于反向 Shell，您必须先在自己的计算机上进行监听，然后再触发漏洞利用。简单的 Netcat 监听器可以接收传入的连接。

对于分阶段载荷，请改用 Metasploit 的 multi/handler。

监听器准备就绪后，将构造好的缓冲区发送到目标。如果一切匹配，Shellcode 就会运行，您的监听器也会在受害主机上接收到一个 Shell。

现在，您可以使用易受攻击进程所拥有的权限执行命令。

如果失败，请检查以下常见原因：

• Shellcode 或返回地址中混入了坏字符。
• NOP 滑道太短。
• 解码器没有足够的栈空间（请调整 ESP）。
• 偏移量或字节序错误。

在调试器中进行有条理的调试可以定位问题。

启用 DEP 和 ASLR 后，栈上的普通 Shellcode 将无法执行。现代漏洞利用会使用面向返回的编程（ROP）串联现有的代码片段，并利用信息泄露来绕过 ASLR。

本课程讲授了这些高级技术所建立的基础。

载荷有两种形式。非分阶段载荷将完整的 Shellcode 包含在一个数据块中。分阶段载荷会发送一个很小的存根，由您的处理器下载其余内容。

分阶段载荷可以装入更小的缓冲区，但需要匹配的处理器（例如 Metasploit 的 multi/handler）来传送第二阶段。

回想一下，为什么 Shellcode 通常需要编码。

您已经完成了漏洞利用链：

• Shellcode 是载荷；反向 Shell 最为实用。
• 使用 msfvenom 生成并编码它，以避开坏字符。
• 组合填充数据 + JMP ESP + NOP 滑道 + Shellcode，启动监听器并触发漏洞利用。
• 现代目标需要使用 ROP 和信息泄露来绕过 DEP/ASLR。

您已经完成了《缓冲区溢出漏洞利用》课程。