在.text节中写入shellcode

原创已于 2024-04-02 00:52:16 修改 · 204 阅读

0 ·

CC 4.0 BY-SA版权

文章标签：

#c++ #c语言 #操作系统

于 2024-04-01 21:27:42 首次发布

文章描述了一个使用C++实现的函数，通过读取并操作Windows可执行文件的imageBuffer，修改程序的地址偏移，将shellcode插入到程序的入口点，以实现代码注入。作者通过实际操作展示了如何在内存中定位和修改代码，以及将修改后的imageBuffer保存回文件的过程。

/*个人是拉伸成imageBuffer写的所以更难计算，不过也当磨练自己了*/
BOOL test() {
	//&MessageBox = 750F10E0
	//读取到imagebuffer 并且套入Headers
	PVOID pFileBuffer =  FileToFileBuffer("C:\\Users\\12459\\Downloads\\1.exe");
	PVOID pImageBuffer = FileBufferToImageBuffer(pFileBuffer);
	PIMAGE_DOS_HEADER pDosHeader = pImageBuffer;
	PIMAGE_NT_HEADERS pNTHeader = (DWORD)pDosHeader + pDosHeader->e_lfanew;
	PIMAGE_FILE_HEADER pFileHeader = &pNTHeader->FileHeader;
	PIMAGE_OPTIONAL_HEADER pOptHeader = (DWORD)pFileHeader + sizeof(IMAGE_FILE_HEADER);
	PIMAGE_SECTION_HEADER pSecHeader = (DWORD)pOptHeader + pFileHeader->SizeOfOptionalHeader;
	//定位需要在内存种哪个位置写入
	PVOID pWritePosition = (DWORD)pImageBuffer +  pSecHeader->VirtualAddress +pSecHeader->Misc.VirtualSize;
	//改变OEP
	pOptHeader->AddressOfEntryPoint = (DWORD)pWritePosition - (DWORD)pImageBuffer;
	//写入shellcode E8后面应该是 MessageBoxA-(ImageBase + VA + VS + 9 + 5) | E9 EOP - (ImageBase + VA + VS + E + 5)
	/* 算了一堆最后发现不如拖进dbg让他帮忙算*/
	BYTE shellcode[] = { 0x6a,0x00,0x6a,0x00,0x6a,0x00,0x6a,0x00,0xe8,0xD9,0x42,0xcd,0x74,0xe9,0x12,0xc9,0xff,0xff };
	memcpy(pWritePosition, shellcode, sizeof(shellcode));
	//存盘
	pImageBuffer = ImageBufferToFileBuffer("C:\\Users\\12459\\Downloads\\111.exe", pImageBuffer);
	if (!pImageBuffer) {
		printf("fwrite failed\n");
		return FALSE;
	}
	free(pImageBuffer);
	return TRUE;
}