将shellcode变成pe文件去执行的两种方法

Iam0x17

于 2020-12-08 16:32:05 发布

阅读量642

点赞数 2

分类专栏：其他

本文链接：https://blog.youkuaiyun.com/weixin_44001905/article/details/110876256

版权

其他专栏收录该内容

4 篇文章

订阅专栏

本文介绍了两种在Windows环境下执行shellcode的方法。对于小数据量的shellcode，可以将其转换为C代码数组，然后通过VirtualAlloc和memcpy在内存中执行。而对于大数据量的shellcode，可以通过加载资源并直接执行。这两种技术是逆向工程和安全研究中的常见实践。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

方法一

适用于shellcode的数据量很小的时候

先将shellcode转成c代码数组

在这里插入图片描述

转成C代码的数据

在这里插入图片描述

将数据拷贝到开辟的内存空间中执行

unsigned char buff[] = {}
void* exec = VirtualAlloc(0, sizeof(buff), MEM_COMMIT, PAGE_EXECUTE_READWRITE);
memcpy(exec, buff, sizeof(buff));
((void(*)())exec)();

方法二

适用于shellcode的数据量很大的时候

将shellcode添加到资源中，从资源中读取执行

//定位我们的自定义资源，这里因为我们是从本模块定位资源，所以将句柄简单地置为NULL即可
	HRSRC hRsrc = FindResource(NULL, MAKEINTRESOURCE(IDR_SHELLCODE1), "SHELLCODE");
	if (NULL == hRsrc)
		return FALSE;
	//获取资源的大小
	DWORD dwSize = SizeofResource(NULL, hRsrc);
	if (0 == dwSize)
		return FALSE;
	//加载资源
	HGLOBAL hGlobal = LoadResource(NULL, hRsrc);
	if (NULL == hGlobal)
		return FALSE;
	//锁定资源
	LPVOID pBuffer = LockResource(hGlobal);
	if (NULL == pBuffer)
		return FALSE;
	DWORD old;
	VirtualProtect(pBuffer, dwSize, PAGE_EXECUTE_READWRITE, &old);

	((void(*)())pBuffer)();