Muy buenas!

Tengo una pequeña duda, supongo que conceptual, con el siguiente código:

BITS 32
xor eax, eax
xor ecx, ecx
cdq
jmp short texto
code:
pop ebx
mov al, 11
int 0x80
texto:
call code
db '/bin/nc'
 

Se trata de usar la syscall execve y ejecutar el netcat que ya está instalado en la máquina. El resultado que me da ese código es el siguiente:

Sin embargo cuando ejecuto el mismo código con /bin/cp me devuelve lo correcto:
La única diferencia a ejecutar un simple cp es que donde pone "null", pone "cp". Tampoco entiendo este cambio...

Además, y por último, cuando ejecuto /bin/sh :

No se si ejecuta como debe... ya que después cuando hago un clear... ya véis lo que me devuelve... no lo entiendo 

A ver si alguien puede echarme una mano! Por cierto mi so es Debian 4.0 stable! Además, ejecuto el código con la utilidad llamada s-proc como podéis ver...

P.D.: Este mensaje ya lo he posteado en el apartado de programación general, pero ahí nadie me ha podido dar una respuesta! Y igual que yo, seguroq ue hay gente que no pasa por todas las secciones de este foro, así que lo posteo aquí por si hay alguien que no se pasa por ahí y puede echarme una mano. Además, se trata de ejecutar una shellcode ^^

Gracias a dios que has contestado, creía que ya nadie tendría piedad de mi 

El caso, me he leído todo el texto y la verdad es que me he quedado un poco parado. No lo acabo de entender. He visto que dependiendo de a versión del kernel, antes de la llamada a execve() algunos registros están a 0 y otros no. Y además como está la pila antes de su ejecución.

En cuanto a las modificaciones que me comentas, ya me imagino por que las dices. El:

push ebx
mov ecx, esp

Con el push ebx, metes la dirección que apunta a /bin/nc en la pila, y con el mov ecx, esp pones en ecx la dirección al último dato pusheado (o sea, pones la dirección donde se encuentra la dirección que apunta a /bin/nc). Y eso lo haces porqué como segundo parámetro del execve() le quieres pasar /bin/nc, o sea, execve("/bin/nc", "/bin/nc",0). Yo en cambio, lo que hago es un execve("/bin/nc",0,0).

No es eso lo que quieres hacer? Sin embargo, o no lo entiendo o no es correcto. No sería mejor poner el mov ecx, ebx justo después del pop ebx ???

El xor edx, edx que comentas, lo hago con la instrucción cdq.

El caso es que he probado tu código tal y como has dicho y me ha dado un buen core dumped  y si hago lo del mov ecx, ebx se queda "pensando" sin hacer nada.

Gracias de nuevo sirdarckcat, por cierto, eres tu el que está en el rànking de blind security? (sdc). Si es así, "felicidades" 

Si pues la idea es esa.. pero tienes que mandar un arreglo como segundo argumento, osea que sea
("/bin/nc",{"/bin/nc"},0)

Y pues si soy yo el de blindsec, pero ya me cayó mal jajaja ese reto de estegano era una mentada..

si los {} eran un array xD
aver sintaxis de javascript:

sys_execve("/bin/nc",["/bin/nc"],0x00);

1) No, si se pone un byte nulo despues de /bin/sh, mov byte [ebx], al mueve el byte nulo a "/", mov byte [ebx+1], al lo mueve a "b", mov byte [ebx+2], al a "i", etc..
2) Eso es por lo que ya te dije, que es un arreglo, y un arreglo apunta a N cantidad de direcciones que tienen las direcciones de M datos, en este caso tiene 1 direccion (ebx) que apunta a 1 dato (/bin/sh).

Saludos!!