|
Título: eliminar caracteres nulos de mi shellcode Publicado por: black_flowers en 25 Febrero 2011, 11:32 am por fin he conseguido hacer que funciona mi pequeño programa en assembler y ahora toca convertirlo en shellcode, pero todavía tengo caracteres nulos.
En este trozo por ejemplo: Código: ; ****************************************** la instrucción mov eax, fs:[30h] me la traduce en assembly como 64 A1 30 00 00 00 y el problema es claramente que el 30h lo traduce a 32 bits (en little endian) y por lo tanto rellena con ceros a la derecha. luego las instrucciones mov eax, [eax] que se utilizan para saltar a la siguiente dirección (o algo parecido), se traducen como 8b00. Y no se como puedo eliminar estos caracteres nulos. ¿alguna indea? ¿hay quizá algún programa que codifique la shellcode automaticamente sin caracteres nulos? un saludo. Título: Re: eliminar caracteres nulos de mi shellcode Publicado por: mr.blood en 25 Febrero 2011, 15:23 pm Utiliza AX en vez de EAX, asi solo envias lo justo y no tiene que rellenar nada. Creo que funcionara.
Sa1uDoS Título: Re: eliminar caracteres nulos de mi shellcode Publicado por: Garfield07 en 25 Febrero 2011, 21:39 pm No es exactamente eso. Si sólo modificas al puede que el registro te quede 0x42420000 o demás. Para lo que necesitas tienes que hacer una especie de typedef, traduciendo, indicarle al ensamblador cuántos bytes vás a meter...
P. Ej. Código Eso sería mejor, aunque no sé si es correcto :P Movería la dirección de 1 a eax. Suerte! Título: Re: eliminar caracteres nulos de mi shellcode Publicado por: mr.blood en 26 Febrero 2011, 12:02 pm No es exactamente eso. Si sólo modificas al puede que el registro te quede 0x42420000 o demás. Para lo que necesitas tienes que hacer una especie de typedef, traduciendo, indicarle al ensamblador cuántos bytes vás a meter... P. Ej. Código Eso sería mejor, aunque no sé si es correcto :P Movería la dirección de 1 a eax. Suerte! Si, pero en el registro te quedara 00000001, lo interesante no es que en el registro no te quede con 0, si no que EN LOS OPCODE'S NO SALGAN LOS 0, y si solo pones AX o AH o AL, depende de los bytes que vayas a meter pues en la shellcode deberia quedar JUSTO. Sa1uDoS ;). Título: Re: eliminar caracteres nulos de mi shellcode Publicado por: Garfield07 en 26 Febrero 2011, 12:40 pm Mr. Blood, si tengo en un registro 0x42424242 y modifico el AL por ejemplo con el valor 0x0000 me quedaría 0x42420000, lo cual daría errores.
Ahora, para eliminar bytes nulos debes indicar qué longitud tienen los bytes que vas a usar. No es lo mismo Código que Código Aproximadamente el valor sería Código: VALOR_DE_JMP 0x00 0x00 0x00 VALOR_DE_EAX Código: VALOR_DE_JMP VALOR_DE_EAX Suerte! PD: @Black flowers No, no existen programas mágicos :P Título: Re: eliminar caracteres nulos de mi shellcode Publicado por: SirPallic en 26 Febrero 2011, 19:09 pm Hola amigo, parece que estas dispuesto a usar el código que te proporcione. Sabía que ibas a tener problemas con fs. Como te dije en el otro post, te voy a dar otro código para el kernel. Yo lo usaba siempre en win98 y vi que también funciona en winXP. mov ebx, dword ptr[ebx+0ch] enter mov ebx, dword ptr[ebx+20h] enter mov ebx, dword ptr[ebx+8h]. El código va siempre antes que todo lo demás, sí no, se borra la dirección. Espero que te sirva (enter es salto de linea). Saludos. Agradece posteando un tutorial de tu shellcode.
Título: Re: eliminar caracteres nulos de mi shellcode Publicado por: lShadowl en 27 Febrero 2011, 00:33 am PD: @Black flowers No, no existen programas mágicos :P http://foro.elhacker.net/scripting/batch_codificador_de_shellcodes-t320624.0.html No es magico pero al menos le codifica la shellcode sin dejarle bytes nulos :). Saludos! Título: Re: eliminar caracteres nulos de mi shellcode Publicado por: Иōҳ en 2 Marzo 2011, 23:42 pm 00401000 > $ 99 CDQ
00401001 . 64:8B52 30 MOV EDX, DWORD PTR FS:[EDX+30] Salu2! Nox! Título: Re: eliminar caracteres nulos de mi shellcode Publicado por: black_flowers en 15 Marzo 2011, 16:49 pm 00401000 > $ 99 CDQ 00401001 . 64:8B52 30 MOV EDX, DWORD PTR FS:[EDX+30] Salu2! Nox! este me ha funcionado para ese caso pero para los otrosddos nulos no me ha funcionado nada: 0040100C . 8B00 MOV EAX,DWORD PTR DS:[EAX] 0040100E . 8B00 MOV EAX,DWORD PTR DS:[EAX] nose, cómo puedo quitar estos dos nulos? |