3

我正在编写一个简单的 shellcode，它会调用execve()一个 ARM 平台（Raspberry PI 上的 Linux），并被execve. 根据文档：

int execve(const char *filename, char *const argv[], char *const envp[]);

execve("/bin/sh", {NULL}, {NULL});如果我打电话（从组装的角度来看），这对我来说完全不合适：

.data

.section .rodata

.command:
        .string "/bin/sh"

.text

.globl _start

_start: 
        mov r7, #11
        ldr r0, =.command
        eor r1, r1 @ temporarily forget about argv
        eor r2, r2 @ don't mind envp too
        svc #0

        mov r7, #1
        eor r0, r0
        svc #0

上面的程序集编译得很好，并在我的测试机器上运行时调用了一个 shell，它具有 true /bin/sh。但是，我所有的麻烦是，在特定的目标框上本身并没有/bin/shbusybox，而只有一个符号链接，需要我执行类似execve("/bin/busybox", {"/bin/busybox", "sh", NULL}, {NULL}).

至于我的理解，数组在内存中是连续的，所以我要做的就是以连续的方式在内存中分配字节，然后将指针提供给我认为是这样的“数组”的开头。考虑到这一点，我尝试了以下操作：

.data

.section .rodata

.command:
        .string "/bin/busybox"

.args:  
        .ascii "/bin/busybox\0"
        .ascii "sh\0"
        .ascii "\0"

.text

.globl _start

_start: 
        mov r7, #11
        ldr r0, =.command
        ldr r1, =.args
        eor r2, r2
        svc #0

        mov r7, #1
        eor r0, r0
        svc #0

但是没有成功。试图玩弄字节并创建一系列填充空字节以对齐到 4 个字节的字节，这也不起作用。如果.args标签看起来像这样：

.args:  
        .ascii "/bin/sh\0"
        .ascii "-c\0\0\0"
        .ascii "ls\0\0\0"
        .ascii "\0\0\0\0"

那么strace正在执行的程序如下：

$ strace ./shell
execve("./shell", ["./shell"], [/* 19 vars */]) = 0
dup2(0, 4)                              = 4
dup2(1, 4)                              = 4
dup2(2, 4)                              = 4
execve("/bin/sh", [0x6e69622f, 0x68732f, 0x632d, 0x736c00], [/* 0 vars */]) = -1 EFAULT (Bad address)
exit(0)                                 = ?
+++ exited with 0 +++

（尝试/bin/sh -c ls在编码之前先在测试机器上执行/bin/busybox sh）。

我运行了一个类似的 C 程序，然后对其进行调试以查看它是如何完成的。看起来传递给的位置r1包含一堆指向字符串的指针，然后自然是 0x00：

(gdb) x/4xw 0xbefff764
0xbefff764:     0x000105d0      0x000105d8      0x000105dc      0x00000000

... snip ...

(gdb) p argv
$3 = {0x105d0 "/bin/sh", 0x105d8 "-c", 0x105dc "ls", 0x0}

问题 既然我弄清楚了内存是如何布局的，那么如何在汇编中准备这样的布局并正确地将第二个参数传递给execve()ARM 汇编语言中的“数组”？

4

2 回答 2

6

天哪，我刚想出这个......几个小时的摆弄，然后在发布我自己的问题后 2 分钟，一个答案击中了我......橡皮鸭调试工作。

.data

.section .rodata

command:
        .string "/bin/sh"

arg0:  
        .string "/bin/sh"

arg1:  
        .string "-c"

arg2:  
        .string "ls"

args:  
        .word arg0
        .word arg1
        .word arg2
        .word 0

.text

.globl _start

_start: 
        mov r7, #11
        ldr r0, =command
        ldr r1, =args
        eor r2, r2
        svc #0

        mov r7, #1
        eor r0, r0
        svc #0
于 2015-05-25T11:07:27.557 回答
1

您可以使用堆栈指针来传递参数。程序启动时，第一个参数 (arg[1]) 将在 sp+8 中。

外壳.s：

    .text
    .globl _start
    _start: 
        .code 32
            add r3,pc,#1
            bx r3
        .code 16
            ldr r0, [sp, #8] @ load argv[1] to r0
            add r1, sp, #8   @ set &argv[1] to r1
            eor r2, r2       @ set NULL to r2
            mov r7, #11
            svc #1

此代码与下一个 c 代码相同：

#include <unistd.h>

int main(int argc, char *argv[])
{
    execve(argv[1], &argv[1], NULL);
    return 0;
}

第三个参数是envp，可以设置为NULL。

启动 /bin/sh：

shell /bin/sh

我希望这可以帮助别人

于 2019-11-30T22:16:50.157 回答