سؤال حول Shell Code

المقصود بعد قراءة الكود هو معرفة عنوان برنامج فى الذاكرة وذلك حسب عمل المعالج الذى يقوم بتخزين عنوان الرجوع من التعليمة والذى يتم سحبة بعد تعليمة return وهذا لمعرفة عنوان برنامج الحقيقى حيث العناوين التى تستخدمها فى البرمجة يتم استبدالها مع كل مرة يتم فيها تحميل البرنامج فى الذاكرة

هذا ما فهمته من الكود لعل الاخوة هنا لهم رأى اخر

- عند تنفيذ الشل كود فأين يتم حقنه ؟

في المكدس .

- كيف تعرف عنوان الجزء الذي تم حقن الكود فيه من المكدس ؟

عن طريق استخدام call/pop :

L14 : call L15
L15 : pop eax
now eax = address of L15

السلام عليكم

شكرا للاخوة علي الرد

لكن براحة علي شوي

لان فهمي بطيئ شوي

انا اشكاليتي في نفطة البداية لمادا

نبحث عن عنوان تنفيد الشكل كود

????

يعني هل هدا يطابق عملنا في ثغرات

buffer over flow

في ايجاد عنوان العودة من اجل نقل التحكم للشل مود الخاص بنا

يعني ان هده طريق من طرق ايجاد بداية الشكل كود ام انا غلطان

اما بنسبة للكود هدا فهو لي محيرني

L14 :call L15
L15 : pop eax

انا اعرف انه عند استدعاء دالة يتم الدفع

بعنوان العودة الي المدكس

ونستطيع الحصول عليه

بتعليمة

pop

لكن

الدالة المقابلة ل

L15

مادا ستكون هل دالة وفقط ام دالة محددة

ارجو ان تتحملوا اسئلتي

وشكرا

عند تنفيذ التعليمة call يتم دفع قيمة العودة الى المكدس وهي العنوان الذي يلي التعليمة call مباشرة ، يعني لو call توجد عند العنوان 0x12005 و طول الـopcode للتعليمة call مثلا 5 بايت اذن عنوان العودة الذي سيتم دفعه هو 0x1200a .

الآن بعد تنفيذ التعليمة call مباشرة نقوم بسحب عنوان العودة الذي تم تخزينه في المكدس عن طريق التعليمة pop في احد المسجلات .

يتم استخدام هذا العنوان لمعرفة عنوان البداية للشل كود وذلك بغرض معرفة عناوين فرعية داخل الشل عن طريق الازاحة مثل عناوين نصوص معينة داخل الشل وهكذا .

اه يا عالم يا مخربة

احنا بنستخدم العناوين فى اشياء اخرى :D

السلام عليكم

شكرا شباب علي الردرود

لكن مازال عندي لبس والظاهر اني

مخربط مابين عناوين الاستفادة من الثغرات وعنواين كتابة شل كود

وحصيغ السؤال بطريقة اخري ويرب اكون قربت الصورة

التعليمات دي انا فاهم معنا البرمجي جيد من عودة العنوان وما الي دالك

لكن السؤال لمحيرني

هو هل هده العنواين هي نفسها عناوين الثغرات مثلا في

buffer over flow

عندما يحدث الفيض

في البفر اليا سنكتب فوق عنوان العودة

بعنوان الشل كود الخاص بنا ومن هنا ستكون الانطلاقة وبداية الشل كود

هل هدا التفسير هو مايحدث هنا ام لا

كبعا في هدا الكود

L14 :call L15
L15 : pop eax

ام ان العنواين هي لدوال نريد تحميلها من مكتبة

user32.dll

kernel32.dll

وغيرها

ارجووووووووووووكم حد يفهما هده اللخبطة

وشكرا

لم افهم صراحة :wacko:

انصحك ان تعيد قراءة بعض الدروس عن الموضوع ، ايضا حاول استخدام اسماء المصطلحات بدقّة اكثر .

حولت التعبير قدر الامكان بما استطيع من العربية

لمشكلتي والظاهر احنا الجزائرين عندنا مشكل في العربية

المهم

ساحاول البحث عن الموضوع

وادا وجدت اي مشاكل ساطرحها في نفس هدا الموضوع او في موضوع مستقل

شكرا

اقتباس

حولت التعبير قدر الامكان بما استطيع من العربية

لمشكلتي والظاهر احنا الجزائرين عندنا مشكل في العربية

؟؟

وما هى اللغة التى تتعاملون بها فى الجزائر ؟

الفرنسية

خصوصا المغتربين مثلنا

تعلمنا العربية باجتهادنا فقط

!!!!!!!!!!!!!!!

مصيبة

هل هناك جزائريين لا يعرفون العربية؟!!

انا اول مرة اسمع هذا الكلام

بخصوص سؤالك انا متأسف فأنا لست كراكر ليس لى فى موضوع الثغرات

ولغته مفهومة لكن ما تقصده هو الغير مفهوم

اخي

حريف برمجة

انا اقصد المغتربين

انا اعرف اناس حتي الفاتحة لا يعرف يقراها جيدا

اما عن الجزائرين المقيمن في الوطن فطبعا يتكلمون العربية

بالاظافة للغة الفرنسية لانها لغة رسمية

المعدرة للحروج عن الموضوع

السلام عليكم

اخوتي

حريف البرمجة

و

gamingmaster

بعد بحث في النت

وجد اخير جواب لتساؤلاتي وحبيت اشارك بها الاخوة

الامر كله يتعلق بتقسيم ملفات

.EXE

او ما يعرف اصطلاحا ب

PE

ولنكون اكثر دقة الامر يتعلق ب

The Import Table

وهو من اقسام

PE

طبعا ادا اسقطنا الفائدة من

Import Table

علي كتابتنا للشيل كود

نري باننا بحاجة اليه من اجل استيراد دوال لكي نكتب شيل كود مفيد فيه خواص تحكم مفيدة

فمثلا لو اردنا التعليمة التالية

FUNC()

الموجودة في

user32.dll

فنكتب كما يلي

L14 : call [L15]
L15 : jmp dword ptr ds:[L20]

حيث ان التعليمة

jmp dword ptr ds:[L20]

تعني القفز الي عنوان التعليمة

FUNC()

الموجودة في

user32.dll

ملاحظة

الامر ليس بهده البساطة طبعا وما شرحته هو ما فهمته من المقالة .

والامر يتعلقة بامور اعقد من دالك

مثلا معرفة عناوين المكاتب مثل

user32.dll,kernel32.dll

وارجو من الاخوة تصحيح ادا ماكان هنالك احطاء

شككككككككككككرا

توجد أكثر من طريقة للوصول إلي عناوين الدوال

البداية تكون من إتيان عنوان Kernel32

والمعظم يفضل الاستعانة ببنية PEB لإنها علي ما أتذكر الأقل حجما بين جميع الطرق

mov eax,fs:[30h]					; eax = PEB base
mov eax,[eax+0ch]		; eax = *Process Module info 
mov eax ,[eax+1ch]		; eax=  *first entry in module list
mov eax,[eax]			; get the value from the address
mov ebx,[eax+08h]		; ebx = kernel32 base address

وعند الوصول لعنوان Kernel32 يمكنك قراءته كما تقرأ صيغة ملف PE بصورة عادية جداا .. وتصل إلي جدول العناوين المصدرة EAT بالمكتبة

ومن ثم تحصل علي العناوين التي تريدها عن طريق مقارنة اسماء الدوال مثلا .. ويمكنك الاستعانة بعنواني LoadLibrary و GetProcAddress داخل المكتبة Kernel32 للوصول إلي عنوان أي وظيفة داخل مكتبة DLL واستخدامها.

شكرا

اخي

محمد الفايد علي الاظافة الجميلة

وكما قلت توجد طرق عدة لايجاد العناوين منها مكا دكرت

BEF process envirment  block
 SEH estructured exaption handling
 TOPSTACK

بنسبة للحجم

bef >>>>> 43 bytes

seh>>>>> 33 bytes

topstack>>> 25 bytes

43 بايت حجم كبير جداا علي 5 تعليمات أولية

64 A1 30 00 00 00 
8B 40 0C
8B 40 1C
8B 00
8B 58 08

إذا قمت بإدراجهم في OLLY ستجد الحجم تقريبا 17 بايت .. لكن يبقي حجم جسم الشيل كود نفسه

بأي حال وبـ Good Optimization لن يزيد طوله عن 70 بايت

الكود الدي عندي ويعمل حسب

BEF

يختلف قليلا عن الدي عندك

هدا هو

find_kernel32:
push esi
xor eax, eax
mov eax, fs:[eax+0x30]
test eax, eax
js find_kernel32_9x
find_kernel32_nt:
mov eax, [eax + 0x0c]
mov esi, [eax + 0x1c]
lodsd
mov eax, [eax + 0x8]
jmp find_kernel32_finished
find_kernel32_9x:
mov eax, [eax + 0x34]
lea eax, [eax + 0x7c]
mov eax, [eax + 0x3c]
find_kernel32_finished:
pop esi
ret

طبعا هو ل

95/98/ME/NT/2K/XP

Viva La NT

اخ محمود

هل عندك مراجع

في برمجة الشل كود في الوندوز

لانها شحيحة نوعا ما عكس ماهي في اللينكس

ملفاتت او مواقع متخصصة

شكرا علي التفاعل