Такая задача весьма нетривиальная и занимательная.
Здесь есть несколько нюансов - в дочерний процесс надо писать шеллкод, а С++ и шеллкоды - вещи малосовместимые, поэтому шеллкод проще написать на асме, благо он короткий.
Само собой если писать 32-разрядный шеллкод, его надо внедрять в 32-разрядный процесс, для 64-разрядного- 64-разрядный процесс.
Собственно вот код:
| Код |
#include <Windows.h>
#pragma comment(linker,"/entry:main") // добавлено для более удобной отладки в OllyDbg
static int ReportError( const wchar_t* title )
{
const int buf_size = 1024;
wchar_t errorMsgBuf[buf_size];
FormatMessageW( FORMAT_MESSAGE_FROM_SYSTEM+FORMAT_MESSAGE_IGNORE_INSERTS,
NULL,GetLastError(),NULL,errorMsgBuf,buf_size,NULL );
MessageBoxW( 0,errorMsgBuf,title,0 );
return 0;
}
/***********************************************
;исходный текст шеллкода, удаляющего файл родительского процесса
;синтаксис - fasm
macro print_shellcode_dw_patch name { display "*(DWORD*)(shellcode+", ($-4)/10+'0', ($-4)mod 10+'0', ")=", name, ";",13,10 }
use32
;jmp $ ; debug!!!
mov eax,eax ; nodebug!!!
;получаем базу kernel32
mov eax, [fs:30h]
mov eax, [eax+0ch]
mov eax, [eax+1ch]
mov eax, [eax+0]
mov ebx, [eax+08h]
jmp loo
;---------------------------
back:
lea eax,[ebx+0xAAAAAAAA]
print_shellcode_dw_patch "rvaDeleteFileA"
call eax
test eax,eax
jz loo
;вызываем ExitProcess(0)
push 0
lea eax,[ebx+0xAAAAAAAA]
print_shellcode_dw_patch "rvaExitProcess"
call eax
;--------------------------
loo:
;вызываем Sleep(500)
push 500
lea eax,[ebx+0xAAAAAAAA]
print_shellcode_dw_patch "rvaSleep"
call eax
;вызываем DeleteFile("...")
call back
;тут будут байты пути к файлу
display "GetModuleFileNameA( 0, (char*)shellcode+", $/10+'0', $ mod 10+'0', ", MAX_PATH );",13,10
;...........
***********************************************/
unsigned char shellcode[61+MAX_PATH] = {
0x89, 0xC0, 0x64, 0xA1, 0x30, 0x00, 0x00, 0x00, 0x8B, 0x40, 0x0C, 0x8B, 0x40, 0x1C, 0x8B, 0x00,
0x8B, 0x58, 0x08, 0xEB, 0x16, 0x8D, 0x83, 0xAA, 0xAA, 0xAA, 0xAA, 0xFF, 0xD0, 0x85, 0xC0, 0x74,
0x0A, 0x6A, 0x00, 0x8D, 0x83, 0xAA, 0xAA, 0xAA, 0xAA, 0xFF, 0xD0, 0x68, 0xF4, 0x01, 0x00, 0x00,
0x8D, 0x83, 0xAA, 0xAA, 0xAA, 0xAA, 0xFF, 0xD0, 0xE8, 0xD8, 0xFF, 0xFF, 0xFF
};
int main()
{
HMODULE localKernel32Base = GetModuleHandleA( "kernel32.dll" );
DWORD rvaSleep = (DWORD)GetProcAddress( localKernel32Base, "Sleep" ) - (DWORD)localKernel32Base;
DWORD rvaDeleteFileA = (DWORD)GetProcAddress( localKernel32Base, "DeleteFileA" ) - (DWORD)localKernel32Base;
DWORD rvaExitProcess = (DWORD)GetProcAddress( localKernel32Base, "ExitProcess" ) - (DWORD)localKernel32Base;
char child_path[MAX_PATH];
GetSystemDirectoryA( child_path, MAX_PATH );
strcat_s( child_path, MAX_PATH, "\\notepad.exe" );
PROCESS_INFORMATION processInformation;
STARTUPINFOA startupInfo = {0};
if( !CreateProcessA( child_path, NULL, NULL, NULL, FALSE, CREATE_SUSPENDED, NULL, NULL, &startupInfo, &processInformation) )
return ReportError(L"Ошибка CreateProcessA");
*(DWORD*)(shellcode+23)=rvaDeleteFileA;
*(DWORD*)(shellcode+37)=rvaExitProcess;
*(DWORD*)(shellcode+50)=rvaSleep;
GetModuleFileNameA( 0, (char*)shellcode+61, MAX_PATH );
LPVOID injectedBase = VirtualAllocEx(processInformation.hProcess,NULL,sizeof(shellcode),MEM_COMMIT,PAGE_READWRITE);
if( !injectedBase )
return ReportError(L"Ошибка VirtualAllocEx");
if( !WriteProcessMemory(processInformation.hProcess,injectedBase,shellcode,sizeof(shellcode),NULL ) )
return ReportError(L"Ошибка WriteProcessMemory");
CONTEXT context;
context.ContextFlags = CONTEXT_CONTROL;
if( !GetThreadContext( processInformation.hThread, &context ) )
return ReportError(L"Ошибка GetThreadContext");
context.Eip = (DWORD)injectedBase;
if( !SetThreadContext( processInformation.hThread, &context ) )
return ReportError(L"Ошибка SetThreadContext");
ResumeThread( processInformation.hThread );
}
|
тестировал на 32рязрядной winXP,
при этом заметил что если запускать калькулятор - шеллкод не срабатывает, и ollydbg почему-то не может приаттачиться к калькулятору (не видит его в списке процессов), а с блокнотом и другими программами все работает. |
)
надо же, а я думал антивирусы обычно орехи колят
