sclauncher

SCLauncher - เครื่องมือทดสอบ Shellcode, ดีบักเกอร์ และ PE-File Wrapper

โปรแกรมนี้ออกแบบมาเพื่อโหลดเชลล์โค้ด 32 บิตหรือ 64 บิต และอนุญาตให้ดำเนินการหรือดีบักได้ นอกจากนี้ยังสามารถสร้างไฟล์ PE ที่ปฏิบัติการได้ตามเชลล์โค้ดที่ต้องการ ซึ่งช่วยลดความยุ่งยากในการทดสอบเนื่องจากไบนารีเอาท์พุตสามารถใช้งานได้โดยเครื่องมือวิศวกรรมย้อนกลับมาตรฐาน (เช่น IDA Pro (ฟรี) และโปรแกรมดีบั๊ก)

ไบนารีที่วางจำหน่ายมีอยู่ คุณสามารถดูการสาธิตเครื่องมือนี้ได้บน YouTube

โปรแกรมนี้มีตัวเลือกมากมายสำหรับการทำงานกับเชลล์โค้ดของคุณ โดยจัดเรียงตามการใช้งาน

ข้อโต้แย้งระดับโลก

• -f: จำเป็น เส้นทางของไฟล์ที่จะโหลดเชลล์โค้ด
• -ep: ปรับออฟเซ็ตจุดเริ่มต้น หากทำการดีบัก นี่จะกลายเป็นออฟเซ็ตที่ดำเนินการ หากใช้กับการสร้างไฟล์ PE ค่านี้จะกลายเป็นค่า AddressOfEntry

การดีบักเชลล์โค้ด

• -bp: SCLauncher จะแทรกเบรกพอยต์ (0xCC) ที่ออฟเซ็ตที่ต้องการ โปรดทราบว่าสิ่งนี้ดูเหมือนจะใช้ไม่ได้กับโปรแกรมดีบั๊กทั้งหมด
• -หยุดชั่วคราว: หยุดการดำเนินการชั่วคราวก่อนดำเนินการเชลล์โค้ด เพื่อให้สามารถแนบดีบักเกอร์หรือเริ่มต้นเครื่องมือตรวจสอบอื่น ๆ ได้
• -d: เส้นทางไปยังไฟล์เพื่อโหลดเนื้อหาเพิ่มเติม ตัวอย่างเช่น หากเชลล์โค้ดขึ้นอยู่กับเนื้อหาอื่นที่อยู่ในหน่วยความจำ
• -mm: ใช้ได้กับ -d เท่านั้น ซึ่งจะโหลดเนื้อหาเพิ่มเติมที่อาร์กิวเมนต์ -d ชี้ไปเป็นไฟล์ที่แมปหน่วยความจำ

การสร้างไฟล์ PE

• -pe: บอกให้ SCLauncher สร้างไฟล์ PE
• -d: หากใช้ในบริบทของการสร้างไฟล์ PE จะสร้างส่วนใหม่ชื่อ .content พร้อมเนื้อหาของไฟล์นี้
• -64: สร้างไฟล์ปฏิบัติการ 64 บิตสำหรับใช้กับเชลล์โค้ด 64 บิต
• -o: กำหนดชื่อไฟล์เอาท์พุตสำหรับไฟล์ PE ที่สร้างขึ้น ค่าเริ่มต้นคือ sc_outpout.exe

การดำเนินการ Shellcode จากไฟล์

อาร์กิวเมนต์ที่จำเป็นเพียงอย่างเดียวคือระบุเส้นทางไปยังไฟล์ที่มีเชลล์โค้ดของคุณ คุณทำได้โดยใช้อาร์กิวเมนต์ -f สิ่งนี้จะถูกคัดลอกไปยังหน่วยความจำและดำเนินการ นอกจากนี้ คุณสามารถใช้อาร์กิวเมนต์ -ep เพื่อปรับจุดเข้าใช้งานเป็น X ไบต์ ซึ่งอนุญาตให้ใช้เชลล์โค้ดที่ไม่เริ่มดำเนินการที่จุดเริ่มต้นของไบนารีหยด สุดท้าย -bp กำหนดว่าควรแทรกเบรกพอยต์ก่อนเชลล์โค้ดหรือไม่ ซึ่งจะดำเนินการผ่านไบต์ 0xCC ซึ่งเป็น INT3 สิ่งนี้ทำให้คุณสามารถรันโปรแกรมภายใต้ดีบักเกอร์ โดยกำหนดอาร์กิวเมนต์บรรทัดคำสั่งตามความเหมาะสม การแทรกเบรกพอยต์จะทำให้ดีบักเกอร์ขัดจังหวะการดำเนินการก่อนที่เชลล์โค้ดจะถูกดำเนินการ หากคุณ ไม่ได้ ทำงานภายใต้ดีบักเกอร์ อย่าใส่เบรกพอยต์เพราะจะทำให้โปรแกรมหยุดทำงาน

การสร้างไฟล์ PE

คุณสามารถใช้อาร์กิวเมนต์ -pe เพื่อสร้างไฟล์ PE ที่ล้อมรอบเชลล์โค้ดเป็นหลัก เชลล์โค้ดถูกวางไว้ในส่วน .text จุดเริ่มต้นถูกกำหนดให้เป็นจุดเริ่มต้นของส่วน เว้นแต่จะใช้อาร์กิวเมนต์ -ep อาร์กิวเมนต์นี้จะกำหนดออฟเซ็ตจากจุดเริ่มต้นของส่วนและใช้เพื่ออัปเดตจุดเข้าใช้งานไฟล์ PE (เช่น ฟิลด์ AddressOfEntry) นอกจากนี้ อาร์กิวเมนต์ -64 สามารถใช้เพื่อสร้างไฟล์ PE 64 บิต ซึ่งน่าจะเป็นเชลล์โค้ด 64 บิต ไฟล์ PE ที่เป็นผลลัพธ์สามารถวิเคราะห์ผ่านเครื่องมือวิศวกรรมย้อนกลับทั่วไป เช่น IDA Pro, Ghidra หรือดีบักเกอร์ เช่น x32dbg/WinDbg/etc

หากใช้อาร์กิวเมนต์ -d SCLauncher จะสร้างส่วนใหม่ชื่อ .content และคัดลอกเนื้อหาของไฟล์ไปไว้ในส่วนนี้ ส่วนนี้จะเป็นไปตามส่วน . text

จะเกิดอะไรขึ้นถ้าฉันมีอาร์เรย์ถ่าน?

หากคุณมีเชลล์โค้ดที่ไม่ได้อยู่ในสถานะไบนารี่ คุณสามารถใช้ CyberChef เพื่อแปลงเชลล์โค้ดนั้นและดาวน์โหลดเป็นไฟล์ได้

นี่คือตัวอย่างของเชลล์โค้ดจาก Exploit-DB ที่ถูกแปลงเป็นเนื้อหาไบนารีบน CyberChef

รวบรวมจากแหล่งที่มา

โปรแกรมนี้มีวัตถุประสงค์เพื่อคอมไพล์ด้วยคอมไพเลอร์ C/C++ จาก Microsoft คุณสามารถใช้ Developer Command Prompt หลังจากติดตั้งเวอร์ชันฟรี/ชุมชนเพื่อคอมไพล์โดยใช้ cl ตัวอย่างของคำสั่งนี้จะเป็น:

cl sclauncher.c

สิ่งนี้จะสร้าง sclauncher.exe ที่ปฏิบัติการได้