审核未通过，分为上下两篇

漏洞利用（exploit）是指针对已有的漏洞，根据漏洞的类型和特点而采取相应的技术方案，进行尝试性或实质性的攻击。Exploit 的英文意思就是利用，它在黑客眼里就是漏洞利用。有漏洞不一定就有Exploit（利用），但是有Exploit就肯定有漏洞。

假设，刚刚发现了一个Minishare的0Day漏洞。Minishare是一款文件共享软件，该0Day漏洞是一个缓冲区溢出漏洞，这个漏洞影响之前的所有版本。当用户向服务器发送的报文长度过大（超过堆栈边界）时就会触发该漏洞。

得到该漏洞后，可以做点什么呢？善意点的，可以对同学或者朋友的电脑搞搞恶作剧，让他的电脑弹出个对话框之类的。恶意的话，可以利用这个漏洞来向目标机器植入木马，窃听用户个人隐私等。

在1996年，Aleph One在Underground发表了著名论文《SMASHING THE STACK FOR FUN AND PROFIT》，其中详细描述了Linux系统中栈的结构和如何利用基于栈的缓冲区溢出。在这篇具有划时代意义的论文中，Aleph One演示了如何向进程中植入一段用于获得shell的代码，并在论文中称这段被植入进程的代码为“shellcode”。

实际上，Shell是一个命令解释器，它解释由用户输入的命令并且把它们送到内核。

现在，“shellcode”已经表达的是广义上的植入进程的代码，而不是狭义上的仅仅用来获得shell的代码。

漏洞利用的核心就是利用程序漏洞去劫持进程的控制权，实现控制流劫持，以便执行植入的shellcode或者达到其它的攻击目的。

当攻击者掌握了被攻击程序的内存错误漏洞后，一般会考虑发起控制流劫持攻击。早期的攻击通常采用代码植入的方式，通过上载一段代码，将控制转向这段代码执行。在栈溢出漏洞的利用过程中，攻击的目的是淹没返回地址，以便劫持进程的控制权，让程序跳转去执行shellcode。

要完成攻击，Exploit需要执行shellcode，但Exploit中并不仅是shellcode。

一个经典的比喻，将漏洞利用过程比作导弹发射的过程：Exploit、payload和shellcode分别是导弹发射装置、导弹和弹头。Exploit是导弹发生装置，针对目标发射导弹（payload）；导弹到达目标之后，释放实际危害的弹头（类似shellcode）爆炸；导弹除了弹头之外的其余部分用来实现对目标进行定位追踪、对弹头引爆等功能，在漏洞利用中，对应payload的非shellcode的部分。

Exploit是指利用漏洞进行攻击的动作；Shellcode用来实现具体的功能；Payload除了包含shellcode之外，还需要考虑如何触发漏洞并让系统或者程序去执行shellcode。

假设我们已知一个系统的注册机验证过程的漏洞，程序举例如下：

Verify函数的缓冲区为44个字节，对应的栈帧状态如下图所示：

软件漏洞篇讲栈溢出漏洞时提到覆盖临接变量示例

利用目标：利用溢出覆盖临接变量，实现控制流劫持，完成软件破解。

利用这个漏洞，我们可以破解该软件，让注册码无效。只需要想法淹没flag状态位，使其变为0即可，则只需要设计：buffer（44字节）+1字节（整数0），即在reg.txt中写入45个字节，其中最后1个字节为0。

如果能对reg.txt写入二进制数据，我们利用Ultraedit打开reg.txt，并在该文件中写入

“123412341234123412341234123412341234123412341”。需要将最后1个字节由ASCII-1改为全0。

利用目标：利用溢出覆盖返回地址，转去执行植入的恶意程序。

基于上述程序，编写shellcode，完成代码植入

Shellcode往往需要用汇编语言编写，并转换成二进制机器码，其内容和长度经常还会受到很多苛刻限制，故开发和调试的难度很高。

植入代码之前要做大量的调试工作，比如：

目标：编写一段代码，使其能够淹没返回地址，该返回地址将执行一个MessageBox函数，弹出窗体。

为了能淹没返回地址，需要在reg.txt中至少写入：buffer(44字节)+flag(4字节)+前EBP值(4字节)，也就是53—56才是要淹没的地址。让程序弹出一个消息框只需要调用Windows的API函数MessageBox。

MSDN对MessageBox函数的解释如下：

消息框所属窗口的句柄，如果为NULL，消息框则不属于任何窗口。

字符串指针，所指字符串会在消息框中显示。

字符串指针，所指字符串将成为消息框的标题。

消息框的风格（单按钮、多按钮等），NULL代表默认风格。

我们将写出调用这个API的汇编代码，然后翻译成机器代码，用十六进制编辑工具填入reg.txt文件。注意：使用MessageBoxA函数。

第一步：获取函数入口地址

获取函数入口地址：MessageBoxA的入口地址可以通过user32.dll在系统中加载的基址和MessageBoxA在库中的偏移相加得到。可以使用VC6.0自带的小工具“Dependency Walker”获得这些信息，如下图user32.dll的基地址为 0x77D10000，MessageBoxA的偏移地址为0x000407EA。基地址加上偏移地址就得到了MessageBoxA函数在内存中的入口地址：0x77D507EA。

使用代码来获取相关函数地址：在C/C++语言中，GetProcAddress函数检索指定的动态链接库（DLL）中的输出库函数地址。如果函数调用成功，返回值是DLL中的输出函数地址。函数原型如下：

第二步：编写函数调用的汇编代码

编写函数调用的汇编代码：先把字符串“westwest”压入栈区，消息框的文本和标题都显示为“westwest”，只要重复压入指向这个字符串的指针即可；第1个和第4个参数这里都将设置为NULL。

第三步：注入Shellcode代码

得到的shellcode为：33 DB 53 68 77 65 73 74 68 77 65 73 74 8B C4 53 50 50 53 B8 EA 07 D5 77 FF D0。 将这段shellcode写入reg.txt文件，且在返回地址处写buffer的地址。 Buffer的地址可以通过OllyDbg来查看得到，也可以通过VC6的转到反汇编方式来得到：0012FAF0。用nop指令填充空余部分(ASCII值：90)

注意：Windows xp下静态 API 的地址是准的，windows XP之后的操作系统版本增加了ASLR 保护机制，地址就不准，就得动态获取了，利用地址定位技术或者通用型Shellcode编写可以解决这个问题。

由于漏洞发现者在漏洞发现之初并不会给出完整Shellcode，因此掌握Shellcode编写技术就显得尤为重要。但是，要编写Shellcode存在很多难点：

一种简单的编写Shellcode的方法的步骤如下：

使用VC6编写程序如下：

利用调试功能，找到其对应的汇编代码：

直接得到的汇编语言通常需要进行再加工。对于push 0而言，可以通过上述的xor ebx ebx之后执行push ebx来实现。

在工程中编写汇编语言如下：

在汇编第一行代码处打断点，利用调试定位具体内存中的地址：

这样，在Memory窗口就可以找到对应的机器码：33 DB 53 53 53 53 B8 EA 07 D5 77 FF D0。

接下来就可以利用这个Shellcode来实现漏洞的利用了，一个VC6测试程序如下：

利用ESP来获取字符串的地址，编写的shellcode代码如下：

提取到的 shellcode 代码为： \x33\xDB\x53\x68\x72\x6C\x64\x20\x68\x6F\x20\x77\x6F\x68\x68\x65\x6C\x6C\x8B\xC4\x53\x50\x50\x53\xB8\xEA\x07\xD5\x77\xFF\xD0

可以使用上述程序实验。

Shellcode代码编制过程通常需要进行编码，因为：

网页Shellcode。对于网页Shellcode，可以采用base64编码。Base64是网络上最常见的用于传输8Bit字节码的编码方式之一，是一种基于64个可打印字符来表示二进制数据的方法。 二进制机器代码。对于二进制Shellcode机器代码的编码，通常采用类似“加壳”思想的手段，采用：

异或编码是一种简单易用的shellcode编码方法，它的编解码程序非常简单。 但是它也存在很多限制，比如在选取编码字节时，不可与已有字节相同，否则会出现0。

编码程序，是独立的。是在生成shellcode的编码阶段使用。将shellcode代码输入后，输出异或后的shellcode编码。

怎么让eax记录shellcode当前的起始地址？看如下代码。