[ASM] Shellcode - LoadLibrary smasht shellcode

[elrik]

Hi leutz,

Will ein proggie unter xp sp2 exploiten, klappt soweit auch ganz gut
nur zersmasht windows mit der funktion LoadLibraryA meinen shellcode...

Erstes Problem war, das der Shellcode von metasploit den obersten stack wert in ebx popte, und aufgrund dieses werten den shellcode decodete, da stand aber müll drinne, so das nicht der shellcode decodiert, sondernd eine access violation provoziert wurde.

Habe den wert von ebx dann auf den anfang des shellcode gesetzt (bisher nur im debugger) - das geht OK.

Aber sobald durch den shellcode in loadlibraryA gesprungen wird, und dort eine loop erreicht wird, wird mein shellcode überschrieben..., mein shellcode liegt auf dem stack...

bevor ich jetzt den decoder dahingehend umschreibe das der decodierte kram in einen anderen speicherbereich entpackt wird, wollte ich mal fragen ob jemand ähnliches kennt, bzw. ob jemand eine andere lösung kennt.

:rofl:

Greetz

[nait]

Kann es sein, dass dein Code überschrieben wurde weil er nicht in einem gültigen Stack-Frame gelegen hat?

[elrik]

die vermutung hatte ich auch schon - fragt sich nur was für einen wert der framepointer haben muß um "richtig" zu sein....

ok, vertiefe ich mein wissen in der richtung nochmal... andererseits evt. wäre es "more reliable" wenn ich den shellcode auf den heap packe (mit dem decoder).

[nait]

Das Problem ist doch sowieso WIE du den Shellcode in den fremden Prozess bekommst. Da hast du nicht immer 'ne Wahl. ;-) Aber wenn du den Code einfach in den Heap schreiben und dann ausführen kannst, ist das weniger fehleranfällig als auf dem Stack.

[elrik]

Das Problem ist doch sowieso WIE du den Shellcode in den fremden Prozess bekommst. Da hast du nicht immer 'ne Wahl. ;-)

Naja, mein shellcode funktioniert ja bis zum LoadLibrary Call. Von daher kann ich ja den ganzen shellcode während des decodens auf den heap kopieren..., oder in den CODE bereich der eigentlichen applikation, etc...

Von anfang an kann ich den kram auch nicht auf den heap packen..., ein bisschen code muß dafür schon sein.

Den Base pointer anzupassen bringt übrigens auch nichts, ist ja eigentlich auch klar, da im LoadLibrary Call der aktuelle stackpointer zum basepointer wird...

funktioniert irgendwie alles nicht.... auch wenn ich esp modifiziere, dann habe ich ja das problem das das handle zu der library die mit loadLibrary geladen werden soll, an einer anderen stelle liegt.

Da lohnt es sich ja fast schon einen eigenen shellcode zu schreiben :/

[nait]

Ich dachte, das hättest du. Poste doch mal den Code.

[elrik]

jetzt funktioniert alles habe ein kleines esp prepare snippet vor dem decoder platziert...
War mein zweiter exploit und bei meinem ersten war das problem so nicht aufgetreten, bei den connect shellcodes zwar schon, aber der exec shellcode hatte funktioniert...

naja, bin jetzt glücklich wieder was dazu gelernt zu haben,

next target, please