WinAPI CreateThread процесс уничтожения

Question

Я пытаюсь написать функцию C#, которая выполняет произвольный шелл-код. Кажется, что он работает, за исключением того, что когда завершается созданный поток, весь процесс завершается. Я не придумал этот код сам, а вместо этого получил его в основном с этого сайта: https://webstersprodigy.net/2012/08/31/av-evading-meterpreter-shell-from-a-net-service/

Вот функция, которая выполняет шеллкод:

public void ExecuteShellCode(String code)
{
    //pipe msfvenom raw to xxd -p -c 999999 (for example)
    byte[] shellcode = StringToByteArray(code);
    UInt32 funcAddr = VirtualAlloc(0, (UInt32)shellcode.Length, 0x1000, 0x40);
    Marshal.Copy(shellcode, 0, (IntPtr)(funcAddr), shellcode.Length);
    IntPtr hThread = IntPtr.Zero;
    UInt32 threadId = 0;
    hThread = CreateThread(0, 0, funcAddr, IntPtr.Zero, 0, ref threadId);
    WaitForSingleObject(hThread, 0xFFFFFFFF);
}

Я называю это, используя следующий пример:

(обратите внимание - вы, вероятно, не должны запускать случайный шелл-код из Интернета, этот пример безобиден, но вы не должны поверить мне на слово)

Я сгенерировал шелл-код с msfvenom - он просто выскакивает в окне сообщения.

rsh.ExecuteShellCode(@"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");

while (true)
{
    Thread.Sleep(42);
}

Если вам нужен код для преобразования строки в байты, это здесь:

private static byte[] StringToByteArray(String opcodes)
{
    int NumberChars = opcodes.Length;
    byte[] bytes = new byte[NumberChars / 2];
    for (int i = 0; i < NumberChars; i += 2)
        bytes[i / 2] = Convert.ToByte(opcodes.Substring(i, 2), 16);
    return bytes;
}

Мои мысли:

Я чувствую, что есть какая-то проблема, когда адрес возврата моей программы должен быть как-то указан в шеллкоде, так как шеллкод убивает весь процесс. Я перепробовал все параметры "EXITFUNC" с msfvenom, включая SEH, Process и Thread... но не повезло. Это проблема с моим примером шеллкода? Есть

Answer 1

CreateThread конечно не убивает процесс. это твой шеллкод (x86) вызов ExitProcess в конце. так что процесс это выход. также первые байты вашего шеллкода - это мусор - вам нужно это исправить. если вы не хотите выходить из процесса - вам нужно удалить ExitProcess позвоните в конце и вернитесь правильно.

Также я утверждаю, что как этот шеллкод искать kernel32.dll это неверно.

все, что делает ваш шеллкод (кроме первых неправильных байтов):

MessageBoxA(0, "Howdy Friends!", "ok", 0);ExitProcess(0);

если что-то изменить (удалить ExitProcess, восстановить регистры и стек и вернуть) - мы можем получить следующий код (c или C++)

static const char sc[] = 
    "60e80000000031d2b27031c9648b71308b760c8b761c8b46088b7e208b36384f1875f35901d1ffe1"
    "608b6c24248b453c8b54287801ea8b4a188b5a2001ebe334498b348b01ee31ff31c0fcac84c07407"
    "c1cf0d01c7ebf43b7c242875e18b5a2401eb668b0c4b8b5a1c01eb8b048b01e88944241c61c3b208"
    "29d489e589c2688e4e0eec52e89fffffff894504bb7ed8e273871c2452e88effffff894508686c6c"
    "20416833322e64687573657230db885c240a89e656ff550489c250bba8a24dbc871c2452e85fffff"
    "ff686f6b582031db885c240289e368732158206869656e64687920467268486f776431c9884c240e"
    "89e131d252535152ffd083c43c61c3";

if (PVOID pv = VirtualAlloc(0, (sizeof(sc) - 1) >> 1, MEM_COMMIT, PAGE_EXECUTE_READWRITE))
{

    ULONG cb = (sizeof(sc) - 1) >> 1;

    if (CryptStringToBinaryA(sc, sizeof(sc) - 1, CRYPT_STRING_HEX, (PBYTE)pv, &cb, 0, 0))
    {
        if (FlushInstructionCache(NtCurrentProcess(), pv, cb))
        {
            (FARPROC(pv))();
        }
    }

    VirtualFree(pv, 0, MEM_RELEASE);
}

---

как продавать код для поиска KERNEL32.DLL конечно неверно:

PLIST_ENTRY InInitializationOrderModuleList = &RtlGetCurrentPeb()->Ldr->InInitializationOrderModuleList, entry = InInitializationOrderModuleList;

_LDR_DATA_TABLE_ENTRY* ldte;
do 
{
    entry = entry->Flink;
    ldte = CONTAINING_RECORD(entry, _LDR_DATA_TABLE_ENTRY, InInitializationOrderLinks);

} while (*RtlOffsetToPointer(ldte->BaseDllName.Buffer, 24)); // assume that this is `KERNEL32.DLL`