专栏首页FreeBufSickle:推荐一款优质ShellCode开发工具

Sickle:推荐一款优质ShellCode开发工具

Sickle是一个shellcode开发工具,用于加速创建正常运行的shellcode所需的各个步骤。

Sickle主要有以下功能:

识别可能会导致shellcode无法正常执行的坏字符。 支持多种语言输出格式(python,perl,javascript等)。 通过STDIN接收shellcode并格式化。 在Windows和Linux环境中均可执行shellcode。 支持shellcode间差异性比较。 反汇编shellcode到汇编语言(例如ARM,x86等)。

快速错误检查

在实际测试当中,测试人员往往需要对一个shellcode进行反复枯燥的测试,才能最终确定shellcode是否可用。这对测试人员来说,是一件相当费时费力的事情。而在这个问题上Sickle也许能助我们一臂之力,Sickle可以为我们快速的检查出shellcode中可能存在的错误问题。(适用于Windows和Unix系统):

shellcode重建

有时你可能想通过自己重建shellcode以了解某个执行流畅的shellceode片段的底层机制。Sickle可以帮助你将原始shellcode与“重建”版本进行差异性比较。

坏字符识别

需要说明的是,关于坏字符的识别最好是在基于Linux的操作系统中使用。在Windows主机上转储shellcode时,并不会突出显示错误的字符。以下是在Unix环境下的一个使用示例:

反汇编

也支持一个二进制文件和提取的操作码(shellcode)转换为机器指令(-obj)。注意,这需要与原始操作码(-r)和STDIN(-s)一起执行。在下面的例子中,我把一个reverse shell转换为了程序集。

Windows安装

如果你不使用它的反汇编功能,仅仅只是将Sickle作为一个wrapper/dump的工具,那么你可以使用任意版本的Python环境(包括2.7)。这里需要说明的是,我在Windows 10上编写/测试64位shellcode时遇到了一些问题。因此,为了避免大家使用时出现同样的问题,我建议大家安装Python 3.4.4 (amd64) ,但对于其它版本的windows系统并不存在该问题。其次,如果你编写的shellcode为x86,则任意版本的Python都没影响,例如Python 3.7.0a3。以下是在Windows 10主机上测试msfvenom生成的shellcode(“windows / x64 / shell_reverse_tcp”)的用法示例

Linux安装

Sickle是由Python3编写的,并且具有完整的功能,我建议直接安装capstone。Capstone的安装非常简单:

  • apt-get install python3-pip
  • pip3 install capstone

如果你不在NASM中编译你的shellcode,我已经添加了一个“objdump2shellcode”的功能。为了便于访问,我更喜欢将Sickle添加到/usr/bin/目录,但是如果使用Black Arch Linux Sickle则已被预安装。(以前称为objdump2shellcode):

root@wetw0rk:~# git clone https://github.com/wetw0rk/Sickle.git
root@wetw0rk:~# cd Sickle/
root@wetw0rk:~# chmod +x sickle.py
root@wetw0rk:~# cp sickle.py /usr/bin/sickle
root@wetw0rk:~# sickle
usage: sickle [-h] [-r READ] [-s] [-obj OBJDUMP] [-f FORMAT] [-b BADCHAR] [-c]
              [-v VARNAME] [-l] [-e EXAMINE] [-d] [-a ARCH] [-m MODE] [-rs]

Sickle - a shellcode development tool

optional arguments:
  -h, --help            show this help message and exit
  -r READ, --read READ  read byte array from the binary file
  -s, --stdin           read ops from stdin (EX: echo -ne "\xde\xad\xbe\xef" |
                        sickle -s -f <format> -b '\x00')
  -obj OBJDUMP, --objdump OBJDUMP
                        binary to use for shellcode extraction (via objdump
                        method)
  -f FORMAT, --format FORMAT
                        output format (use --list for a list)
  -b BADCHAR, --badchar BADCHAR
                        bad characters to avoid in shellcode
  -c, --comment         comments the shellcode output
  -v VARNAME, --varname VARNAME
                        alternative variable name
  -l, --list            list all available formats and arguments
  -e EXAMINE, --examine EXAMINE
                        examine a separate file containing original shellcode.
                        mainly used to see if shellcode was recreated
                        successfully
  -d, --disassemble     disassemble the binary file
  -a ARCH, --arch ARCH  select architecture for disassembly
  -m MODE, --mode MODE  select mode for disassembly
  -rs, --run-shellcode  run the shellcode (use at your own risk)

本文分享自微信公众号 - FreeBuf(freebuf)

原文出处及转载信息见文内详细说明,如有侵权,请联系 yunjia_community@tencent.com 删除。

原始发表时间:2018-02-18

本文参与腾讯云自媒体分享计划,欢迎正在阅读的你也加入,一起分享。

我来说两句

0 条评论
登录 后参与评论

相关文章

  • 红队基本操作:通用Shellcode加载器

    Shellcode加载器是一种基本的规避技术。尽管shellcode加载器通常可以促进payload的初始执行,但是启发式检测方法仍可以标记payload的其他...

    FB客服
  • NSA Fuzzbunch中EternalRomance工具复现过程

    自Shadow Brokers公布NSA泄露工具后,各路大神陆陆续续发表复现过程,这几天也仔细试了各种套路,一直想弄明白DoublePulsar中的shellc...

    FB客服
  • 关于分段免杀执行的思考

    我们在写shellcode时候,做分段免杀执行时,如何做到边解码然后执行再调用解码,解码后再执行?就是分段执行而且解密的密钥是不一样的,对于这个问题,我们应该想...

    FB客服
  • 红队基本操作:通用Shellcode加载器

    Shellcode加载器是一种基本的规避技术。尽管shellcode加载器通常可以促进payload的初始执行,但是启发式检测方法仍可以标记payload的其他...

    FB客服
  • NSA Fuzzbunch中EternalRomance工具复现过程

    自Shadow Brokers公布NSA泄露工具后,各路大神陆陆续续发表复现过程,这几天也仔细试了各种套路,一直想弄明白DoublePulsar中的shellc...

    FB客服
  • Python多进程使用队列共享数据协同判断素数

    创建两个队列,qIn用来存储指定范围内的整数,qOut用来存放该范围内的所有素数。创建多个进程,每个进程依次从qIn队列中获取整数,并判断是否为素数,如果是素数...

    Python小屋屋主
  • .Net Core系列教程(一)——环境搭建一、目标:二、环境安装:

    微软在前些天发布了.Net Core 1.0,总算可以在我的这些Linux小鸡上跑.Net了,最近体验了下,感觉还不错,下面就以写一个网站为例,把整个的过程记录...

    徐大嘴
  • 高性能HTTP加速器Varnish(安装配置篇)

    一、安装Varnish Varnish的安装非常简单,下面逐步介绍: 1、安装前的准备 Varnish安装环境如下表1所示: 表1 主机名 操作系统 IP地址...

    小小科
  • Jenkins的初级应用(2)-Invoke Phing targets

        Invoke Phing targets这个插件主要是读取xml形式包括自动化测试打包部署的配置文件,然后根据流程走下来。用phing命令读取并执行xm...

    一夕如环
  • 商城项目-优化

    cwl_java

扫码关注云+社区

领取腾讯云代金券