JIT SPRAY АНАЛИЗ TDSS - Xakep Online

Та же память после выполнения JIT-кода. Теперь
тут шеллкод из метасплойта
Любой шеллкод из Metasploit подходит
сдвига на каждые четыре байта копируемого шеллкода. Надо искать
другой путь. Можно, например, заменить все сдвиги на одну
операцию умножения. То есть 0x0000ABCD*0x10000=0xABCD0000.
Значит, можно написать JIT-шеллкод, который заносит произвольные
значения в регистры ECX и EAX, а потом копирует по адресу
ECX значение EAX. Затем добавляем к ECX четыре байта и заносим
в EAX следующую часть метасплойтовского шеллкода.
ÀÂÒÎÌÀÒÈÇÀÖÈß
Теперь пора написать генератор шеллкода, который согласно
вышеупомянутому алгоритму будет генерить JIT-шеллкод. Начнем
труд! В метасплойте генерируем шеллкод в формате Perl. Я выбрал
запуск калькулятора, без всяких кодировок шеллкода. Нам это ни
к чему, во-первых, потому что JIT-шеллкод и так неслабо перекодирует
оригинальный шеллкод — ни один антивирус не узнает.
Во-вторых, размер кода меньше. Итак, есть шеллкод в формате
Perl, который мы запихнем в переменную $shellcode. Зададим
старшие байты страницы, куда будем копировать этот шеллкод.
Я выбрал 0x080A0000. Так как младшие байты нас не интересуют,
задаю только старшие:
#Address with RWX - place for shellcode
$addr="\x08\x0A"; #0x080A0000
Поскольку весь шеллкод копируем по четыре байта, необходимо выровнять
его, для этого считаем размер шеллкода и делим с остатком на
4. Если остаток 1, 2 или 3, то добавляем к концу шеллкода мусора:
$len=length($shellcode);
$add=$len % 4;
for($i=0;$i