Shellcode编码艺术：Unicode环境下Shellcode编写技术

引言

在缓冲区溢出漏洞利用中，字符编码转换是一个常见但容易被忽视的问题。当攻击者向目标系统发送ASCII编码的shellcode时，系统可能因兼容性原因将其转换为Unicode，导致shellcode结构被破坏而无法执行。本文详细探讨了在Unicode环境下编写有效shellcode的技术和方法。

Unicode转换问题

问题描述

当ASCII编码的shellcode被转换为Unicode时，每个ASCII字符后会被插入一个空字节(0x00)，例如：

原始ASCII数据：

48 65 6C 6C 6F 20 57 6F 72 6C 64 20 21 00 (Hello World

转换为Unicode后：

48 00 65 00 6C 00 6C 00 6F 00 20 00 57 00 6F 00 72 00 6C 00 64 00 20 00 21 00 00 00

这种转换会导致：

1. shellcode长度翻倍
2. 原有指令结构被破坏
3. 关键操作码可能被空字节分隔

实际影响

在Windows环境下，进程通常从00401000开始，返回地址可能被破坏为00??00??的形式。这使得传统的漏洞利用技术难以奏效。

可用指令集分析

在Unicode环境下，我们需要寻找那些包含空字节或能容忍空字节的操作码。以下是详细分析：

无条件跳转(JMP)

• 相对跳转：EB/E9后跟偏移量（不可用）
• 绝对跳转：FF/EA（通常需要非空字节）
• 寄存器跳转：JMP r32（不可用）

条件跳转(Jcc)

所有条件跳转指令（JNE, JAE, JZ等）都无法使用，因为：

• 远跳转需要两个连续的非空字节
• 近跳转操作码不能是00
• JMP r32同样不可行

循环指令(LOOP)

• LOOP (E0), LOOPE (E1), LOOPNZ (E2)等都需要后跟非空字节的计数值

重复指令(REP)

所有REP前缀（REP, REPNE等）都以两个字节的操作码开始，均不可用

调用指令(CALL)

• 相对调用：E8后跟4字节偏移（可能包含空字节，但偏移量过大）
• 寄存器调用：CALL r32（不可用）

条件设置指令(SETcc)

需要两个非空字节（如SETA是0F 97），不可用

单字节操作码

以下单字节操作码可用：

• INC/DEC寄存器
• XCHG r32, r32
• PUSH/POP r32

特殊可用指令

1. MOV指令：

   • 88 00 mov [eax], al
   • 89 00 mov [eax], eax
   • 8A 00 mov al, [eax]
   • 8B 00 mov eax, [eax]

2. 立即数移动：

   • B_00 ?? 00 ?? mov r32, 0x??00??00
   • C6 00 ?? mov byte [eax], 0x??

3. 算术运算：

   • 00 __ add [r32], r8
   • 35 00 ?? 00 ?? xor eax, 0x??00??00

4. 堆栈操作：

   • 6A 00 push dword 0x00000000
   • 68 00 ?? 00 ?? push dword 0x??00??00

实用技术

寄存器清零技术

push dword 0x00000000
pop eax  ; EAX = 0x00000000

寄存器赋值技术

通过组合操作逐步构建所需值：

mov eax, 0xAA003400  ; EAX = 0xAA003400
push eax
dec esp
pop eax             ; EAX = 0x003400??
add eax, 0x12005600 ; EAX = 0x123456??
mov al, 0x0         ; EAX = 0x12345600
mov ecx, 0xAA007800
add al, ch          ; EAX = 0x12345678

特定字节清零技术

如果需要将某个特定字节设为0x00：

; 假设EAX = 0x123456??
mov ecx, 0xAA00AA00
add ah, ch          ; 将0x56变为0x00

跳转技术

当EAX中包含目标地址时：

push eax
ret

实际应用示例

"NOP"替代指令

在Unicode环境下，传统的NOP(0x90)不可用，可以使用：

add al, 0x0  ; 操作码 04 00

对齐问题解决方案

需要注意指令对齐问题，以下指令可用作填充：

06 00       ; push es / add [esi], al
0F 00 0F 00 ; str [edi] / add [edi], cl
2E 00 2E 00 ; add [cs:esi], ch / add [esi], ch

结论

在Unicode环境下编写shellcode确实面临诸多限制，但通过精心选择指令和创造性使用可用操作码，仍然可以构建有效的攻击载荷。关键点包括：

1. 优先使用包含空字节的合法指令
2. 利用寄存器操作和堆栈技巧构建所需值
3. 使用算术运算逐步修改内存和寄存器内容
4. 注意指令对齐和边界条件
5. 开发替代传统NOP的填充指令

这些技术不仅适用于Unicode环境，对于其他存在字符过滤限制的场景也有参考价值。掌握这些技术可以显著提高在复杂环境下的漏洞利用成功率。