如何将 \x00 作为参数传递给程序？

Question

我有一个小程序，我希望将 shellcode 作为参数传递。在shellcode中，需要传递\x00。我尝试了以下命令：

./program `python -c 'print "\x01\x00\x00\x00\x9c\xd8\xff\xbf"'`

但是 \x00 根本没有注册！传递给程序的参数是“\x01\x9c\xff\xbf”。

我不认为这是 python 的问题，而是传递参数的 shell 的问题。我正在使用 bash shell。

现在，如何强制 shell 传递参数“\x00”？

谢谢和问候，
赫里希凯什穆拉里

Answer 1

一点也不。 Unix 使用 C 样式字符串作为调用命令的参数，并且它们是以 NUL 结尾的字符序列。

您可以做的是重写您的程序（或找到调用变体）以接受其标准输入中的参数。 NUL 字节在那里工作得很好，而且事实上被广泛使用，通常用作文件名的分隔符，因为它们几乎是文件名中唯一不能包含的内容。有关可以说是最流行的示例，请参阅 find 的 -print0 开关和 xarg 的开关 -0。

Answer 2

如果您检查 wc，您会发现确实传递了 NUL 字符：

$ python -c 'print "\x00"' | wc -c
2

为了摆脱末尾的换行符：

$ python -c 'import sys; sys.stdout.write("\x00")' | wc -c
1

此数据被传递给脚本，但问题是NUL 不能成为变量值的一部分。

要了解如何操作，请尝试将其传递给脚本：

$ cat test.sh 
#!/usr/bin/env bash
echo ${#1}
$ ./test.sh "$(python -c 'import sys; sys.stdout.write("\x00")')"
0

Gone。但有一种方法可以挽救局面 - 使用重定向或管道从标准输入读取：

$ cat test2.sh 
#!/usr/bin/env bash
wc -c
$ ./test2.sh < <(python -c 'import sys; sys.stdout.write("\x00")')
1
$ python -c 'import sys; sys.stdout.write("\x00")' | ./test2.sh
1

Answer 3

带有 --null 选项的 xargs 命令可以提供帮助：

python -c 'print "\x30\x00\x31"' | xargs --null ./program

我尝试过，它有效。

Answer 4

我相信这是因为 Bash 丢弃空字符。

为了测试这一点，我使用 od 命令以八进制格式转储参数，使用以下脚本：

$ cat script.sh

#!/bin/bash
echo "$@" | od -c

并使用以下命令运行它：

$ script.sh `python -c 'print "\x01\x00\x00\x00\x9c\xd8\xff\xbf"'`
0000000 001 234 330 377 277  \n
0000006

不打印空字符。

要解决此问题，请传入 hexdump，然后在程序中反转它。示例：

$ cat script.sh

#!/bin/bash
echo "$@" | xxd -r -p | od -c

$ script.sh `python -c 'print "\x01\x00\x00\x00\x9c\xd8\xff\xbf"' | xxd -p`
0000000 001  \0  \0  \0 234 330 377 277  \n
0000011                                    

现在您看到打印了空字符。

Answer 5

您可以尝试将 shellcode 放入文件中，然后读回并将其传递给可执行文件。

类似于：

$ cat shellcode.txt
\xb5\x06\x40\x00\x00\x00\x00\x00

$ perl -e ' $a = `cat shellcode.txt`; chomp($a); print $a x 10; '
\xb5\x06\x40\x00\x00\x00\x00\x00\xb5\x06\x40\x00\x00\x00\x00\x00\xb5\x06\x40\x00
\x00\x00\x00\x00\xb5\x06\x40\x00\x00\x00\x00\x00\xb5\x06\x40\x00\x00\x00\x00\x00
\xb5\x06\x40\x00\x00\x00\x00\x00\xb5\x06\x40\x00\x00\x00\x00\x00\xb5\x06\x40\x00
\x00\x00\x00\x00\xb5\x06\x40\x00\x00\x00\x00\x00\xb5\x06\x40\x00\x00\x00\x00\x00

使用上面的 perl cmdline 作为程序的参数

$ ./program $(perl -e ' $a = `cat shellcode.txt`; chomp($a); print $a x 10; ')

Answer 6

你可以试试这个，

main.out `perl -e 'print "xxxxssssdd\x23\x00\xaf"'`

它

perl -e 'print "xxxxssssdd\x23\x00\xaf"' | wc -c
13

证明\x00已经通过了。

顺便说一下，我在测试中发现c程序在argv中肯定会stip \00。您可以检查 argv，例如，

 x /8sb 0x7fffffffe46a
0x7fffffffe46a: "/home/victor/Documents/CDemo/overflow/shellcode2/shellcode_host.out"
0x7fffffffe4ae: '\220' <repeats 21 times>, "\353#YUH\211\345@\200\354\200H\211M\220H1\300H\211E\230H\211\302H\215u\220H\213}\220\260;\017\005\350\330\377\377\377/bin/sh\200\337\377\377\377\177"
0x7fffffffe4fb: "LC_PAPER=zh_CN.UTF-8"

所以我猜 shell 或 c 程序可以自动删除 \x00 字符。也许有人可以解释为什么会发生这种情况。

但我们还有其他技术来避免 shellcode 中的 \x00。

mov     $59, %al # not %rax 
sub    $0x80, %spl  # not %rsp
xorq    %rax,  %rax # construct 0 value with rax

你可以参考一下文章。
https://www.exploit-db。 com/docs/english/13019-shell-code-for-beginners.pdf