Masm64 shellcode template

AyalaRs

编译工具 vs或者ddk携带的汇编编译器ml64

1. option casemap:none
   
2. 
   
3. 
   
4. ;--------------------------------------------------------------------------------
   
5. ;set name=Shellcode
   
6. ;ml /c /coff /Cp /Fl /Gd /nologo %name%.asm
   
7. ;link /SUBSYSTEM:CONSOLE /DEBUG /DEBUGTYPE:CV %name%.obj /OUT:%name%.exe
   
8. ;PAUSE
   
9. ;--------------------------------------------------------------------------------
   
10. 
    
11. 
    
12. 
    
13.   
    
14. include shellcode.inc
    
15. include macro.asm
    
16. 
    
17. 
    
18. .code SHELL
    
19.         jmp _main                                        ;5
    
20. _thunk proc
    
21.         jmp QWORD ptr [rax]                        ;2
    
22. _thunk endp
    
23. 
    
24. CreateProcessA proc  
    
25.         call @F                                                ;5
    
26.         _imp__CreateProcessA        QWORD offset _thunk__CreateProcessA        ;8
    
27. @@:       
    
28.         pop rax                                                ;1
    
29.         jmp _thunk                                        ;2
    
30. CreateProcessA endp
    
31. 
    
32. 
    
33. CloseHandle proc
    
34.         call @F
    
35. 
    
36.         _imp__CloseHandle                QWORD offset _thunk__CloseHandle
    
37. @@:       
    
38.         pop rax
    
39.         jmp _thunk
    
40. CloseHandle endp
    
41. 
    
42. GetStartupInfo proc
    
43.         call @F
    
44.         _imp__GetStartupInfoA        QWORD offset _thunk__GetStartupInfo
    
45. 
    
46. @@:       
    
47.         pop rax
    
48.         jmp _thunk
    
49. GetStartupInfo endp
    
50. 
    
51. 
    
52. _KernelBase proc
    
53.         mov rax,(_TEB ptr gs:[0]).NtTib.Self
    
54.         mov rax,(_TEB ptr [rax]).ProcessEnvironmentBlock
    
55.        
    
56.         mov rax,(_PEB ptr [rax]).Ldr
    
57.         mov rax,(_PEB_LDR_DATA ptr [rax]).InInitializationOrderModuleList.Flink
    
58.        
    
59.         mov rdx,(_LIST_ENTRY ptr [rax]).Blink[SizeOf QWORD]        ;ntdll       
    
60.        
    
61.         mov rax,(_LIST_ENTRY ptr [rax]).Flink
    
62.         mov rcx,(_LIST_ENTRY ptr [rax]).Blink[SizeOf QWORD];KERNELBASE
    
63.        
    
64.        
    
65.         mov rax,(_LIST_ENTRY ptr [rax]).Flink
    
66.         mov rax,(_LIST_ENTRY ptr [rax]).Blink[SizeOf QWORD];kenrl32
    
67.        
    
68.         ret
    
69. _KernelBase endp
    
70. 
    
71. 
    
72. _StrLen proc uses rdi rcx
    
73.         or rcx,-1
    
74.         mov rdi,rax
    
75.         xor rax,rax
    
76.         repne scasb
    
77.         not rcx
    
78.         mov rax,rcx
    
79.         ret
    
80. _StrLen endp
    
81. 
    
82. _StrCmp proc uses rcx rsi rdi
    
83.        
    
84.         mov rax,rsi
    
85.         call _StrLen
    
86.        
    
87.         mov rcx,rax
    
88.        
    
89.         mov rax,rdi
    
90.         call _StrLen
    
91.        
    
92.         cmp rax,rcx
    
93.         jnz @F
    
94.                 repe cmpsb
    
95.                 mov rax,rcx
    
96.         @@:
    
97.         ret
    
98.         ret
    
99. _StrCmp endp
    
100. 
     
101. _GetProcAddress proc uses rsi rdi rbx
     
102.         mov rsi,rcx
     
103.        
     
104.         mov ax,(IMAGE_DOS_HEADER ptr [rsi]).e_magic
     
105.        
     
106.         cmp ax,"ZM"
     
107.         jz @F
     
108.        
     
109.                 xor rax,rax
     
110.                 jmp done
     
111.        
     
112.         @@:
     
113.         mov ebx,(IMAGE_DOS_HEADER ptr [rsi]).e_lfanew
     
114.         add rbx,rsi
     
115.        
     
116.         mov eax,(IMAGE_NT_HEADERS ptr [rbx]).Signature
     
117.         cmp eax,"EP"
     
118.         jz @F
     
119.                 xor rax,rax
     
120.                 jmp done
     
121.         @@:
     
122.        
     
123.         lea rbx,(IMAGE_NT_HEADERS ptr [rbx]).OptionalHeader
     
124.        
     
125.         mov ax,(_IMAGE_OPTIONAL_HEADER64 ptr [rbx]).Magic
     
126.         cmp ax,20Bh
     
127.         jz @F
     
128.                 ;PE 32
     
129.                 xor rax,rax
     
130.                 jmp done
     
131.         @@:
     
132.        
     
133. EXP EQU IMAGE_DIRECTORY_ENTRY_EXPORT*SizeOf _IMAGE_DATA_DIRECTORY       
     
134.         mov ebx,(_IMAGE_OPTIONAL_HEADER64 ptr [ebx]).DataDirectory[EXP][_IMAGE_DATA_DIRECTORY.VirtualAddress]
     
135.        
     
136.         add rbx,rcx
     
137.        
     
138.        
     
139.         mov r9d,(IMAGE_EXPORT_DIRECTORY ptr [rbx]).AddressOfNames
     
140.         add r9,rcx
     
141.        
     
142.        
     
143.         xor r8,r8
     
144.        
     
145. re:
     
146.         mov eax,[r9][r8*4]
     
147.         add rax,rcx
     
148.        
     
149.         mov si,[rax]
     
150.        
     
151.        
     
152.         cmp si,[rdx]
     
153.         jnz @F
     
154.        
     
155.         mov rsi,rax
     
156.         mov rdi,rdx
     
157.         call _StrCmp
     
158.        
     
159.         or rax,rax
     
160.         jnz @F
     
161.        
     
162.         mov edi,(IMAGE_EXPORT_DIRECTORY ptr [rbx]).AddressOfFunctions
     
163.         add rdi,rcx
     
164.        
     
165.         mov eax,(IMAGE_EXPORT_DIRECTORY ptr [rbx]).AddressOfNameOrdinals
     
166.         add rax,rcx
     
167.        
     
168.         movzx eax,word ptr [rax][r8*2]
     
169.         mov eax,[rdi][rax*4]
     
170.         add rax,rcx
     
171.        
     
172.         jmp done
     
173.        
     
174.         @@:
     
175.         inc r8
     
176.         cmp r8d,(IMAGE_EXPORT_DIRECTORY ptr [rbx]).NumberOfNames
     
177.         jb re
     
178.                
     
179.         xor rax,rax
     
180. 
     
181. 
     
182. done:               
     
183.         ret
     
184. _GetProcAddress endp
     
185. 
     
186. 
     
187. _thunk__CreateProcessA proc
     
188. 
     
189.         push r9
     
190.         push r8
     
191.         push rdx
     
192.         push rcx
     
193.         call _KernelBase       
     
194.         mov rcx,rax
     
195.         call @F       
     
196.         byte "CreateProcessA",0
     
197.         @@:
     
198.         pop rdx
     
199.         call _GetProcAddress
     
200.        
     
201.         mov _imp__CreateProcessA,rax
     
202.        
     
203.         pop rcx
     
204.         pop rdx
     
205.         pop r8
     
206.         pop r9
     
207.         push rax
     
208.         ret
     
209. _thunk__CreateProcessA endp
     
210. 
     
211. 
     
212. _thunk__CloseHandle proc
     
213.         push r9
     
214.         push r8
     
215.         push rdx
     
216.         push rcx
     
217.         call _KernelBase       
     
218.         mov rcx,rax
     
219.         call @F       
     
220.         byte "CloseHandle",0
     
221.         @@:
     
222.         pop rdx
     
223.         call _GetProcAddress
     
224.        
     
225.         mov _imp__CloseHandle,rax
     
226.        
     
227.         pop rcx
     
228.         pop rdx
     
229.         pop r8
     
230.         pop r9
     
231.         push rax
     
232.         ret
     
233. _thunk__CloseHandle endp
     
234. 
     
235. 
     
236. _thunk__GetStartupInfo proc
     
237.         push r9
     
238.         push r8
     
239.         push rdx
     
240.         push rcx
     
241.         call _KernelBase       
     
242.         mov rcx,rax
     
243.         call @F       
     
244.         byte "GetStartupInfoA",0
     
245.         @@:
     
246.         pop rdx
     
247.         call _GetProcAddress
     
248.        
     
249.         mov _imp__CloseHandle,rax
     
250.        
     
251.         pop rcx
     
252.         pop rdx
     
253.         pop r8
     
254.         pop r9
     
255.         push rax
     
256.         ret
     
257. _thunk__GetStartupInfo endp
     
258. 
     
259. 
     
260. _main proc uses rdi
     
261.         @LOCAL _si,STARTUPINFO
     
262.         @LOCAL _pi,PROCESS_INFORMATION
     
263.         END_LOCAL QWORD * 10
     
264.        
     
265.         and (STARTUPINFO ptr _si).cb,0
     
266.        
     
267.        
     
268.         fastcall CreateProcessA,rcx,0,0,0,0,0,0,0,addr _si,addr _pi
     
269.        
     
270.         or eax,eax
     
271.         jz @F
     
272.        
     
273.         fastcall CloseHandle,(PROCESS_INFORMATION ptr _pi).hThread
     
274.        
     
275.         fastcall CloseHandle,(PROCESS_INFORMATION ptr _pi).hProcess
     
276.        
     
277.        
     
278.         @@:
     
279.         EPILOG       
     
280.         ret
     
281. _main endp
     
282. 
     
283. 
     
284. .code
     
285. 
     
286. 
     
287. 
     
288. 
     
289. WinMainCRTStartup proc
     
290.         int 3       
     
291.        
     
292.         call @F
     
293.         byte "calc.exe",0
     
294.         @@:
     
295.         pop rcx
     
296.         int 3
     
297.         call _main
     
298.        
     
299.         int 3
     
300.         ret
     
301. WinMainCRTStartup endp
     
302. 
     
303. 
     
304. end

复制代码

AyalaRs

有bug反馈，不定时间处理

cyycoish

支持Ayala！