标题: shellcode自识别32/64位架构 创建: 2014-12-26 更新: 2017-09-26 17:18 链接: https://scz.617.cn/windows/201412260000.txt 本文为下列文档的意译，仅为收集整理点评，非原创。 -------------------------------------------------------------------------- Architecture Detection (x86 or x64) Assembly Stub - zero sum [2014-12-26] https://zerosum0x0.blogspot.com/2014/12/detect-x86-or-x64-assembly-stub.html Detecting Architecture in Windows - OsandaMalith [2017-09-24] https://osandamalith.com/2017/09/24/detecting-architecture-in-windows/ checking_architecture.cpp https://gist.github.com/hasherezade/0994447e9d3dc184888fb2afd5a57301 The initial values of x86 registers https://github.com/corkami/docs/blob/master/InitialValues.md -------------------------------------------------------------------------- 1) 推荐方案(zero sum) shellcode自识别32/64位架构极其重要，比如Windows的TIB，x86上用FS寻址，x64上 用GS寻址。下面这5字节汇编指令可以自动识别32/64位架构: -------------------------------------------------------------------------- _shellcode: xor ecx,ecx ; set ecx to 0 db 0x41 ; x86 opcode for: inc ecx loop x64_code ; ecx now -1 in x64, we jmp x86_code: ; use fs segment ; ret x64_code: ; use gs segment -------------------------------------------------------------------------- 熟悉x64汇编的人应该知道，[0x40,0x50]经常用作指令前缀，可以利用这点微妙的区 别自动识别32/64位架构。 假设在x86上运行: -------------------------------------------------------------------------- xor ecx,ecx ; 31c9 ecx=0 inc ecx ; 41 ecx=1 loop x64_code ; e201 ecx=0 no jmp -------------------------------------------------------------------------- 假设在x64上运行: -------------------------------------------------------------------------- xor ecx,ecx ; 31c9 ecx=0 rex.B loop x64_code ; 41e201 ecx=-1 jmp -------------------------------------------------------------------------- 这里用"db 0x41"，而不是直接写成"inc ecx"，因为nasm会采用2字节指令避免这种 歧义，我们恰恰需要这种歧义。 上面给出的机器码只是演示，e201中的01是假设x86_code处只有一条ret指令，占1个 字节。 Eternalblue使用了本质上相同的类似方案: -------------------------------------------------------------------------- 31 C0 xor eax, eax 40 90 xchg eax, eax 0F 84 B5 05 00 00 jz x64_main -------------------------------------------------------------------------- 这是推荐方案，它只与CPU相关，与OS无关，理论上针对Linux也能使用这种技术。后 面其他方案都是针对Windows的。 2) Kronos malware xor eax, eax mov ax, cs shr eax, 5 x86/Win7用户态的CS是0x1B，x64/Win7用户态的CS是0x23或0x33，因此最后的eax为0 时表示x86，为1时表示x64。 上述代码只适用于用户态，且无法区分SysWOW64。 3) 其他段选择子 -------------------------------------------------------------------------- x86/Win7 user cs=001b ss=0023 ds=0023 es=0023 fs=003b gs=0000 x64/Win7 32-bits user cs=0023 ss=002b ds=002b es=002b fs=0053 gs=002b x64/Win7 64-bits user cs=0033 ss=002b ds=002b es=002b fs=0053 gs=002b -------------------------------------------------------------------------- x86/Win7 kernel cs=0008 ss=0010 ds=0023 es=0023 fs=0030 gs=0000 x64/Win7 kernel cs=0010 ss=0018 ds=002b es=002b fs=0053 gs=002b -------------------------------------------------------------------------- OsandaMalith受Kronos启发，用其他段选择子区分32/64位架构: -------------------------------------------------------------------------- xor eax, eax mov ax, es ror ax, 0x3 and eax, 0x1 test eax, eax -------------------------------------------------------------------------- xor eax, eax mov eax, gs test eax, eax -------------------------------------------------------------------------- 上述代码无法区分SysWOW64。当然，不必那么死板，只要存在差异，就可以区分。 4) TEB x86/Win7 user > dt ntdll!_TEB WOW32Reserved @$teb +0x0c0 WOW32Reserved : (null) > ? @$teb Evaluate expression: 2147344384 = 7ffde000 x86用户态FS:0指向ntdll!_TEB，可以用"dg @fs"获取FS段基址。 > dg @fs P Si Gr Pr Lo Sel Base Limit Type l ze an es ng Flags ---- -------- -------- ---------- - -- -- -- -- -------- 003B 7ffde000 00000fff Data RW Ac 3 Bg By P Nl 000004f3 x64/Win7 32-bits user > dt ntdll!_TEB WOW32Reserved @$teb +0x0c0 WOW32Reserved : 0x74a92320 Void > u 0x74a92320 l 1 74a92320 ea1e27a9743300 jmp 0033:74A9271E > ? @$teb Evaluate expression: 2130563072 = 7efdd000 > dg @fs P Si Gr Pr Lo Sel Base Limit Type l ze an es ng Flags ---- -------- -------- ---------- - -- -- -- -- -------- 0053 7efdd000 00000fff Data RW Ac 3 Bg By P Nl 000004f3 x64/Win7 64-bits user > dt ntdll!_TEB WOW32Reserved @$teb +0x100 WOW32Reserved : (null) > ? @$teb Evaluate expression: 8796092882944 = 000007ff`fffde000 x64用户态GS:0指向ntdll!_TEB。对于x64，"dg @gs"无法获取GS段基址。 用WOW32Reserved可以区分SysWOW64，但WOW32Reserved的偏移对于三种情况不统一， 而且访问TEB时涉及FS、GS的选择，本方案意义不大。 xor eax, eax mov eax, [FS:0xc0] test eax, eax