CodeShell（Codeshell C#）
为什么shellcode分析很难
载荷分析本次攻击使用的是一个代号为PLEAD的后门程序，该木马的核心功能以shellcode的形式存在，外壳实现的功能通常是分配一块内存，并将加密的shellcode解密到该内存中，完成后直接跳转到相应的内存块执行。
攻击过程通过 DOC文档中的恶意宏传播，文档内隐藏了Etr73exe和hqpi6exe（WARZONE RAT的释放器）。恶意软件通过“无文件技术”和CR4加密通信，执行包括欺骗用户打开文档、下载、解密和执行Shellcode等一系列步骤。其中，RAT模块在内存中加载并利用printf和sleep函数进行延迟，以逃避监控。
本章将带领读者从一个简单的内核漏洞程序exploitme.sys的编写开始，展示内核漏洞利用的思路、方法，以及利用程序和Ring0 Shellcode的编写和设计。第23章 FUZZ驱动程序掌握了内核漏洞的原理和利用方法，本章将进入内核漏洞挖掘阶段，学习较为高级的内核漏洞挖掘技术，最后实践该漏洞挖掘技术，分析挖掘出内核漏洞。
当黑客通过网路对资料库进行攻击，利用缓冲区漏洞的攻击会通过劫持被入侵函式中的栈中的函式返回值，来夺取函式控制，跳转到黑客编写的shellcode。当shellcode开启CMDwindows即可通过资料库账号来操控作业系统，从而夺取整个作业系统的过程。 认证绕过 。
绕过SafeSEH的攻击手段包括在模块外空间写入shellcode，利用未启用的模块进行跳转，或者试图修改或清空SEH表。但这些方法通常技术难度较大，且需要精确控制Scope Table地址、GS Cookie和next SEH等关键信息。
本来后面想研究一下它怎么实现的堆布局，以及覆盖这部分内存是什么结构体，以及shellcode写入的包是在哪个部分的，发现自个有点搞不动了，看几天书回忆回忆再来弄。之前分析wanacry的时候感觉挺简单的，内核分析感觉像是在盲人摸象，每一次观察都能有新的东西，但是又始终无法有一个完整清晰的轮廓。
黑狮行动:针对西班牙语地区的攻击活动分析
威胁分析显示，攻击目标集中在政府和公共服务部门，且攻击者通过控制命令服务器巧妙隐藏身份。尽管如此，我们在一个样本中找到了与KingSqlZ相关的线索，土耳其语的存在，证实了攻击者的潜在来源。据推测，这次攻击可能起源于土耳其，攻击者的活跃时区在东3区（UTC+3）附近。
远程加载bin文件
1、ROM映像文件：如果BIN文件是游戏或计算机系统的ROM映像文件，你可以使用相应的模拟器软件，比如PCSX2（PlayStation2模拟器）、Dolphin（Wii和GameCube模拟器）等，来加载和运行BIN文件。
2、首先打开电脑上的软媒魔方，如下图所示。然后在软媒魔方主界面找到【应用大全】，点击打开，如下图所示。接着在【磁盘文件】下找到虚拟光驱，点击打开，如下图所示。这时会弹出“软媒虚拟光驱”窗口，点击上方的【加载镜像】，如下图所示。
3、原因daemontools软件版本太低，导致无法打开bin文件。原因可以是bin文件有疑问，有些文件以bin为扩展名，但是并非是虚拟光驱的镜像文件，所以这个bin的文件要确认好是否是镜像文件才行。其它软件所应用的bin文件daemon是打不开的。
noexecstack编译选项作用
该保护作用于链接阶段，所以需要把参数传递给链接器。 使用-Wl，的格式传递给链接器。_褂酶袷轿？-Wl， -z noexecstack 选项。可用于动态库、ELF格式的可执行文件。
-Wl，-z，noexecstack -L$（PLATFORM_LIBRARY_DIRECTORYS）crtbegin_static.o crtend_android.o 这其中链接参数中的-Wl，-dynamic-linker，/system/bin/linker、crtbegin_static.o、crtend_android.o是最关键的，android使用了自己的进程加载器，并且自定义了c运行时的启动结束。难怪先前编译的进程启动不了。
怎么编写本地shellcode
使用xor指令对寄存器进行清零或者cld，如：xor eax， eax xor ebx， ebx xor ecx， ecx cld ； 该指令对edx进行清零 如果需要将eax的值赋为0x5，不能直接写成mov eax， 0x05，因为它会生成机器码mov eax， 0x00000005，会有0填充。
攻击代码通常会释放攻击载荷（payload），里面包含了攻击者想要执行的代 码。
[1]编写shellcode，shellcode是使用汇编语言写一段汇编程序，该程序实现so库的加载、so库函数查找以及执行库中的函数。[2]通过远程进程pid，ATTACH到远程进程。[3]获取远程进程寄存器值，并保存，以便注入完成后恢复进程原有状态。[4]获取远程进程系统调用mmap、dlopen、dlsym调用地址。
把CALL 0x0040102C改成：mov eax， 0x0040102C CALL dword ptr[eax]不过我不认为这样的程序会有用。
ShellCode实际上就是一组可以完成我们想要的功能的机器代码，这些代码通常都是以十六进制的数组形式存在的，黑客常常会根据自己需要实现的目的来编写这段代码。最常见的ShellCode形式，就是一个打开DOS窗口的代码，从而使黑客得到一个远程的Shell，这样就完成了系统漏洞溢出的操作。
shellcode是什么意思?
攻击代码通常会释放攻击载荷（payload），里面包含了攻击者想要执行的代 码。
Shellcode是可执行代码的泛称，它在目标系统上被成功执行后，将恶意修改目标系统的配置和行为。
载荷为代号为PLEAD的RAT木马，该木马主体是可直接执行的二进制代码（shellcode），精湛短小，非常容易免杀。从2011年至今，腾讯御见威胁情报中心在跨度长达6年的时间内对该组织进行追踪，总共捕捉到数百个样本和c&c域名。
以一段早些年ShellCode的十六进制代码为例，代码如下图所示，这段不起眼的代码，实际上实现了一个下载者的功能。 拿到这样的十六进制代码，一般来说，先将其生成二进制文件，然后再分析其指令，通过反汇编指令再写出源码。
转换成的类型为void（*）（void），就是转成一个指向函数的指针类型；转化后如果加括号，就可以对该函数进行调用，格式如下：（void（*）（void） &shellcode）（）如果是测试shellcode的功能，还可以用下面这个方法：__asm { lea eax， shellcode call eax } 这个方便记，直接call shellcode的地址。
写过程序的人都知道，代码环境是非常重要的。shellcode是针对特定软件和版本的运行环境进行攻击，往往在其他环境中根本不起作用，也就表现不出恶意行为。处理恶意行为并不容易 shellcode是为了入侵机器并执行想要执行的程序而生。那么。。分析环境自身也许就已经被shellcode控制。