sclauncher

SCLauncher - Penguji Shellcode, Debugger, dan Pembungkus File PE

Program ini dirancang untuk memuat kode shell 32-bit atau 64-bit dan memungkinkan eksekusi atau debugging. Selain itu, dapat menghasilkan file PE yang dapat dieksekusi berdasarkan shellcode yang diinginkan. Hal ini dapat memudahkan pengujian karena biner keluaran dapat digunakan oleh alat rekayasa balik standar (yaitu IDA Pro (bahkan gratis) dan debugger).

Biner rilis tersedia. Anda dapat melihat demo alat ini di YouTube

Program ini menyediakan beberapa opsi untuk bekerja dengan kode shell Anda, diatur berdasarkan penggunaannya.

Argumen global

• -f: diperlukan, jalur file untuk memuat kode shell
• -ep: menyesuaikan offset titik masuk. Jika di-debug, ini akan menjadi offset yang dijalankan. jika digunakan dengan pembuatan file PE, ini akan menjadi nilai AddressOfEntry

Men-debug kode shell

• -bp: SCLauncher akan memasukkan breakpoint (0xCC) pada offset yang diinginkan. Catatan, ini tampaknya tidak berfungsi pada semua debugger.
• -jeda: Menjeda eksekusi sebelum mengeksekusi kode shell, memungkinkan pemasangan debugger atau alat pemantauan lainnya untuk dimulai.
• -d: jalur ke file untuk memuat konten tambahan. Misalnya, jika shellcode bergantung pada konten lain yang ada di memori.
• -mm: Hanya berfungsi dengan -d, ini akan memuat konten tambahan yang ditunjuk oleh argumen -d sebagai file yang dipetakan memori.

Membuat File PE

• -pe: Memberitahu SCLauncher untuk membuat file PE
• -d: Jika digunakan dalam konteks pembuatan file PE, akan dibuat bagian baru bernama .content dengan konten file ini.
• -64: Membuat executable 64-bit, untuk digunakan dengan kode shell 64-bit.
• -o: Mendefinisikan nama file keluaran untuk file PE yang dihasilkan. Standarnya adalah sc_outpout.exe .

Mengeksekusi Shellcode Dari File

Satu-satunya argumen yang diperlukan adalah menyediakan jalur ke file yang berisi kode shell Anda. Anda melakukannya dengan menggunakan argumen -f . Ini akan disalin ke memori dan dieksekusi. Selain itu, Anda dapat menggunakan argumen -ep untuk menyesuaikan titik masuk sebesar X byte. Hal ini memungkinkan kode shell yang tidak memulai eksekusi di awal gumpalan biner. Terakhir, -bp menentukan apakah breakpoint harus dimasukkan sebelum kode shell. Ini akan dilakukan melalui byte 0xCC , yang merupakan INT3. Hal ini memungkinkan Anda untuk menjalankan program di bawah debugger, mendefinisikan argumen baris perintah yang sesuai. Memasukkan breakpoint akan memungkinkan debugger menghentikan eksekusi sebelum kode shell dijalankan. Jika Anda tidak menjalankan debugger, jangan masukkan breakpoint karena akan menyebabkan program mogok.

Memproduksi file PE

Anda dapat menggunakan argumen -pe untuk menghasilkan file PE yang pada dasarnya membungkus kode shell. Shellcode ditempatkan di bagian .text . Titik masuk didefinisikan sebagai awal bagian, kecuali argumen -ep digunakan. Argumen ini akan menentukan offset dari awal bagian dan digunakan untuk memperbarui titik masuk file PE (yaitu bidang AddressOfEntry). Selain itu, argumen -64 dapat digunakan untuk menghasilkan file PE 64-bit, kemungkinan besar untuk kode shell 64-bit. File PE yang dihasilkan dapat dianalisis melalui alat rekayasa balik umum seperti IDA Pro, Ghidra atau debugger seperti x32dbg/WinDbg/etc.

Jika argumen -d digunakan, SCLauncher akan membuat bagian baru bernama .content dan menyalin konten file ke bagian ini. Bagian ini akan mengikuti bagian .text .

Bagaimana jika saya memiliki array char?

Jika Anda memiliki kode shell yang belum dalam keadaan biner, Anda dapat menggunakan CyberChef untuk mengonversi kode shell tersebut dan mengunduhnya sebagai file.

Berikut adalah contoh shellcode dari Exploit-DB yang diubah menjadi konten biner di CyberChef.

Kompilasi Dari Sumber

Program ini dimaksudkan untuk dikompilasi dengan compiler C/C++ dari Microsoft. Anda dapat menggunakan Developer Command Prompt setelah menginstal versi gratis/komunitas untuk dikompilasi menggunakan cl . Contoh dari perintah ini adalah:

cl sclauncher.c

Ini akan menghasilkan sclauncher.exe yang dapat dieksekusi.