ShellCraftとは？

原義の「シェルコード」を指します。
悪いコードというイミでなく、シェルを呼び出す関数です。

ShellCraftが実行するコード

shellcraft.asm

   /* execve(path='/bin///sh', argv=['sh'], envp=0) */
    /* push '/bin///sh\x00' */
    push 0x68
    push 0x732f2f2f
    push 0x6e69622f
    mov ebx, esp
    /* push argument array ['sh\x00'] */
    /* push 'sh\x00\x00' */
    push 0x1010101
    xor dword ptr [esp], 0x1016972
    xor ecx, ecx
    push ecx /* null terminate */
    push 4
    pop ecx
    add ecx, esp
    push ecx /* 'sh\x00' */
    mov ecx, esp
    xor edx, edx
    /* call execve() */
    push SYS_execve /* 0xb */
    pop eax
    int 0x80

要約すると、

「/* execve(path='/bin///sh', argv=['sh'], envp=0) */」
execveは、システムコールです。OSが用意してる関数みたいなもんです。
これを召喚すればシェルやスクリプトを実行してくれるわけです。
【引数】
第一引数 : 実行したいファイルのパス（実行バイナリやスクリプト）
第二引数 : プログラムに渡す配列（NULLポインタが終端）。ls -lとか
第三引数 : プログラムに渡す環境変数（NULLポインタが終端）

目標として、

eax(ebx, ecx, edx) の形式になることを確認できれば👌
↑ は、
execve("/bin///sh", "sh", 0) と同じイミ

それぞれのレジスタ（e[a-d]x）に文字とかを格納できれば👌

スタックを追う

スタックつうのはprint("HelloWorld!!")するならこんな感じになります。
引数→リターンアドレスの順に、先端へ積んでいくわけです。ジェンガと同じで、先端から取り出します。底の方から取り出すことはできません。

アセンブリで簡易に表すと ↓

HelloWorld!!.asm

push 00!!
push dlroW
push olleH
call print

push : スタックに積め、という命令
pop : スタックから取り出せ、という命令。pushの逆の操作
00 : 終端文字。コンピュータが文字列と命令文を区別するために文字列の終端に供えます。16進数「\x00」はASCIIで「NULL」を指します。

では、セクションごとに見ていきましょう。

①/* push '/bin///sh\x00' */

第一引数として、「/bin///sh」という文字列をスタックに追加すると言っています。

/* push '/bin///sh\x00' */
push 0x68
push 0x732f2f2f
push 0x6e69622f
mov ebx, esp

スタックは4バイト度()にアドレスが割り振られており、0x68(1バイト)は残りの3バイト分を000000で埋めます。これが終端文字NULLに該当します。
0x00000068 : nullnullnullh
0x732f2f2f : s///
0x6e69622f : nib/

1バイト区切りで逆さから読めば「/bin///sh」という文字列の完成です。ASCII表で16進数とアルファベットの対応を確認できます。例えば「2f」は「/」に対応しています。

このパスのシェルを呼び出すようですね。

現在のスタックはこのようになっています。👌

mov ebx, espは、ebxというレジスタにespのアドレスを格納する命令です。「esp」というのは常にスタックの先端アドレスを指すポインタです。
今、このアドレスには「nib/」が格納されており、ここから逆さに文字を辿っていくと、「/bin///sh」と第一引数が完成します🎉

②/* push argument array ['sh\x00'] */

第二引数として、「sh」という文字列をスタックに追加すると言っています。

/* push argument array ['sh\x00'] */
/* push 'sh\x00\x00' */
push 0x1010101
xor dword ptr [esp], 0x1016972
xor ecx, ecx
push ecx /* null terminate */
push 4
pop ecx
add ecx, esp
push ecx /* 'sh\x00' */
mov ecx, esp
xor edx, edx

ただ先ほどと違って命令が多いです。順を追って見ましょう。

push 0x1010101
xor dword ptr [esp], 0x1016972

0x1010101をpushしてみました。

次の命令は、espと0x1016972でxorをとり、その計算結果をespに代入するようです。
espには0x1010101が格納されているので

esp = 0x1010101 xor 0x1016972

という命令になります。
0x6873という値が得られるはずです。ASCIIでいう「sh」に対応します。

espに「sh」を代入すると、

となります。👌

※dword ptrは、espを4バイトとして扱います。esp = 0x1010101は7バイト(7桁)なので0x01010101という風に8バイトで表現します。計算結果は変わりません。

ちょっとした疑問と予想

そもそもespはポインタであり、「データのアドレス」を指しています。しかし、今回のxor演算では「データそのもの（0x1010101）」を表していました。これは、dwordを宣言することでespを「アドレスとして」でなく、「ポインタが指すデータそのものとして」扱わせているのかも🤔

😎

😎

😎

xor ecx, ecx
push ecx /* null terminate */

同じ値でxorをとると値は必ず0になります。ecxには0が代入され、
それをpushすると

となります。👌
この0が第二引数「sh」の終端文字NULLだそうですね。

😎

😎

😎

push 4
pop ecx
add ecx, esp
push ecx /* 'sh\x00' */
mov ecx, esp
xor edx, edx

push 4

しました👌

pop ecx （popした値をecxに格納）

しました👌

add ecx, esp
今、以下の値を足してecxに格納しようとしています。
ecx = 4
esp = 0を格納しているアドレス
すると、、
ecxには「espに4足したアドレス」が格納されます。

※アドレスを「足す」と底に近づきます。先端に行くほどアドレスは小さくなります。4ずつ。正規分布みたく。
ecxには「sh」を指すアドレスが格納されました。

push ecx

mov ecx, esp

ecxには「shを表すアドレスのアドレス」。これが第二引数です。
今、esp + 4の位置にある0はおそらく、shのアドレスの終端文字だと考えられます。

最後に、xor edx, edxでedx = 0になります。これが第三引数です。

引数はすべて完了しました。👌

🍵

🍵

🍵

/* call execve() */

ようやくシステムコールの処理です。
このシステムコールがさっき求めた引数を取ります。

/* call execve() */
push SYS_execve /* 0xb */
pop eax
int 0x80

push SYS_execute・pop eax

スタックはこうなります。👌

int 0x80は、システムコールの呼び出し(重言)命令です。

整理

eax = SYS_execute
ebx = /bin///sh
ecx = sh
edx = 0
eax(ebx, ecx, edx)

execve("bin///sh", "sh", 0) の完成です。

最後に

間違った情報があれば、教えていただきたいです。

今のところ、
"ecxにshのアドレスが格納されてもなおecxにespを代入して間接的なポインタを作るのはエレガント性に欠けるな～"
くらいです。
これ以外の一連は納得しているつもりです。

「解析」にしては手ごろなサイズだったので、楽しいまま解析し終えました。次はシステムコールがどのように引数を取り、どのような一連を経て実行されるのかが知りたいです。

なにか、疑問点・ここってこうじゃね？的な意見があれば是非コメントお願いします。理解の矯正につながると思います。

51c9670f00071a021114094cc8afa5733d4b6c9f5cee2f71f987c60bd573ffb0