SILVERPICK

버전

v1.1

개요

SILVERPICK 프로젝트는 Windows User-Mode Shellcode Development Framework (WUMSDF)이며, 그 유일한 목적은 기능 개발자(capability developers)가 C/C++를 사용하여 Windows x64용 Position Independent Code (PIC) blob을 쉽게 빌드할 수 있게 하여 그러한 작업의 개발 비용을 줄이는 것입니다.

이 프로젝트는 WILDBEAST 프로젝트에서 파생되었으며, 따라서 다음을 활용합니다:

코드 편집기: Visual Studio Code
컴파일러 툴체인: MinGW-w64
빌드 시스템: GNU Make

설치

설치 지침은 여기에서 확인할 수 있습니다: GCC-Clang-Setup-Windows

이 프로젝트는 MSYS2를 사용한다는 점에 유의하세요.

특징

고수준 프로그래밍 언어로 셸코드를 작성하는 것은 새로운 일이 아니며, 2010년부터 이와 관련된 수많은 블로그 게시물과 연구 논문이 발표되었습니다. 그렇다면 SILVERPICK에는 무엇이 새로운 것일까요?

글쎄요, 그렇게 물어봐 주셔서 기쁩니다.

SILVERPICK은 비장의 멋진 작은 트릭들을 숨겨두고 있습니다. 하지만 무엇보다도, 이것은 이 주제에 대한 저만의 해석입니다.

그럼, 더 지체하지 않고 첫 번째 트릭을 소개하겠습니다.

트릭 01

Matt Graeber가 C로 셸코드를 작성하는 것을 대중화한 이후로, 대부분의 사람들은 그가 작성한 Assembly 언어로 쓰인 16바이트 스택 정렬 스텁을 사용해 왔습니다.

이것이 문제가 되는 것은 아니지만, 우리가 IKEA가 아니라는 점을 고려하면 어셈블리는 필요하지 않아야 하며, 실제로도 필요하지 않습니다.

여러분을 위해 스택 정렬 스텁을 생성해 주는 GCC 함수 속성(Function Attribute)이 존재합니다.

도움이 되는 ALIGN_STACK 매크로 형태의 force_align_arg_pointer 함수 속성을 만나보세요. 이 매크로는 다음 어셈블리를 생성합니다:

Disassembly of section .init:

<PicEntry>:
	push   rbp
	mov    rbp,rsp
	and    rsp,0xfffffffffffffff0
	sub    rsp,0x20
	call   <PicEntry+0x11>	IMAGE_REL_AMD64_REL32	.text$payload
	leave
	ret

.init 섹션이 무엇이냐고 물으신다면? 글쎄요, 그것은 제 두 번째 트릭으로 이어지는 좋은 다리가 되어 줍니다.

트릭 02

Matt Graeber가 한때 C로 셸코드를 작성하는 것을 대중화했을지 모르지만, 실제로 이 흑마법을 Stardust로 부활시킨 사람은 Paul Ungur였습니다.

이제, Stardust는 Binutils 링커 스크립트를 사용하여 함수와 데이터가 올바른 순서로 적절한 PE 섹션에 배치되도록 제어합니다. 이 기법 자체는 Austin Hudson의 작업에서 파생된 것이며, 많은 사람들이 그의 링커 스크립트 변형을 사용합니다.

링커 스크립트는 링커 섹션 순서를 지정하는 데 훌륭하지만, 특정 함수를 코드 섹션의 시작 부분에 배치하기만 하면 되는 경우에는 불필요합니다.

여기서 등장하는 것이 .init이라는 특수 섹션 이름을 가진 section 함수 속성입니다. 이 속성은 링커에게 해당 함수가 main() 이전의 런타임 초기화 코드를 포함하고 있으며 링크 순서에서 _첫 번째_여야 한다는 것을 알려줍니다.

이를 위해 CODE_BEGIN 매크로가 만들어졌습니다.

트릭 03

세 번째 트릭으로 STACK_STRING 매크로를 소개합니다.

C에서는 문자열 리터럴을 ANSI 문자의 배열로 선언하여 스택 문자열(스택에 동적으로 구축되는 문자열)을 만들 수 있습니다:

char charrHelloKitty[] = { 'H', 'e', 'l', 'l', 'o', 'K', 'i', 't', 't', 'y', '\0' };

C++에서는 char 배열을 constexpr로 표시하기만 하면 스택 문자열을 만들 수 있습니다:

constexpr char charrHelloKitty[]{ "HelloKitty" };

그러나 컴파일러 최적화 앞에서는 이 두 기법 모두 문자열 리터럴이 충분히 큰 경우 무용지물이 됩니다. 반면 우리의 솔루션은 Can Bölük이 제공한 영리한 C++ 템플릿 메타프로그래밍 해킹 덕분에 문자열 길이와 컴파일러 최적화 수준에 관계없이 작동합니다.

이 매크로 사용법은 매우 간단합니다:

STACK_STRING(sstrText, "an extra long hello world!");
STACK_STRING(sstrCaption, "Demo");

MessageBoxA(nullptr, sstrText.data(), sstrCaption.data(), MB_OK);

이것은 다음 어셈블리를 생성합니다:

mov     [rsp+58h+var_23], 61h ; 'a'
mov     [rsp+58h+var_22], 6Eh ; 'n'
mov     [rsp+58h+var_21], 20h ; ' '
mov     [rsp+58h+var_20], 65h ; 'e'
mov     [rsp+58h+var_1F], 78h ; 'x'
mov     [rsp+58h+var_1E], 74h ; 't'
mov     [rsp+58h+var_1D], 72h ; 'r'
mov     [rsp+58h+var_1C], 61h ; 'a'
mov     [rsp+58h+var_1B], 20h ; ' '
mov     [rsp+58h+var_1A], 6Ch ; 'l'
mov     [rsp+58h+var_19], 6Fh ; 'o'
mov     [rsp+58h+var_18], 6Eh ; 'n'
mov     [rsp+58h+var_17], 67h ; 'g'
mov     [rsp+58h+var_16], 20h ; ' '
mov     [rsp+58h+var_15], 68h ; 'h'
mov     [rsp+58h+var_14], 65h ; 'e'
mov     [rsp+58h+var_13], 6Ch ; 'l'
mov     [rsp+58h+var_12], 6Ch ; 'l'
mov     [rsp+58h+var_11], 6Fh ; 'o'
mov     [rsp+58h+var_10], 20h ; ' '
mov     [rsp+58h+var_2F], 0
mov     [rsp+58h+var_F], 77h ; 'w'
mov     [rsp+58h+var_E], 6Fh ; 'o'
mov     [rsp+58h+var_D], 72h ; 'r'
mov     [rsp+58h+var_C], 6Ch ; 'l'
mov     [rsp+58h+var_B], 64h ; 'd'
mov     [rsp+58h+var_A], 21h ; '!'
mov     [rsp+58h+var_33], 44h ; 'D'
mov     [rsp+58h+var_32], 65h ; 'e'
mov     [rsp+58h+var_31], 6Dh ; 'm'
mov     [rsp+58h+var_30], 6Fh ; 'o'

트릭 04

C++에 관해 말하자면, 네 번째 트릭으로 컴파일 타임 문자열 해싱을 소개합니다.

이것이 새로운 개념은 아니지만, SILVERPICK은 기존 공개 구현에 비해 몇 가지 개선점을 제공합니다.

첫째, 해시 충돌 공격의 성공 확률을 줄이기 위해 널리 사용되는 비암호화 해시 함수인 FNV-1a의 64비트 변형을 사용합니다.

둘째, 사전 계산된 해시 테이블 조회 공격(예: HashDB)을 방어하기 위해 해시 함수에 수정된 매개변수를 사용합니다. 중요하게도, 이것은 해시 함수의 속성을 변경하지 않습니다.

런타임에 짧은 문자열을 해싱하려면 HASH_STRING_RUN_TIME 매크로를 사용하면 됩니다.

컴파일 타임에 짧은 문자열 리터럴을 해싱하려면 HASH_STRING_COMPILE_TIME 매크로를 사용하면 됩니다. 컴파일 타임 전용 평가는 consteval을 통해 보장됩니다.

트릭 05

x86 문자열 명령어로 상당히 많은 C Runtime Library (CRT) 함수를 구현할 수 있다는 것이 밝혀졌습니다. 그래서 당연하게도 저는 컴파일러 내장 함수(intrinsics)와 인라인 어셈블리를 혼합하여 이를 구현해야 했습니다.

코드에서 msvcrt!memset 함수를 사용하고 싶으신가요? 대신 컴파일러 내장 함수를 통해 생성되는 rep stosb 명령어를 사용하는 ZERO_MEMORY 매크로를 사용하세요.

msvcrt!memcpy 함수나 msvcrt!memmove 함수는 어떨까요? 컴파일러 내장 함수를 통해 생성되는 rep movsb 명령어를 사용하는 COPY_MEMORY 매크로를 대체재로 만나보세요.

그렇다면 msvcrt!memcmp 함수의 대안은 어떨까요? repe cmpsb 명령어를 생성할 수 있는 컴파일러 내장 함수가 정확히 존재하지 않는다는 것이 밝혀졌습니다. 그래서 대신 인라인 어셈블리를 사용하여 compare_memory 함수를 작성합니다.

마지막으로, msvcrt!memchr 함수의 대체재를 찾고 있다면, repne scasb 명령어를 생성할 수 있는 컴파일러 내장 함수가 없으므로 다시 인라인 어셈블리를 사용하는 scan_memory 함수를 만나보세요.

아, 그리고 scan_memory 루틴을 사용하여 msvcrt!strlen 함수의 더 안전한 자체 버전을 다음과 같이 작성할 수 있다는 점도 언급하는 것을 잊었나요:

DWORD_PTR dwptrExportNameLength = std::min(BIT_CAST(DWORD_PTR, scan_memory(strExportName, 0x00, MAX_EXPORTED_SYMBOL_NAME_LEN)) - BIT_CAST(DWORD_PTR, strExportName), MAX_EXPORTED_SYMBOL_NAME_LEN);

이 구현들은 대상 CPU 마이크로아키텍처에 따라 가장 성능이 좋은 코드를 생성하지 못할 수 있다는 점에 유의하세요. 그러나 작업을 완료하는 것은 보장됩니다.

트릭 06

좀 더 재미있는 트릭에 관심이 있으신가요?

Common.h에는 컴파일러를 다루는 복잡성을 추상화하기 위한 다른 작은 매크로들이 많이 있습니다.

의존성이 없는 GetModuleHandle 함수 구현이 UserModuleBase.cpp에 제공됩니다. 사용 편의성을 높이기 위해 GET_USER_MODULE_BASE라는 유용한 매크로가 만들어졌습니다.

마찬가지로, 의존성이 없는 GetProcAddress 함수 구현이 PEParse.cpp에 제공되며, 이는 GET_EXPORTED_SYMBOL_ADDRESS라는 적절한 이름의 편리한 매크로로 래핑됩니다. 또한 런타임 동적 링크를 지원하기 위해 두 개의 매크로가 더 제공됩니다 - 함수 포인터를 0으로 선언하고 초기화하는 INITIALIZE_FUNCTION_POINTER와 해당 함수 포인터를 해석하는 RESOLVE_FUNCTION_POINTER입니다.

개발자들이 번거로움 없는 빌드 프로세스를 위해 Ctrl+Shift+B 키보드 단축키를 사용할 수 있도록 Visual Studio Code 통합이 프로젝트에 내장되어 있습니다.

CI 빌드를 활성화하기 위해 GitHub Actions 통합도 프로젝트에 내장되어 있습니다.

SILVERPICK

인기

SILVERPICK

버전

개요

설치

특징

트릭 01

트릭 02

트릭 03

트릭 04

트릭 05

트릭 06