CONFIGURAÇÃO

Você pode encontrar as instruções de configuração aqui: GCC-Clang-Setup-Windows

Por favor, note que este projeto está usando MSYS2.

FUNCIONALIDADES

Escrever shellcode em linguagens de programação de alto nível não é novidade, e inúmeros posts de blog e artigos de pesquisa foram publicados sobre o assunto desde 2010. Então, o que há de novo no SILVERPICK?

Bem, fico feliz que você tenha perguntado.

SILVERPICK tem um belo repertório de truques escondidos na manga, mas, acima de tudo, esta é a minha visão sobre o assunto.

Então, sem mais delongas, apresento a vocês meu primeiro truque.

TRUQUE 01

Desde que Matt Graeber popularizou escrever shellcode em C, a maioria das pessoas tem usado seu stub de alinhamento de pilha de 16 bytes escrito em linguagem Assembly.

Embora isso não seja um problema, já que não somos a IKEA, assembly não deveria ser necessário, e de fato não é.

Existe um GCC Atributo de Função que emitirá o stub de alinhamento de pilha para você.

Conheça o atributo de função force_align_arg_pointer na forma de uma útil macro ALIGN_STACK, que gera o seguinte assembly:

O que é a seção .init, você pergunta? Bem, isso serve como uma boa transição para o meu segundo truque.

TRUQUE 02

Matt Graeber pode ter popularizado escrever shellcode em C em algum momento, mas, na verdade, foi Paul Ungur quem reviveu essa arte negra com Stardust.

Agora, Stardust usa um script de linker do Binutils para controlar o posicionamento de funções e dados na seção PE apropriada na ordem correta. Essa técnica em si é derivada do trabalho de Austin Hudson, e muitas pessoas usam uma variante de seus scripts de linker.

Embora scripts de linker sejam ótimos para ordenar seções do linker, se tudo o que você precisa é colocar uma determinada função no início da seção de código, eles são desnecessários.

Entre o atributo de função section com um nome de seção especial chamado .init, que indica ao linker que a função contém código de inicialização em tempo de execução pré-main() e deve estar primeiro na ordem de link.

Para esse efeito, a macro CODE_BEGIN foi criada.

TRUQUE 03

Para o meu terceiro truque, apresento a vocês a macro STACK_STRING.

Em C, você pode criar uma stack string (uma string construída dinamicamente na pilha) declarando o literal de string como um array de caracteres ANSI:

Em C++, você pode criar uma stack string simplesmente marcando um array char como constexpr:

No entanto, ambas as técnicas se tornam inúteis diante de otimizações do compilador se os literais de string forem suficientemente grandes, ao contrário da nossa solução, que funcionará independentemente do comprimento da string e do nível de otimizações do compilador, graças a um engenhoso hack de metaprogramação com templates C++ cortesia de Can Bölük.

Usar essa macro é bastante simples:

Isso gerará o seguinte assembly:

TRUQUE 04

Falando em C++, apresento a vocês hashing de strings em tempo de compilação para o meu quarto truque.

Embora este não seja um conceito novo, SILVERPICK oferece algumas melhorias em relação às implementações públicas existentes.

Primeiramente, usamos a variante de 64 bits da popular função hash não criptográfica FNV-1a para reduzir a probabilidade de um ataque bem-sucedido de colisão de hash.

Em segundo lugar, usamos um parâmetro modificado para a função hash para nos defendermos contra consultas de tabelas hash pré-calculadas, como o HashDB. Crucialmente, isso não altera as propriedades da função hash.

Para fazer hash de uma string curta em tempo de execução, basta usar a macro HASH_STRING_RUN_TIME.

Para fazer hash de um literal de string curta em tempo de compilação, basta usar a macro HASH_STRING_COMPILE_TIME. A avaliação somente em tempo de compilação é garantida via consteval.

TRUQUE 05

Acontece que você pode implementar um bom punhado de funções da C Runtime Library (CRT) usando instruções de string x86. Então, é claro, eu tive que implementá-las usando uma mistura de intrínsecos do compilador e assembly inline.

Você quer usar a função msvcrt!memset no seu código? Use a macro ZERO_MEMORY em vez disso, que usa a instrução rep stosb emitida por meio de um intrínseco do compilador.

E quanto à função msvcrt!memcpy ou à função msvcrt!memmove, você pergunta? Conheça a macro COPY_MEMORY como substituta, que usa a instrução rep movsb emitida por meio de um intrínseco do compilador.

Mas e uma alternativa para a função msvcrt!memcmp? Acontece que não existe exatamente um intrínseco do compilador disponível para emitir a instrução repe cmpsb. Então, escrevemos uma função compare_memory usando assembly inline.

Finalmente, se você procura um substituto para a função msvcrt!memchr, conheça a função scan_memory, que mais uma vez usa assembly inline, já que não há intrínseco do compilador disponível para emitir a instrução repne scasb.

Ah, e eu esqueci de mencionar que você pode escrever sua própria versão mais segura da função msvcrt!strlen usando a rotina scan_memory da seguinte forma:

Por favor, observe que essas implementações podem não produzir o código com melhor desempenho, dependendo da microarquitetura do CPU alvo. No entanto, elas têm a garantia de fazer o trabalho.

TRUQUE 06

Interessado em mais truques de salão?

Há muitas outras macros pequenas em Common.h que existem para abstrair algumas das complexidades de manipular o compilador.

Uma implementação sem dependências da função GetModuleHandle é fornecida em UserModuleBase.cpp. Para simplificar a facilidade de uso, uma macro útil denominada GET_USER_MODULE_BASE foi criada.

Da mesma forma, uma implementação sem dependências da função GetProcAddress é fornecida em PEParse.cpp, que é então envolvida em uma macro prática apropriadamente chamada de GET_EXPORTED_SYMBOL_ADDRESS. Além disso, duas outras macros foram fornecidas para auxiliar na vinculação dinâmica em tempo de execução - INITIALIZE_FUNCTION_POINTER para declarar e inicializar um ponteiro de função em 0, e RESOLVE_FUNCTION_POINTER para resolver o referido ponteiro de função.

A integração com Visual Studio Code está embutida no projeto para que os desenvolvedores possam usar o atalho de teclado Ctrl+Shift+B para um processo de build sem complicações.

A integração com GitHub Actions também está embutida no projeto para permitir builds de CI.

O projeto tem certo orgulho em sua estrutura bem organizada, bem como no código totalmente comentado e relativamente limpo.

Por fim, dê uma olhada no Makefile do projeto, que contém a melhor seleção de flags do compilador e do linker que irão gerar código pequeno, seguro e amigável ao OPSEC. Enquanto isso, o log detalhado e um arquivo de mapa do linker gerado fornecerão visibilidade sobre o processo de build para facilitar uma compreensão mais profunda da toolchain. Além disso, cada unidade de tradução também produz um arquivo de desmontagem que, após inspeção, muitas vezes fará você dizer coisas como "o que o compilador fez agora?", etc.

USO

Se você está convencido sobre o framework, esta seção descreve como você pode utilizá-lo.

O seguinte é um trecho retirado de PicMain.cpp:

Parece fácil o suficiente, não?

Ao escrever PIC em C/C++ usando o framework SILVERPICK, você precisa levar em consideração as seguintes regras:

1. Trate a função payload como você trataria a função main de um programa tradicional, ou seja, como o (pseudo) ponto de entrada.
2. Todos os literais de string devem ser declarados como stack strings.
3. Variáveis globais não podem ser usadas em nenhum lugar do código.
4. As funções Windows API ou Native API só podem ser usadas por meio de vinculação dinâmica em tempo de execução após garantir que o protótipo da função esteja disponível no arquivo de cabeçalho correspondente.

MELHORIAS FUTURAS

Esta seção contém uma lista não exaustiva de melhorias planejadas que serão integradas em um projeto futuro.

• Mudar para a toolchain Clang/LLVM.
• Mudar para um sistema de build diferente.
• Ofuscação de strings em tempo de compilação que funcione com stack strings e seja resistente a FLOSS.
• Hashing de strings em tempo de compilação usando uma função hash personalizada não criptográfica com semente.
• Método alternativo para obter o endereço base do segmento GS.
• Capacidade de contornar a mitigação de exploração Export Address Filtering (EAF).

REFERÊNCIAS

A seguir está uma lista de referências organizadas em ordem cronológica que se mostraram inestimáveis para mim durante minha pesquisa e foram amplamente usadas como inspiração para este projeto:

1. Escrevendo Shellcode com um Compilador C por Nick Harbour (2010)

2. Shellcode com um Compilador C por Didier Stevens (2010)

3. Escrevendo Shellcode Otimizado para Windows em C por Matt Graeber (2013)

4. Shellcode do melhor jeito, ou como simplesmente usar seu compilador por Justin Fisher (2016)

5. ShellcodeStdio por Jack Ullrich (2016)

6. Shellcode: Um PIC para Windows usando troca de chaves RSA-2048, AES-256, SHA-3 por Odzhan (2016)

7. Escrevendo Shellcode Otimizado para Windows por Dimitri Fourny (2017)

8. Escrevendo e Compilando Shellcode em C por Aleksandra Doniec e Mantvydas Baranauskas (2021)

9. Criando Shellcode a partir de qualquer Código Usando Visual Studio e C++ por Hamid Memar (2021)

10. Escrevendo Shellcode Otimizado para Windows em C por Philip Woldhek (2021)

11. De C, com assembly inline, a shellcode por Steve Salinas (2023)

12. Como Criar Seu Próprio Shellcode Windows x86/64 com Visual Studio por Yazid Benjamaa (2023)

13. Design moderno de implantes: desenvolvimento de malware independente de posição por Paul Ungur (2024)

14. Do C ao shellcode (maneira simples) por Print3M (2024)

15. relocatable por Tijme Gommers (2025)

16. Curso Intensivo de Desenvolvimento de PIC por Raphael Mudge (2025)

17. scfw por Petr Beneš (2026)

ERRATA

VirusTotal

O que me pareceu estranho foi a classificação VirTool:Win64/Silepesz.A pelo Microsoft Defender.

Estes são os bytes que a assinatura cobre:

Isso se traduz de volta para o seguinte código-fonte:

Escusado será dizer que esta é uma detecção extremamente frágil e só detectará o código de exemplo exato mostrado no exemplo. No entanto, ela destaca a importância de usar hashes polimórficos de API.