음악과 함께 세상 살아가는 이야기

컴퓨터 바이러스란 의미가 요즘은 악성코드 혹은 시스템을 파괴하는 형태로 쓰여지고 있다. 근데 왜 바이러스라고 부를까...

초창기 바이러스 프로그램은 실제 의학에서 쓰는 바이러스 용어처럼 숙주가 없인 살수 없고 숙주 프로그램에 묻어서 실행되는 코드를 의미한다. 즉, 원래의 실행 파일에 바이러스 코드가 삽입되서 실행된 후, 원래의 코드로 다시 점프해서 바이러스 자신을 숨길 수 있다. 이런 바이러스 코드들은 어셈블러와 OS 로더 구조를 조금만 이해하면 금방 짤 수 있다.

이번 시간에는, 실제 바이러스코드가 아닌 원래의 프로그램에 원하는 코드를 넣어 실행한 후 오리지널 프로그램으로 점프하는 방법을 소개한다.

테스트는 Windows 7 SP1 에서 테스트 되었으며, 프로그램은 비주얼 스튜디오 2008 SP1 에서 컴파일 되었다.

1. 간단한 메세지 박스 출력 프로그램
MessageBox 함수를 이용하여 Hello, World를 출력하는 간단한 프로그램을 만들어 보자.

#pragma comment(linker,"/ENTRY:main /FILEALIGN:0x200 /MERGE:.data=.text /MERGE:.rdata=.text /SECTION:.text,EWR /IGNORE:4078")
#include 
int main(int argc, char *argv[])
{
    MessageBox(NULL, "Hello, World", "waintman.tistory.com", MB_OK);
    ExitProcess(0);
}

#include 
int main()
{
    printf("Hello, World");
    return 0;
}

#include 
#include 

/***************************************
arwin - win32 address resolution program
by steve hanna v.01
   vividmachines.com
   shanna@uiuc.edu
you are free to modify this code
but please attribute me if you
change the code. bugfixes & additions
are welcome please email me!
to compile:
you will need a win32 compiler with
the win32 SDK

this program finds the absolute address
of a function in a specified DLL.
happy shellcoding!
***************************************/


int main(int argc, char** argv)
{
        HMODULE hmod_libname;
        FARPROC fprc_func;
        
        printf("arwin - win32 address resolution program - by steve hanna - v.01n");
        if(argc < 3)
        {
                printf("%s  n",argv[0]);
                exit(-1);
        }

        hmod_libname = LoadLibrary(argv[1]);
        if(hmod_libname == NULL)
        {
                printf("Error: could not load library!n");
                exit(-1);
        }
        fprc_func = GetProcAddress(hmod_libname,argv[2]);
        
        if(fprc_func == NULL)
        {
                printf("Error: could find the function in the library!n");
                exit(-1);
        }
        printf("%s is located at 0x%08x in %sn",argv[2],(unsigned int)fprc_func,argv[1]);


}

[SECTION .text]

global _start

_start:

	xor eax, eax
	xor ebx, ebx
	xor ecx, ecx
	xor edx, edx
	jmp short GetLibrary
LibraryReturn:
	pop ecx
	mov [ecx + 10], dl
	mov ebx, 0x771d395c
	push ecx
	call ebx

	jmp short PrintfFunc
PrintfFuncReturn:
	pop ecx
	xor edx, edx
	mov [ecx+12], dl
	push ecx
	mov ebx, 0x76c3c5b9
	call ebx
	xor eax,eax
	push eax			
	mov eax, 0x76c336aa 		;exitprocess(exitcode);
	call eax	

GetLibrary:
	call LibraryReturn
	db 'msvcrt.dllN'
		
		
		
PrintfFunc:
	call PrintfFuncReturn
	db 'Hello, WorldN'

 char shellcode[] = "\x31\xc0\x31\xdb\x31\xc9\x31\xd2\xeb\x26\x59\x88\x51\x0a\xbb\x5c\x39\x1d\x77\x51\xff\xd3\xeb\x28\x59\x31\xd2\x88\x51\x0c\x51\xbb\xb9\xc5\xc3\x76\xff\xd3"
 			  "\x31\xc0\x50\xb8\xaa\x36\xc3\x76\xff\xd0\xe8\xd5\xff\xff\xff\x6d\x73\x76\x63\x72\x74\x2e\x64\x6c\x6c\x4e\xe8\xd3\xff\xff\xff"
 			  "\x48\x65\x6c\x6c\x6f\x2c\x20\x57\x6f\x72\x6c\x64\x4e";

int main(int argc, char **argv)
{
	int *code;
	code = (int *)shellcode;
	__asm {
		jmp code;
	}
	return 0;
}