Замена для WinAPI. Пишем раннер для шелл-кода на чистом .NET

Что пред­став­ляет собой стан­дар­тный шелл‑код‑ран­нер? В прин­ципе, ничего осо­бен­ного в нем нет. Алго­ритм прост как валенок:

1. Сге­нери­ровать, написать или где‑то поза­имс­тво­вать нуж­ный шелл‑код. Для это­го час­то исполь­зуют готовые фрей­мвор­ки вро­де Metasploit.
2. Вы­делить память под шелл‑код. Здесь чаще все­го обра­щают­ся к фун­кции VirtualAlloc() или низ­коуров­невым ана­логам, нап­ример NtAllocateVirtualMemory().
3. Ес­ли на пун­кте 2 память была выделе­на без бита executable, то пос­тавить этот бит на память. Тут дер­гают VirtualProtect() или NtProtectVirtualMemory().
4. Ско­пиро­вать шелл‑код в память. В слу­чае С++ прог­раммы обра­щают­ся к memcpy(), а в слу­чае C# мож­но рас­смот­реть Marshal.Copy().
5. Пе­редать поток управле­ния по адре­су шелл‑кода. Реали­зует­ся, нап­ример, через соз­дание нового потока внут­ри CreateThread().
6. Ус­пех!

Та­ким обра­зом, стан­дар­тный шелл‑код‑ран­нер выг­лядит вот так.

Об­рати вни­мание, что в кон­це идет вызов WaitForSingleObject(). Он здесь не прос­то так. Наша прог­рамма дела­ет self-injection (внед­рение шелл‑кода в адресное прос­транс­тво текуще­го про­цес­са). Запуск шелл‑кода про­исхо­дит в фун­кции CreateThread(). Если бы пос­ле этой фун­кции ничего не было, то прог­рамма при­оста­нови­ла бы выпол­нение и завер­шилась. Как следс­твие, наш шелл‑код перес­танет выпол­нять­ся.

По­это­му вызов фун­кции WaitForSingleObject() пре­дот­вра­щает преж­девре­мен­ное зак­рытие прог­раммы. Наша основная прог­рамма будет пос­лушно ожи­дать успешно­го исполне­ния шелл‑кода.

Итак, запус­каем код и видим, что все ста­биль­но работа­ет.

Те­перь давай поп­робу­ем изме­нить прог­рамму так, что­бы изба­вить­ся от всех фун­кций WinAPI. В качес­тве шелл‑кода, как ты понял, исполь­зуем стан­дар­тный запуск каль­кулято­ра. Архи­тек­тура — х86.

Синхронизация через Sleep

Нач­нем с самого прос­того — выб­росим фун­кцию WaitForSingleObject(). Ее пос­ледним аргу­мен­том было зна­чение 0xFFFFFFFF, что рав­носиль­но кон­стан­те INFINITE в C++.