Hola culeros( a lo Español) recientemente @adwind comento que si alguien podía modificarlo (el shellcode original de hamavb que no acepta parámetros.) para que aceptara parametros. (también hace tiempo Scorpio me había preguntado lo mismo). La verdad es que no tenia ganas de modificarlo pues no uso nada de RunPE ni similares. Pero a la final lo vi interesante como para un reto entonces lo hice.

Realmente no esta optimizado incluso hubo unas cosas (instrucciones en asm) que hice que luego pensé en quitarla(por no ser necesarias) pero dije: (no importa el que lo quiera mejorar que lo haga igual yo ni lo voy a usar )

El que este interesado en lo que le hice al shellcode que lo compare con el original no voy a extenderme en esto. solo dejare el shellcode.bin adjunto y explicare como usarlo.


La llamada es básicamente lo mismo. solo que tenemos que sumar 51 al puntero del shellcode.

Para el envió del parametro debemos reservar 1024 bytes. De los cuales los primeros 256(wchar) los usaremos para colocar la ruta del archivo. y los otros 256(wchar) para colocar nuestro parametro.

Entonces Dejo el pseudocodigo.

mivariable_Ruta_y_Parametro[1024]


Asignamos la Ruta
Copiar ( mivariable_Ruta_y_Parametro, L"C:\ruta_del_archivo.exe" )

Asignamos El Parametro
Copiar ( mivariable_Ruta_y_Parametro+512,L "-parametro" )


"L" quiere decir que las palabras que estamos copiando son unicode.

Bueno sin mas que decir les adjunto el shellcode.bin la pass es: Pink

Responderé dudas pero no voy a compartir codigos. con eso se divierten implementandolo aunque no toma mas de 3 minutos hacerlo.

[Enlace externo eliminado para invitados]


Saludos

Excenlente Pink me imagino que esos 51 valores que sumaremos al puntero del shellcode es por el nuevo codigo que insertaste en el.
Entonces cuando le pasas el parametro de la ruta quedaria asi ===> ruta del fichero + 512 bytes en espacio en blanco + el -parametro deseado
asi que son 256(ruta) + 512(espacio en blanco) +256(-parametro) =1024 por si algunos se pregunta porque se reserva 1024 en la variable ===> mivariable_Ruta_y_Parametro[1024]

si estoy equivocado avisame Pink
Saludos espero hecharlo andar

@Crack81 en realidad el 512 no va porque eso 512 byte son los mismo 256 wchar. Seria mas bien así.

256(ruta) (si la ruta no tiene 256 wchar que no debería porque sino fallaria el shellcode quedan espacios en blanco) +256(-parametro+espacios en blanco) que entonces seria (256 wchar=512 byte + 256wchar=512)=1024 bytes.

Saludos

joder tienes razon di por hecho que char valia 1 byte como en el ascii y no 2 como el unicode que bueno que me coregiste y alguien no se vaya con una mala persepcion

si char vale 1. por eso puse wchar. :)

Saludos

No lo he probado pero tu le pasas la (ruta + parametro a la shellcode.) pero que pasa si quieres encrypter el exe que vas a pasar a la shell code?
Es decir encryptar el exe, leerlo y pasar los bytes del exe a la shellcode y los parametros. XD

Un problema comun es que cuando se crea el proceso y la aplicacion tiene GUI esta se ejecuta y cuando le mandan los parametros ya la GUI se mostró.

adwind escribió:No lo he probado pero tu le pasas la (ruta + parametro a la shellcode.) pero que pasa si quieres encrypter el exe que vas a pasar a la shell code?
Es decir encryptar el exe, leerlo y pasar los bytes del exe a la shellcode y los parametros. XD

No entendi Nada :S

Saludos

Que este RunPe solo sirve para cargar exe sin encryptar ya que le tienes que pasar los parametros como tal al exe. No te da chance de pasarle los bytes del exe y los parametros por separado.


Otra cosa es que cuando se hace uso de CreateProcess y la aplicacion a cargar tiene GUI cuando creas el proceso este te muestra la GUI y luego que le pasas la linea de comandos ya no tiene efecto.

Pues simplemente decifras el EXE en memoria cuando lo vas a pasar al Shellcode. :S


Saludos

Alguien lo Probó?

Saludos

y como queres que lo pruebe si es un .bin(como carajo ejecuto un bin,no entiendo)
pasamelo como ejecutable
ademas quiero el codigo,
y creo que esta infectado
saludos p*to.





(nota es broma lo de infectado y tambien la solicitud del codigo )

joselin escribió:y como queres que lo pruebe si es un .bin(como carajo ejecuto un bin,no entiendo)
pasamelo como ejecutable
ademas quiero el codigo,
y creo que esta infectado
saludos p*to.





(nota es broma lo de infectado y tambien la solicitud del codigo )

jajajajajaja. implementalo en Delphi. Yo lo mostrare en C++ y otros que lo muestren en otros lenguajes.

Saludos nena

Hi Pink,

im sorry i dont speak spanish, are you going to opensource the shellcode plz ?
btw, do you use skype or any other IM. i have a custom coding project $$$ . thanks