还是第一个来支持大牛的作品！辛苦了一天了，真不容易！

从某些shellcode中应该能找到这样的样本，好熟悉

真正原创在这里：
http://skypher.com/index.php/2009/07/22/shellcode-finding-kernel32-in-windows-7/

不用这么复杂吧。我感觉Win7下跟XP下所用的方法都是一样的，只是有2 3 行汇编代码的差异

学习，争取早日离开小白的阵营

fs:[30h] 获得kernel32.dll基址不和winxp一样嘛？
前几天才写了一段，没一点问题啊。

;;获取Kernel32.dll基址
GetKernelAddr proc
   assume fs:nothing
   mov  eax, fs:[30h]
   mov  eax, [eax+0ch]
   mov  eax, [eax+0ch]
   mov  eax, [eax]
   mov  eax, [eax]
   mov  eax, [eax+18h]
   ret
GetKernelAddr endp

  我也是在以前写的shellcode基础之上改了几行就可以了，不过确实我以前写的shellcode在win7不适用。貌似pdf9.3.4的一个样本可以在win7下跑，这才研究了下。看来是OUT了！

楼上说的原创确实不是本人，原创那个大牛的汇编代码在这里可以找到http://code.google.com/p/w32-exec-calc-shellcode/downloads/list   大家可以参考！我的代码就不贴了，唯一的区别是hash值不同，其它的差不多，反而我写的粗糙的多！

printf("size of shellcode: %d\n", strlen(shellcode));

应该是

printf("size of shellcode: %d\n", [COLOR="Red"]sizeof[/COLOR](shellcode));

谢谢指正呵呵！

我来发个。。
自己实现的，直接比对模块名得到kernel32.dll基地址，原理一样，适用所有windows版本
            MOV  EAX,DWORD PTR FS:[30H]  
            MOV  EAX,DWORD PTR [EAX+0CH]
        MOV  EAX,DWORD PTR [EAX+1CH]
//...................................................................................................

                                                PUSH 0x006c006c                       
                                                PUSH 0x0064002e
                                                PUSH 0x00320033
                                                PUSH 0x006c0065
                                                PUSH 0x006e0072
                                                PUSH 0x0065006B                                               
                                                MOV ESI,ESP
                                               
_LOOP:                                        
                                                XOR ECX,ECX
                                                MOV EAX,DWORD PTR [EAX]                                //LDR_MODULE链表头的Flink指针
                                                LEA EBX,DWORD PTR [EAX+1CH]                //获取_LDR_DATA_TABLE_ENTRY结构中的成员BaseDllName指针
                                                MOV CX,WORD PTR [EBX]                                 //获取BaseDllName->Length
                                                MOV EDI,DWORD PTR [EBX+4H]    //获取BaseDllName->buffer
                                               
                                                CMP ECX,0
                                                JE  _LOOP
                                                CMP CX, 24
                                                JNE  _LOOP
                               
                                                PUSH EAX                     //保存LDR_MODULE链表指针
//...................................................................................................                                               
                                                push  ECX                   //strcmpwi函数的三个参数
                                                push  ESI
                                                push  EDI                                                                                                               
//...................................................................................................       
                                                push    0                                                                          //填充返回伪值
                                                push    ebp
                                                mov     ebp, esp
                                                sub     esp, 48h
                                                push    ebx
                                                push    esi
                                                push    edi
                                                lea     edi, [ebp-48H]
                                                mov     ecx, 12h
                                                mov     eax, 0CCCCCCCCh
                                                rep stosd
                                                mov     [ebp-4], 0
                                                jmp     short loc_40104A

loc_401041:
            mov     eax, [ebp-4]
            add     eax, 1
            mov     [ebp-4], eax

loc_40104A:
            mov     ecx, [ebp-4]
            cmp     ecx, [ebp+10H]
            jnb     short loc_40109D
            mov     edx, [ebp+8H]
            add     edx, [ebp-4]
            xor     eax, eax
            mov     al, [edx]
            cmp     eax, 41h
            jl      short loc_401080
            mov     ecx, [ebp+8]
            add     ecx, [ebp-4]
            xor     edx, edx
            mov     dl, [ecx]
            cmp     edx, 5Ah
            jg      short loc_401080
            mov     eax, [ebp+8]
            add     eax, [ebp-4]
            xor     ecx, ecx
            mov     cl, [eax]
            add     ecx, 20h
            mov     byte ptr [ebp-8], cl

loc_401080:
            mov     edx, [ebp-8]
            and     edx, 0FFh
            mov     eax, [ebp+0ch]
            add     eax, [ebp-4]
            xor     ecx, ecx
            mov     cl, [eax]
            cmp     edx, ecx
            jz      short loc_40109B
            xor     eax, eax
            jmp     short loc_4010A2

loc_40109B:
            jmp     short loc_401041

loc_40109D:
            mov     eax, 1

loc_4010A2:
            pop     edi
            pop     esi
            pop     ebx
            mov     esp, ebp
            pop     ebp
                              add                 esp,16                                                                        //平衡堆栈
//...................................................................................................                                  
                                                CMP EAX,0
                                                JNE  _FINDED
                                                POP EAX
                                                JMP  _LOOP
                                                                                                                                                                                                      
_FINDED:
                                                POP  EAX
                                                MOV EAX, DWORD PTR[EAX + 8]   //获取kernel32.dll的基地址
                                                ADD ESP, 24

[QUOTE=skypismire;872104]我来发个。。
自己实现的，直接比对模块名得到kernel32.dll基地址，原理一样，适用所有windows版本
            MOV  EAX,DWORD PTR FS:[30H]  
            MOV  EAX,DWORD PTR [EAX+0CH]
      ...[/QUOTE]

这个写的很强大，我在好好看看

vista以前的系统，kernel32.dll位于模块链表中的第二个模块，win7则位于第三个模块，见下分析：

0:000> !peb

PEB at 7ffd8000

    InheritedAddressSpace:    No

    ReadImageFileExecOptions: No

    BeingDebugged:            Yes

    ImageBaseAddress:         002f0000

    Ldr                       772b7880

    Ldr.Initialized:          Yes

    Ldr.InInitializationOrderModuleList: 006f2068 . 006f34c8

    Ldr.InLoadOrderModuleList:           006f1fc8 . 006f38f8

    Ldr.InMemoryOrderModuleList:         006f1fd0 . 006f3900

            Base TimeStamp                     Module

          2f0000 49a5f6b3 Feb 26 09:56:03 2009 C:\Program Files\Debugging Tools for Windows (x86)\kill.exe

        [COLOR="Red"]771e0000[/COLOR] 4a5bdadb Jul 14 09:09:47 2009 C:\Windows\SYSTEM32\[COLOR="Red"]ntdll.dll[/COLOR]

        [COLOR="Red"]757c0000[/COLOR] 4b1e3897 Dec 08 19:29:27 2009 C:\Windows\system32[COLOR="Red"]\kernel32.dll[/COLOR]

        [COLOR="Red"]75500000[/COLOR] 4a5bdaae Jul 14 09:09:02 2009 C:\Windows\system32\[COLOR="Red"]KERNELBASE.dll[/COLOR]

        75630000 4a5bda6f Jul 14 09:07:59 2009 C:\Windows\system32\msvcrt.dll

        758b0000 4a5bd97e Jul 14 09:03:58 2009 C:\Windows\system32\ADVAPI32.dll

        76fc0000 4a5bdb04 Jul 14 09:10:28 2009 C:\Windows\SYSTEM32\sechost.dll

        76850000 4a5bdade Jul 14 09:09:50 2009 C:\Windows\system32\RPCRT4.dll

        77320000 4a5bdb2f Jul 14 09:11:11 2009 C:\Windows\system32\USER32.dll

        76900000 4a5bd9dd Jul 14 09:05:33 2009 C:\Windows\system32\GDI32.dll

        756e0000 4a5bda19 Jul 14 09:06:33 2009 C:\Windows\system32\LPK.dll

        75980000 4a5bdb32 Jul 14 09:11:14 2009 C:\Windows\system32\USP10.dll

              ……

查看Ldr.InInitializationOrderModuleList：

0:000> dd 006f2068

006f2068  006f24a8 772b789c [COLOR="Red"]771e0000[/COLOR] 00000000         // [COLOR="Red"]ntdll.dll[/COLOR]

006f2078  0013c000 003c003a 006f1f28 00140012

006f2088  7724d4cc 00004004 0000ffff 772ba680

006f2098  772ba680 4a5bdadb 00000000 00000000

查看下一模块入口：

0:000> dd 006f24a8

006f24a8  006f2390 006f2068 [COLOR="Red"]75500000[/COLOR] 75507a9d          // [COLOR="Red"]KERNELBASE.dll，已经不再是kernel32.dll[/COLOR]

006f24b8  0004a000 00460044 006f2438 001e001c

006f24c8  006f2460 00084004 0000ffff 772ba690

006f24d8  772ba690 4a5bdaae 00000000 00000000

再查看下一模块入口：

0:000> dd 006f2390

006f2390  006f2dc8 006f24a8 [COLOR="Red"]757c0000[/COLOR] 758110e5         [COLOR="Red"] // kernel32.dll，已经成为第三个模块了[/COLOR]

006f23a0  000d4000 00420040 006f2320 001a0018

006f23b0  006f2348 00084004 0000ffff 772ba640

006f23c0  772ba640 4b1e3897 00000000 00000000

因此原先查找xp的方法就不能适用于win7,而通过搜索字符串"kernel32.dll"的终止符\0，就可以实现win2k~win7平台的通用性。

又防住了，哈哈哈哈！

Oh yeah~

现在的人基础真差

char *p
char array[]

strlen:
http://msdn.microsoft.com/en-us/library/78zh94ax%28VS.71%29.aspx

很好，支持lz

[QUOTE=iiii;872636]现在的人基础真差

char *p
char array[]

strlen:
http://msdn.microsoft.com/en-us/library/78zh94ax%28VS.71%29.aspx[/QUOTE]

谢iiii了。这块之前确实不太理解。一直认为数组名就是指针。
发个链接，不太清楚的朋友也来参考下
http://zhidao.baidu.com/question/133592005

安装WIN7试试！

学习，路过！

学习学习了.

在win7中顺序固定是3？如果这样实际上应该很容易改进嘛，

试验了一下，在我的系统上（win 7）kernel32位于模块链的第二个模块。

更正一下我发的回帖。
之前我发的“kernel32位于模块链的第二个模块”是错误的，当时的试验做错了。
如之前一些大侠所言，kernel32位于InInitializationOrderModuleList模块链的第三个模块。