-
-
[原创]红队战术学习:在C#使用syscall,翻车记
-
发表于:
2020-6-1 21:58
6251
-
[原创]红队战术学习:在C#使用syscall,翻车记
最近阅读到zoemurmure大佬的文章:红队战术:在C#中使用syscall之背景知识介绍,最初的想法是想使用powershell实现syscall的功能,后来需要在powershell里嵌入c#语言,然后着手开始编写调试一个调用syscall的C#程序,不经常使用这些语言,查阅了一些资料搭出了一个半成品,最终程序能执行出一点效果,没达到预期效果,在这里记录一下翻车的经过。
首先从文章中指示的Windows X86-64系统调用表,查找一个目标函数进行测试,于是就找到一个比较简单的函数NtQuerySystemTime,用windbg查看该函数的汇编代码。
摘录下来得到
函数原型
传入long(64位) 通过C#的调用后返回值
STATUS_INVALID_PARAMETER_1 无效参数作为第一个参数传递给服务或函数。
调了很多次后,后来想着写入CC开调试器看堆栈,还没开始做,看了后续的文章红队战术:在C#中使用syscall之编写代码确认代码没有明显错误后研究是不是函数调用出问题了,于是搜索RtlQuerySystemTime查找相关信息想知道这个函数的返回值是什么,然后传给syscall,结果从https://github.com/hfiref0x/SyscallTables/issues/1上找到相关信息,说的是NtQuerySystemTime 不在syscall的队列里,因为它在用户模式执行RtlQuerySystemTime,NtAccessCheckByTypeAndAuditAlarm 服务号为89(0x59),NtWaitForMultipleObjects 服务号为91(0x5B),这里丢失了90(0x5a),微软资料说明NtQuerySystemTime在未来版本的 Windows 中,可能会更改或不可用。
然后到此我知道我错在哪里了。
正确示范代码请到zoemurmure的Github:SharpCall。
贴一下我的部分核心代码,最终想完成powershell的实现,半成品错误示范:
[注意]传递专业知识、拓宽行业人脉——看雪讲师团队等你加入!