shellcode的一种ascii编码方法
初来乍到，发此一篇，请勿见笑
一、编码：直接替换法
所谓直接替换法，简单的说，就是遇到有效字符则直接输出，遇到无效字符现输出一位标志符(例如：'0')，
然后对其进行编码后输出，解码过程只需逆向操作即可。
ascii 字符集共0xFF个字符，其中有效的图形字符的范围为[0x21, 0x7E]，若要将所有无效字符编码为[0x21, 0x7E]，
只需加上一个偏移即可，然而无效字符数远大于有效字符数，一个偏移值时无法覆盖所有无效字符的，因此
我把无效字符集平分为两部分，将0x00与0xFF首尾相连，分为[0x21, 0x7E]左边0x51个，[0x21, 0x7E]右边0x51个
如下；
ascii table: |----------|----|-------------------|----|-------------------|----|-------------|
ascii: 0x00 0x20 0x21 0x7E 0x7F 0xCF 0xD0 0xFF
left-invalid valid(!= '"' ...) right-invalid left-invalid
若为左边无效字符，偏移值为[0x51, 0x5E]，即：left_invalid += left_offset, left_invalid %= 256 => valid
若为右边无效字符，偏移值为[0xA3, 0xB0]，即：right_invalid += right_offset, right_offset %= 256 => valid
具体选取那个偏移值视具体情况而定。
编码过程：
left_flag：标志字符，判断下一字符解码后是否为左无效字符，此处取：'0'
right_flag：标志字符，判断下一字符解码后是否为右无效字符，此处取：'1'
1. sc[i] ^= xor_byte(ascii);
2. if (sc[i] is left-invalid ascii)
=> left_flag ('0')
=> sc[i] -= left_offset [0x51, 0x5E]
3. if (sc[i] is right-invalid ascii)
=> right_flag ('1')
=> sc[i] -= right_offset [0xA3, 0xB0]
4. if (sc[i] is valid ascii)
=> sc[i]
5. => "01" // end
注：由于标志位已经使用了'0'、'1',那么在判断是否为有效字符时，还需要排除'0'、'1'，最后以"01"标志结束。
为了达到更好的编码效果，在编码的第一步中，我对每个字符先进行异或，使无效字符数降到最低，而异或字节通过遍历[0x21, 0x7E]
进行选取。
二、可用的ascii指令
范围：[0x21, 0x7E] && != '"' && != '\\' ...
可以通过随机生成有效范围[0x21, 0x7E]内字节序列，然后用IDA反汇编后寻找有效指令。
我从中挑了一些比较有用的指令，如下：
1.数据传送:
push/pop eax...
pusha/popa
2.算术运算:
inc/dec eax...
sub al, 立即数
sub byte ptr [eax... + 立即数], al dl...
sub byte ptr [eax... + 立即数], ah dh...
sub dword ptr [eax... + 立即数], esi edi
sub word ptr [eax... + 立即数], si di
sub al dl..., byte ptr [eax... + 立即数]
sub ah dh..., byte ptr [eax... + 立即数]
sub esi edi, dword ptr [eax... + 立即数]
sub si di, word ptr [eax... + 立即数]
3.逻辑运算:
and al, 立即数
and dword ptr [eax... + 立即数], esi edi
and word ptr [eax... + 立即数], si di
and ah dh..., byte ptr [ecx edx... + 立即数]
and esi edi, dword ptr [eax... + 立即数]
and si di, word ptr [eax... + 立即数]
xor al, 立即数
xor byte ptr [eax... + 立即数], al dl...
xor byte ptr [eax... + 立即数], ah dh...
xor dword ptr [eax... + 立即数], esi edi
xor word ptr [eax... + 立即数], si di
xor al dl..., byte ptr [eax... + 立即数]
xor ah dh..., byte ptr [eax... + 立即数]
xor esi edi, dword ptr [eax... + 立即数]
xor si di, word ptr [eax... + 立即数]
4.比较指令:
cmp al, 立即数
cmp byte ptr [eax... + 立即数], al dl...
cmp byte ptr [eax... + 立即数], ah dh...
cmp dword ptr [eax... + 立即数], esi edi
cmp word ptr [eax... + 立即数], si di
cmp al dl..., byte ptr [eax... + 立即数]
cmp ah dh..., byte ptr [eax... + 立即数]
cmp esi edi, dword ptr [eax... + 立即数]
cmp si di, word ptr [eax... + 立即数]
5.转移指令:
push 56h
pop eax
cmp al, 43h
jnz lable
<=> jmp lable
6.交换al, ah
push eax
xor ah, byte ptr [esp] // ah ^= al
xor byte ptr [esp], ah // al ^= ah
xor ah, byte ptr [esp] // ah ^= al
pop eax
7.清零:
push 44h
pop eax
sub al, 44h ; eax = 0
push esi
push esp
pop eax
xor [eax], esi ; esi = 0
三、解码
注意：上传附件及图片大小不得大于30M。
⚠️ 版权声明：
本博客所有内容（含教程、源码、工具）仅供个人技术学习与研究交流使用，严禁商用、倒卖、二次分发及非法用途。
未经作者书面授权，任何组织或个人不得转载、复制或用于其他平台，违者将追究相关责任。
参与讨论
登录后可查看全部回复并参与讨论。
