Windows Fiber 加载payload

Fiber(纤程) 基本概念

纤程是必须由应用程序手动调度的执行单元。纤程在调度它们的线程的上下文中运行。每个线程可以调度多个纤程。一般来说，与精心设计的多线程应用程序相比，纤维并没有提供任何优势。然后，使用纤程可以使那些有自己的线程调度的应用移植起来更加容易。

应用

#include <iostream>
#include <windows.h>
#include <tchar.h>

// 用于弹出计算器
unsigned char payload_calc[] =
"\xfc\x48\x83\xe4\xf0\xe8\xc0\x00\x00\x00\x41\x51\x41\x50\x52"
"\x51\x56\x48\x31\xd2\x65\x48\x8b\x52\x60\x48\x8b\x52\x18\x48"
"\x8b\x52\x20\x48\x8b\x72\x50\x48\x0f\xb7\x4a\x4a\x4d\x31\xc9"
"\x48\x31\xc0\xac\x3c\x61\x7c\x02\x2c\x20\x41\xc1\xc9\x0d\x41"
"\x01\xc1\xe2\xed\x52\x41\x51\x48\x8b\x52\x20\x8b\x42\x3c\x48"
"\x01\xd0\x8b\x80\x88\x00\x00\x00\x48\x85\xc0\x74\x67\x48\x01"
"\xd0\x50\x8b\x48\x18\x44\x8b\x40\x20\x49\x01\xd0\xe3\x56\x48"
"\xff\xc9\x41\x8b\x34\x88\x48\x01\xd6\x4d\x31\xc9\x48\x31\xc0"
"\xac\x41\xc1\xc9\x0d\x41\x01\xc1\x38\xe0\x75\xf1\x4c\x03\x4c"
"\x24\x08\x45\x39\xd1\x75\xd8\x58\x44\x8b\x40\x24\x49\x01\xd0"
"\x66\x41\x8b\x0c\x48\x44\x8b\x40\x1c\x49\x01\xd0\x41\x8b\x04"
"\x88\x48\x01\xd0\x41\x58\x41\x58\x5e\x59\x5a\x41\x58\x41\x59"
"\x41\x5a\x48\x83\xec\x20\x41\x52\xff\xe0\x58\x41\x59\x5a\x48"
"\x8b\x12\xe9\x57\xff\xff\xff\x5d\x48\xba\x01\x00\x00\x00\x00"
"\x00\x00\x00\x48\x8d\x8d\x01\x01\x00\x00\x41\xba\x31\x8b\x6f"
"\x87\xff\xd5\xbb\xf0\xb5\xa2\x56\x41\xba\xa6\x95\xbd\x9d\xff"
"\xd5\x48\x83\xc4\x28\x3c\x06\x7c\x0a\x80\xfb\xe0\x75\x05\xbb"
"\x47\x13\x72\x6f\x6a\x00\x59\x41\x89\xda\xff\xd5\x63\x61\x6c"
"\x63\x2e\x65\x78\x65\x00";


void CALLBACK FiberProc(PVOID lparamer) {
	return;
}


int main()
{
    // 分配内存，用于存放Payload
	LPVOID lpBaseAddress = VirtualAllocEx(GetCurrentProcess(), 0, 0x800u, 0x1000u, 0x40u);
	WriteProcessMemory(GetCurrentProcess(), lpBaseAddress, &shellcode_calc, 0x800u, 0);
    // 要执行纤程切换，必须转化当前线程为纤程
    ConvertThreadToFiber(NULL);
    // 创建纤程 
    LPVOID lpFiber = CreateFiber(0, FiberProc, 0);

    // 在文档中没有明确说明CreateFiber返回的结构是什么，
    // 但在反编译 Kernel32!CreateFiber函数，我们能看到里面返回的数据是引用了 BaseInitializeContext 函数创建
    // CONTEXT 初始化工作，那么实际返回的数据就是CONTEXT
    // 那么下面，我们就可以通过指向为CONTEXT, 然后修改相关的数据了：
    CONTEXT* pContext = (CONTEXT*)lpFiber;

    // 在创建Fiber的时候，虽然我们指定了调用过程FiberProc, 但我们要实际调用
    // 我们自己的Payload，所以我们要修改原有的函数，变为我们自己的payload功能的地址。
    // 
    // 如果想直接修改Fiber的函数的调用地址，那么直接便宜 0xB0 位置。
    // (char*)lpFiber + 0xB0; 
    // Rdi 的值就是要调用的Fiber函数的地址
    pContext->Rdi = (DWORD64)lpBaseAddress;

    SwitchToFiber(lpFiber);
}