1. 项目概述为什么mona.py是漏洞利用领域的“瑞士军刀”如果你在Windows平台下搞过漏洞分析与利用尤其是和Immunity Debugger打过交道那你一定绕不开mona.py这个名字。它不是一个独立的软件而是一个功能极其强大的Python脚本被设计为Immunity Debugger的插件。但千万别小看它在漏洞利用的实战中mona.py扮演的角色远不止一个辅助工具那么简单。我把它比作漏洞利用工程师的“瑞士军刀”——集成了从信息收集、模式生成、坏字符检测到ROP链构建、Shellcode定位等几乎全流程的核心功能。很多刚入门的朋友面对Immunity Debugger那略显原始的界面和操作常常感到无从下手而mona.py的出现极大地降低了门槛将许多复杂、重复且容易出错的操作自动化、标准化了。最近随着一些针对Web应用比如涉及80端口的漏洞和特定组件如CVE-2023-23752这类的利用研究热度上升掌握一个高效、可靠的本地化利用开发环境变得尤为重要。Kali Linux固然是渗透测试的利器但很多漏洞的POC/EXP开发、调试和武器化过程尤其是在Windows环境下针对特定客户端或服务软件的漏洞Immunity Debugger mona.py的组合依然是许多资深研究者的首选。它让你能在一个相对可控的环境里完成从崩溃复现、偏移计算、到最终稳定利用链构建的所有步骤。这篇文章我就结合自己多年的踩坑经验带你快速上手mona.py最核心的10个功能让你在面对下一个漏洞时能更从容地挥舞起这把“神器”。2. 环境搭建与mona.py配置详解工欲善其事必先利其器。在开始体验mona.py的强大功能之前一个正确且高效的环境是基石。这里的环境特指Immunity Debugger的运行环境以及mona.py的安装与配置。2.1 Immunity Debugger安装与基础认知首先你需要Immunity Debugger。它不是最新版的调试器但在漏洞利用领域其地位特殊因为它对结构化异常处理SEH链、堆栈和内存的视图非常友好并且其Python API接口与mona.py完美契合。你可以从其官网获取安装包。安装过程很简单几乎一路“Next”即可。安装完成后建议以管理员权限运行以避免在附加系统进程或访问某些内存区域时遇到权限问题。一个关键认知是Immunity Debugger的界面分为多个子窗口如CPU反汇编、堆栈、内存 dump、寄存器等。mona.py的所有命令都在底部的命令行输入框执行。这个命令行是它与调试器交互的桥梁。刚开始你可能会觉得界面复古但一旦熟悉它的效率非常高。2.2 mona.py的安装与初次配置mona.py本身是一个单独的.py文件。最常用的方法是将它下载后放置到Immunity Debugger安装目录下的PyCommands文件夹中。例如如果你的Immunity Debugger安装在C:\Immunity Inc\Immunity Debugger那么mona.py就应该放在C:\Immunity Inc\Immunity Debugger\PyCommands里。放置好后启动Immunity Debugger。在底部的命令行中输入!mona并回车如果看到一长串帮助信息恭喜你安装成功了。第一次使用时mona.py会提示你设置工作目录。这是一个非常重要的步骤我强烈建议你专门创建一个文件夹作为mona的工作目录例如C:\mona_logs。设置命令是!mona config -set workingfolder c:\mona_logs所有mona.py生成的分析报告、模式字符串、ROP小工具列表等文件都会自动保存到这个目录下。这极大地便利了结果的归档和后续查阅。注意工作路径中避免包含空格或特殊字符有时这会导致脚本在生成文件时出现意外错误。使用简单的路径如c:\mona或d:\debug是最稳妥的。2.3 基础工作流建立在开始具体功能前理解典型的工作流有助于你明白每个功能该在何时使用。一个常见的利用开发流程是崩溃复现用你的POC触发目标程序崩溃在Immunity中观察崩溃点EIP被覆盖为何值。控制EIP使用mona的pattern_create和pattern_offset功能精确计算覆盖EIP所需的偏移量。检查坏字符确定哪些字符在漏洞利用中会导致问题如截断、转换使用mona的bytearray和compare功能。寻找跳转指令在内存中寻找可靠的跳转地址如JMP ESP使用mona的jmp或assemble功能。绕过内存保护如果存在DEP数据执行保护、ASLR地址空间布局随机化等需要构建ROP链使用mona的rop功能查找小工具。生成Shellcode使用msfvenom在Kali中或其他工具生成最终的载荷并利用mona的findmsp等功能检查其放置位置。接下来我们就按照这个逻辑深入mona.py的十大核心功能。3. 核心功能一精确计算偏移pattern_create/offset这是漏洞利用中最基础也是最关键的一步。当你的模糊测试或POC导致程序崩溃EIP寄存器被一串看似乱码的数据覆盖时你需要知道到底是输入缓冲区中的哪个位置偏移的数据覆盖了EIP。原理浅析mona.py实现了一种独特的“非重复模式字符串”算法。它生成的字符串其中任意连续的4个或指定长度字节组合在整个字符串中都是唯一的。这样当这4个字节出现在EIP中时我们就可以反向查表精确计算出它在原字符串中的位置即偏移量。实操步骤生成模式字符串假设你预估缓冲区长约5000字节。在Immunity命令行中输入!mona pattern_create 5000命令执行后它会在屏幕上输出生成的字符串并自动将其复制到剪贴板同时在工作目录下生成一个包含该字符串的文本文件如pattern.txt。这个设计非常贴心你可以直接粘贴到你的漏洞利用脚本中。触发崩溃并记录EIP值用这个模式字符串作为输入重新触发程序崩溃。此时观察Immunity调试器中EIP寄存器的值。假设EIP显示为0x63413563。计算偏移量在Immunity命令行中使用pattern_offset功能!mona pattern_offset 63413563mona.py会快速搜索并告诉你这个值出现在模式字符串的哪个位置。例如它可能返回Exact match at offset 1024这意味着输入缓冲区的第1025个字节偏移量从0开始计算开始的4个字节控制了EIP。现在你就知道了为了精确控制EIP你需要在你的攻击载荷中在偏移1024的位置放置你想要的跳转地址。实操心得pattern_create默认生成的是ASCII字符串。在某些情况下如果程序对输入字符有过滤例如只接受字母数字这个模式字符串可能会被破坏。mona.py提供了-cp参数来指定字符集例如!mona pattern_create 5000 -cp unicode可以生成Unicode兼容的模式。但大多数情况下ASCII模式足以应对。4. 核心功能二全面检测坏字符bytearray/compare坏字符是漏洞利用中的“隐形杀手”。它们可能是程序逻辑中用于分隔字符串的字符如空字节\x00、换行\x0a、回车\x0d也可能是特定协议或函数如strcpy遇到\x00会终止的保留字符。如果我们的Shellcode中包含这些字符可能会导致载荷被截断或篡改从而使利用失败。原理浅析检测坏字符的标准方法是向程序发送一个包含从\x01到\xFF所有可能字节通常排除\x00的序列然后在程序崩溃后检查内存中该序列的完整性。丢失或改变的字节就是坏字符。mona.py的自动化流程生成字节数组首先让mona.py为你生成一个排除已知坏字符的字节数组。通常我们从排除\x00开始!mona bytearray -cpb \x00这个命令会在工作目录生成一个bytearray.txt文件里面包含从\x01到\xFF排除\x00的字节序列。同时它也会在屏幕上显示这个数组的Python格式方便你复制到攻击脚本中。构造测试载荷并触发崩溃在你的攻击脚本中在控制EIP的偏移位置之后放置这个字节数组作为测试数据。重新运行程序使其崩溃。比较内存内容程序崩溃后你需要知道测试数组被写入到了内存的哪个地址。通常这个地址就在覆盖EIP的地址之后例如ESP寄存器指向的位置。假设ESP指向0x00FFEEDD。在Immunity命令行中使用compare功能!mona compare -f C:\mona_logs\bytearray.bin -a 00FFEEDD这里-f参数指定了之前生成的字节数组文件mona保存的是.bin格式-a参数指定了内存中测试数据开始的地址。分析结果mona.py会进行逐字节比较并生成一份清晰的报告。它会列出所有在内存中发生改变的字节。例如报告可能显示\x0a和\x0d不见了。那么\x0a和\x0d就是新的坏字符。迭代检测将新发现的坏字符加入排除列表重新生成字节数组!mona bytearray -cpb \x00\x0a\x0d重复步骤2-4直到内存中的字节序列与发送的序列完全一致。此时你就得到了一个完整的坏字符列表。注意事项坏字符检测可能需要多次迭代。有时一个坏字符如\x00的存在会导致其后的所有数据都无法写入内存从而干扰对其他坏字符的判断。因此必须按顺序、迭代地进行检测。另外compare命令需要你提供正确的内存起始地址务必确认ESP或其他寄存器指向的是你测试数据的开始。5. 核心功能三寻找可靠的跳转指令jmp/assemble控制了EIP之后我们需要告诉程序下一步该跳到哪里去执行我们的Shellcode。最经典的方式是让EIP覆盖为一个JMP ESP指令的地址。因为当函数返回retn时ESP寄存器通常正好指向我们覆盖EIP之后的那片内存区域即我们放置Shellcode的地方。一个JMP ESP指令会让程序流立即跳转到Shellcode的起始处。原理浅析我们需要在目标进程加载的模块DLL或EXE中搜索包含特定指令序列如FF E4对应JMP ESP的内存地址。这个地址必须是固定的不受ASLR影响、可执行的并且不包含坏字符。mona.py的搜索能力搜索所有模块中的指令最常用的命令是!mona jmp -r esp这个命令会扫描当前调试进程加载的所有模块.exe和.dll找出所有JMP ESP指令的地址并生成报告。报告会详细列出每个地址来自哪个模块以及该模块是否开启了ASLR、DEP等保护。你应该优先选择来自“基址固定”RebaseFalse且“ASLRFalse”的模块中的地址这样的地址在每次程序运行时都是相同的。扩大搜索范围如果JMP ESP的结果不理想地址包含坏字符或模块受保护可以尝试其他寄存器。因为有时我们的Shellcode可能放在其他寄存器指向的位置。例如!mona jmp -r eax !mona jmp -r ebx !mona jmp -r ecx !mona jmp -r edx !mona jmp -r esi !mona jmp -r edi甚至可以使用!mona jmp -r esp -cpb \x00\x0a\x0d来直接过滤掉包含指定坏字符的地址。使用assemble指令进行定制化搜索jmp命令是预定义的。assemble命令则更强大它允许你搜索任意汇编指令序列。例如如果你需要一个PUSH ESP; RET的指令组合效果也是跳转到ESP可以这样做!mona assemble -s push esp; retmona.py会显示这条指令的机器码54 C3然后你可以用find命令在内存中搜索这个字节序列!mona find -s \x54\xc3 -m 模块名实操心得在报告中JMP ESP的地址通常类似于0x62501203。你需要将它转换成小端序的字节序列\x03\x12\x50\x62然后放入你的攻击载荷中覆盖EIP的位置。务必检查这个字节序列中是否包含你的坏字符列表中的任何字节。如果包含就必须换一个地址。6. 核心功能四绕过DEP——ROP链自动化构建rop现代操作系统普遍启用了DEP数据执行保护它意味着标记为数据的内存页比如我们存放Shellcode的堆栈区域是不可执行的。即使我们成功跳转到了Shellcode的起始地址程序也会触发访问违规异常而崩溃。ROP面向返回的编程技术是绕过DEP的主流方法。原理浅析ROP通过复用程序中已有的、以RET指令结尾的短指令序列称为“gadget”像搭积木一样构造出一段逻辑来调用如VirtualProtect或WriteProcessMemory这样的API将存放Shellcode的内存区域属性改为“可执行”或者将Shellcode复制到可执行区域。手动构建ROP链极其繁琐而mona.py的rop功能可以自动化完成大部分工作。实操步骤生成ROP小工具列表首先你需要针对一个未启用ASLR的模块比如essfunc.dll或程序主模块生成可用的ROP小工具数据库。在Immunity中确保目标模块已加载然后运行!mona rop -m 模块名例如!mona rop -m essfunc.dll。这个过程可能需要几秒钟到几分钟mona.py会分析该模块的所有代码提取出可用的gadget并生成几个报告文件其中rop.txt是最重要的它按功能分类列出了所有gadget。理解ROP链结构一个典型的、用于调用VirtualProtect(addr, size, PAGE_EXECUTE_READWRITE, oldProtect)的ROP链通常需要完成以下任务将函数参数压入堆栈或放入特定寄存器。将VirtualProtect的函数地址放入某个寄存器或直接CALL。平衡堆栈如果需要。 mona.py生成的rop.txt文件里gadget被分类为ROP gadgets、Pointers to functions等你可以像查字典一样从中挑选需要的指令。高级让mona自动建议链mona.py甚至能尝试自动构建链。你可以指定要调用的函数和参数!mona rop -f 包含gadget的数据库文件 -cpb \x00\x0a\x0d --function VirtualProtect它会尝试寻找一条不包含坏字符的ROP链。不过自动生成的链可能不是最优的通常需要结合手动调整。注意事项ROP链的构建是漏洞利用中较高级的部分需要对x86汇编和函数调用约定有清晰理解。mona.py提供了强大的素材库gadgets但如何将它们巧妙地组合起来仍然依赖于工程师的经验。从简单的VirtualProtect调用开始练习是很好的入门方式。另外确保你的ROP链本身也不包含任何坏字符。7. 核心功能五定位Shellcode与堆栈调整findmsp当我们使用类似JMP ESP的技术时Shellcode被放置在覆盖EIP的数据之后。但具体ESP指向哪里我们的Shellcode在内存中的确切位置是什么特别是在使用了长字符串模式进行偏移计算后或者当堆栈地址因环境不同而略有变化时精确定位Shellcode的起始点很有用。原理浅析findmsp命令会搜索整个内存空间寻找由pattern_create生成的特殊模式字符串的踪迹。因为它知道这个模式的结构所以它能报告出这个模式在内存中任何位置的偏移信息。核心应用场景验证Shellcode位置在发送了包含模式字符串和测试Shellcode例如一连串的\xCC调试中断指令的载荷后运行!mona findmspmona.py会扫描内存并输出报告。报告中你会看到类似这样的关键信息EIP contains normal pattern : 0x63413563 (offset 1024) ESP (0x00fffe34) points at offset 1028 in normal pattern (length 4172)第一行确认了EIP的偏移我们之前用pattern_offset算过的。第二行则告诉我们此时ESP寄存器所指向的内存地址0x00fffe34正好对应着我们发送的模式字符串中偏移1028的位置。由于我们的Shellcode紧跟在控制EIP的4个字节之后那么偏移1028正是Shellcode的起点并且后面还有4172字节的空间可用。应对堆栈地址波动在某些漏洞中ESP的精确值可能在每次运行时有几个字节的偏差。findmsp告诉你的offset是相对于你发送的缓冲区开始的绝对偏移。这意味着你可以利用这个偏移量来构建更稳定的利用。例如如果你发现ESP总是指向offset 1028附近但你希望更精确地跳转你可以在JMP ESP之前增加一些NOP\x90指令作为滑板。这样只要EIP跳转到滑板区就会“滑行”到你的Shellcode。实操心得findmsp是一个强大的诊断工具。它不仅告诉你ESP的指向有时还会发现你的模式字符串被复制到了堆heap或其他内存区域这可能会为你提供额外的利用途径比如堆喷射技术。在复杂的漏洞利用中多运行几次findmsp结合内存窗口观察能让你对内存布局有更立体的认识。8. 核心功能六模块信息分析与利用可行性评估modules在寻找跳转指令或构建ROP链时我们反复强调要选择“未启用ASLR/DEP”的模块。那么如何快速获取所有已加载模块的安全属性呢modules命令就是你的侦察兵。原理与操作在Immunity调试器附加到目标进程后直接在命令行输入!mona modulesmona.py会列出当前进程加载的所有模块可执行文件和动态链接库并为每个模块显示以下关键信息Base模块的加载基址。Size模块的大小。Rebase是否可重定位通常为False表示基址固定。ASLR是否启用地址空间布局随机化。DEP是否启用数据执行保护。SafeSEH是否启用安全结构化异常处理。OS Dll是否是操作系统DLL。Path模块的完整路径。如何利用这份报告筛选目标模块你的目标是寻找同时满足以下条件的模块ASLR FalseRebase FalseSafeSEH False如果你要利用SEH漏洞的话模块范围覆盖你找到的跳转地址例如地址0x62501203在某个模块的基址和基址大小之间。 通常应用程序自带的、非系统目录下的DLL如essfunc.dll、app.dll满足这些条件的概率较高。操作系统DLL如kernel32.dll在现代系统中通常都启用了ASLR。评估利用难度这份报告让你对目标的整体防护水平有一个快速了解。如果所有模块都开启了ASLR和DEP那么利用难度会大大增加可能需要结合信息泄露等其他漏洞先获取模块基址或者寻找其他攻击面。注意事项!mona modules显示的信息是基于当前调试会话的。某些模块的ASLR属性可能在程序启动时随机决定但在一次运行中是固定的。对于利用开发来说我们关心的是“本次运行中”的地址是否可用。对于编写通用的漏洞利用程序EXP则需要确保依赖的模块在目标环境不同Windows版本、补丁级别中普遍存在且属性稳定。9. 核心功能七结构化异常处理SEH链分析与利用seh除了覆盖函数返回地址EIP外覆盖结构化异常处理SEH链是另一种常见的利用方式特别是在栈溢出发生在try/except块中时。SEH链是线程相关的用于处理异常。原理简述每个SEH记录包含两个指针Next SEH指向下一个SEH记录的指针和SEH Handler异常处理函数地址。它们都保存在堆栈上。当异常发生时系统会遍历这个链。如果我们能覆盖这两个指针就可以劫持异常处理流程。mona.py的SEH利用辅助定位SEH记录偏移与计算EIP偏移类似但我们需要知道覆盖Next SEH和SEH Handler的偏移量。使用模式字符串触发一个会导致异常的崩溃而不仅仅是普通溢出然后运行!mona findmsp在输出报告中除了EIP和ESP信息你可能会看到SEH record (nseh field) at 0x00fffecc overwritten with normal pattern : 0x63413663 (offset 1036)这表示在偏移1036处开始的4个字节覆盖了Next SEH字段。通常SEH Handler字段就在其后的4个字节偏移1040处。寻找POP/POP/RET Gadget标准的SEH利用需要将一个POP POP RET指令序列的地址覆盖到SEH Handler。这条指令的作用是两次POP将堆栈指针ESP向上移动越过被覆盖的Next SEH地址然后RET跳转到Next SEH位置去执行。我们可以用mona搜索!mona seh这个命令会搜索所有加载模块中的POP POP RET或等效指令序列并生成报告同时会过滤掉包含常见坏字符的地址。构造利用载荷一旦有了偏移量和POP POP RET地址你的攻击载荷结构通常是[A*1036] [Next SEH] [POP POP RET Addr] [NOPs Shellcode]其中Next SEH字段通常被填充为一个短跳转指令如\xeb\x06\x90\x90对应JMP SHORT 6跳过后面的SEH Handler地址直接跳到Shellcode。实操心得SEH利用需要程序触发异常。有时简单的栈溢出不会立即触发异常你可能需要在溢出后故意制造一个异常比如访问一个非法内存地址。此外现代Windows版本如Win7 SP1之后默认开启了SafeSEH和SEHOP保护会验证SEH链的完整性这使得传统的SEH利用难度增加。!mona modules可以帮助你识别哪些模块未受SafeSEH保护从而作为POP POP RETgadget的来源。10. 核心功能八内存数据搜索与模式匹配find有时候我们需要在进程的内存空间中搜索特定的数据比如已知的字符串、机器码或者我们之前写入的Shellcode。手动在内存窗口中翻找效率极低find命令就是为此而生。原理与操作find命令允许你在指定内存范围或整个模块中搜索给定的字节序列。在特定模块中搜索例如你想在kernel32.dll中搜索字符串“VirtualProtect”的地址用于构建ROP链可以这样!mona find -s VirtualProtect -m kernel32.dll-s指定要搜索的字符串默认是ASCII-m指定模块名。搜索机器码如果你想找一条特定的指令序列比如CALL EBX机器码FF D3可以搜索其十六进制形式!mona find -s \xff\xd3 -m 模块名在全部内存中搜索如果你不确定数据在哪个模块可以省略-m参数mona会在所有可读的内存页中搜索但这可能会慢一些并且可能搜到很多无关或位于不可执行页的结果。应用场景定位API函数地址在绕过ASLR时如果存在信息泄露漏洞能读出一个模块的基址那么通过find搜索该模块中API函数的偏移可以计算出函数在内存中的实际地址。验证Shellcode注入在复杂的利用中Shellcode可能被编码或分段放置。使用find搜索Shellcode中的一段特征字节可以确认它是否成功注入到预期的内存区域。寻找特定指令除了jmp命令预定义的你可能需要寻找一些不常见的指令组合find给了你最大的灵活性。注意事项搜索范围过大可能导致Immunity调试器暂时无响应。尽量通过-m参数限定在目标模块内搜索。另外搜索到的地址需要你自行判断其可用性是否可执行是否包含坏字符。11. 核心功能九Shellcode空间评估与堆喷射辅助heap对于某些漏洞特别是浏览器或文档阅读器中的漏洞溢出空间可能非常有限不足以容纳完整的Shellcode。这时“堆喷射”技术就派上用场了。其原理是在堆内存中大量分配空间并填充包含Shellcode的“滑板区Shellcode”块从而大概率让一个跳转指令如JMP [寄存器]落在滑板区最终执行Shellcode。mona.py的heap功能主要用于分析和操作堆内存虽然不直接进行堆喷射但能提供关键信息查看堆状态!mona heap可以显示当前进程的堆列表和一些统计信息。这有助于你了解堆的布局。在堆中搜索模式结合findmsp如果你的模式字符串或Shellcode的一部分被分配到了堆上findmsp的报告会指出来。你可以用!mona find在特定的堆块地址范围内进行更精确的搜索来定位你的数据。更实际的堆喷射辅助mona.py更常用于辅助评估堆喷射的可行性。例如在分析一个ActiveX控件漏洞时你可以使用模式字符串作为喷射内容。触发漏洞使控件崩溃。运行!mona findmsp。观察输出中是否有类似“Block at 0x0c0c0c0c of length 1024 contains …”的信息。如果发现你的模式字符串大量、连续地出现在以0x0c0c0c0c、0x0d0d0d0d等这类常见喷射目标地址附近的内存中就说明堆喷射成功了并且你可以计算出Shellcode在喷射块中的偏移。实操心得堆喷射的成功依赖于大量分配内存。在利用脚本中这通常通过JavaScript针对浏览器或VBScript循环分配大字符串如“\x0c\x0c\x0c...”来实现。mona.py的作用更多是在调试阶段进行验证和诊断告诉你喷射的内存是否落在了预期的地址区域。12. 核心功能十脚本自动化与自定义config py命令mona.py的强大还在于它的可配置性和作为Immunity Debugger Python API的封装这允许你进行一定程度的自动化。灵活配置config我们一开始用!mona config -set workingfolder设置了工作目录。mona还有其他配置项例如!mona config -set可以设置默认的坏字符badchars这样在运行bytearray或rop等命令时会自动排除它们。你可以通过!mona config查看所有当前配置。 合理的配置能避免每次输入重复的参数。执行外部Python脚本!Immunity Debugger的命令行不仅支持mona命令任何放在PyCommands文件夹下的.py脚本都可以通过!脚本名来执行无需.py后缀。这意味着你可以编写自己的自动化脚本。例如你可以写一个脚本在崩溃后自动运行!mona findmsp、!mona modules并提取关键信息保存到文件。虽然这需要一定的Python编程能力但它为高级利用开发打开了大门。结合其他工具mona.py生成的各种报告pattern.txt,bytearray.bin,rop.txt,modules.txt等是结构化的文本文件。你可以用其他脚本如Python、Perl解析这些文件与你的漏洞利用框架集成实现半自动化的利用生成。13. 常见问题与排查技巧实录即使掌握了所有功能实战中依然会遇到各种“坑”。下面记录几个我反复遇到的典型问题及其解决思路。问题1!mona命令执行后无反应或报错“Unknown command”。排查首先确认mona.py文件是否确实放在了Immunity Debugger\PyCommands目录下。其次检查Immunity Debugger底部的状态栏有时脚本运行需要时间如果它显示“Running Python command…”请耐心等待。如果确认文件位置正确尝试在命令行输入!py mona来显式调用Python执行。还不行的话检查Python脚本是否有语法错误虽然罕见可以尝试下载最新版本的mona.py。问题2pattern_offset计算出的偏移量不准导致无法稳定控制EIP。排查这通常是因为缓冲区之前发生了不可预测的数据变化。例如输入字符串在到达脆弱函数之前可能被转换为宽字符Unicode每个ASCII字符间插入了\x00导致实际偏移翻倍。或者程序本身在复制数据前进行了某种过滤或编码。解决方法是进行校准在得到初步偏移后构造这样的载荷[“A” * 偏移] [“BBBB”] [“C”*500]。如果EIP被成功覆盖为0x42424242B的ASCII则偏移正确如果不是则调整偏移量重新测试。使用!mona findmsp观察模式字符串在内存中的分布也能提供线索。问题3找到的JMP ESP地址包含坏字符如\x00。排查这是最常见的问题之一。\x00是空字符在C语言字符串函数中作为终止符所以地址0x00401234字节序列\x34\x12\x40\x00中的\x00会导致复制提前终止。解决方案换一个地址用!mona jmp -r esp -cpb “\x00”直接过滤掉包含\x00的地址。使用其他寄存器尝试JMP EAX,JMP EBX等看看它们的地址是否更“干净”。使用指令序列搜索PUSH ESP; RET机器码54 C3或CALL ESPFF D4的地址它们和JMP ESP效果相同。利用部分覆盖在极少数情况下如果地址是0x00xxyyzz且\x00是最高位字节有时可以通过只覆盖低位部分来利用但这要求内存布局非常特殊不推荐新手尝试。问题4Shellcode执行后崩溃或没反应。系统化排查坏字符这是首要怀疑对象。重新仔细检查坏字符列表确保Shellcode生成时排除了所有坏字符。使用!mona compare对Shellcode所在内存区域进行一次完整性检查。堆栈对齐某些Shellcode或API调用对堆栈对齐有要求。在跳转到Shellcode之前如果ESP不是4的倍数或16的倍数可能导致异常。可以在Shellcode前添加调整堆栈的指令如AND ESP, 0xFFFFFFF0或者使用一个SUB ESP, 12之类的gadget来调整。DEP如果目标系统开启了DEP且你没有成功绕过跳转到Shellcode会立刻触发ACCESS_VIOLATION。确保你的利用链包含了正确的ROP链来启用Shellcode所在内存页的PAGE_EXECUTE_READWRITE属性。Shellcode本身使用简单的验证性Shellcode比如只弹出一个消息框MessageBox的Shellcode。如果连这个都不行问题大概率在利用链的前半部分跳转、坏字符等。如果这个可以那么是你最终的功能性Shellcode如反弹Shell与环境不兼容可能是编码问题、网络问题或杀毒软件拦截。问题5在构建ROP链时rop.txt文件里找不到合适的gadget。排查首先确保你针对的模块是未启用ASLR的用!mona modules确认。其次尝试对不同的模块运行!mona rop。程序主exe文件和一些较大的第三方dll通常包含更多gadget。第三尝试更简单的ROP链。也许你不需要一个完整的VirtualProtect调用如果存在一个可读可写可执行RWX的内存区域比如.data段的一部分你可以用ROP链将ShellcodeWriteProcessMemory过去。用!mona find -s “\x00\x00\x00\x00”搜索大片的空字节区域也许能找到可用的“数据槽”。最后保持耐心和细致。漏洞利用调试是一个反复试错的过程。充分利用mona.py生成的日志文件每次崩溃后都仔细阅读findmsp、compare的报告对比前后变化。养成记录每一步参数和结果的习惯这能在你陷入僵局时帮你回溯思路。mona.py这把“瑞士军刀”已经为你省去了大量机械劳动剩下的就是运用你的分析和逻辑思维像解谜一样攻克一个个保护机制。
)
“启动ssh-agent而不是直接启动？（ssh-agent bash）)
