在笔者前几篇文章中，我们使用汇编语言并通过自定位的方法实现了一个简单的MessageBox弹窗功能，但由于汇编语言过于繁琐在编写效率上不仅要考验开发者的底层功底，还需要写出更多的指令集，这对于普通人来说是非常困难的，当然除了通过汇编来实现ShellCode的编写以外，使用C同样可以实现编写，在多数情况下读者可以直接使用C开发，只有某些环境下对ShellCode条件有极为苛刻的长度限制时才会考虑使用汇编。
相较于汇编语言，使用C编写Shellcode可以更加方便、高效，特别是对于需要大量计算的操作。在编写Shellcode时，读者需要注意以下几点：
- 1.使用纯C语言进行编写：在编写Shellcode时，需要避免使用C++标准库或其他外部依赖库，因为这些库往往会增加代码的长度和复杂度。
- 2.关闭编译器优化：在编写Shellcode时，需要关闭编译器的优化功能，因为优化可能会改变代码的执行顺序，导致Shellcode无法正常工作。
- 3.避免使用全局变量和静态变量：在Shellcode中，全局变量和静态变量往往会导致代码长度过长，并且这些变量的地址也可能与Shellcode中其他代码的地址产生冲突。
- 4.使用裸指针和裸内存管理：为了减小Shellcode的长度和复杂度，需要使用裸指针和裸内存管理，这可以减少代码中不必要的辅助函数调用。
- 5.不能使用全局变量，或者用static修饰的变量，在Shellcode中要自定义入口函数，所有的字符串都要用字符串数组的方式代替。
首先读者应自行新建一个开发项目，并将编译模式调整为Release模式，这是因为Debug模式下的代码在转换成汇编后首先都是一个JMP指令，然后再跳到我们的功能代码处，但JMP指令是地址相关的 ，所以在转换成ShellCode时就会出错。此外在读者新建项目文件时请最好使用*.c结尾而不要使用*.cpp结尾。
当读者新建文件以后，接下来请修改配置属性，将运行库修改为多线程(MT)并关闭安全检查机制，如下图所示；
接着在连接器部分，新增一个EntryMain入口点，默认的Main入口点显然时不能使用的，如下图所示；
与前几章中的内容原理一致，首先我们需要得到kernel32.dll模块的基址，这段代码我们依然采用汇编实现，这里需要注意__declspec(naked)的含义，该声明是微软编译器提供的一个扩展，它用于指示编译器不要为函数自动生成函数头和尾，并将函数转化为裸函数。这种函数不会自动生成函数前缀和后缀的代码，也不会创建任何本地变量或保护寄存器。
在使用__declspec(naked)声明的函数中，开发者需要自己手动管理堆栈和调用函数的传递参数，然后在函数体中使用汇编指令实现所需的功能。使用__declspec(naked)声明的函数可以有效地减小生成的代码大小，因为不需要在函数前后添加额外的代码，而且可以精确控制函数内部的代码。
注意：使用
__declspec(naked)声明的函数需要开发者对汇编语言有一定的了解，否则容易出现错误。在使用时，需要非常小心，确保在函数内部正确地管理堆栈和传递参数，以确保函数能够正常工作。
// ----------------------------------------------
// 32位获取模块基址
// ----------------------------------------------
__declspec(naked) DWORD getKernel32()
{
__asm
{
mov eax, fs: [30h]
mov eax, [eax + 0ch]
mov eax, [eax + 14h]
mov eax, [eax]
mov eax, [eax]
mov eax, [eax + 10h]
ret
}
}
// ----------------------------------------------
// 64位获取模块基址
// ----------------------------------------------
/*
.code
getKernel32 proc
mov rax,gs:[60h]
mov rax,[rax+18h]
mov rax,[rax+30h]
mov rax,[rax]
mov rax,[rax]
mov rax,[rax+10h]
ret
getKernel32 endp
end
*/
当我们能够拿到kernel32.dll的模块基址时，则接下来就是通过该基址得到Kernel32的模块导出表，并获取该导出表内的GetProcessAddress函数的基址，至于为什么需要这么做，在读者前面的文章中有详细的分析，这里就不再重复叙述。
// ----------------------------------------------
// 32位取函数地址
// ----------------------------------------------
FARPROC getProcAddress(HMODULE hModuleBase)
{
PIMAGE_DOS_HEADER lpDosHeader = (PIMAGE_DOS_HEADER)hModuleBase;
PIMAGE_NT_HEADERS32 lpNtHeader = (PIMAGE_NT_HEADERS)((DWORD)hModuleBase + lpDosHeader->e_lfanew);
if (!lpNtHeader->OptionalHeader.DataDirectory[IMAGE_DIRECTORY_ENTRY_EXPORT].Size)
{
return NULL;
}
if (!lpNtHeader->OptionalHeader.DataDirectory[IMAGE_DIRECTORY_ENTRY_EXPORT].VirtualAddress)
{
return NULL;
}
PIMAGE_EXPORT_DIRECTORY lpExports = (PIMAGE_EXPORT_DIRECTORY)((DWORD)hModuleBase + (DWORD)lpNtHeader->OptionalHeader.DataDirectory[IMAGE_DIRECTORY_ENTRY_EXPORT].VirtualAddress);
PDWORD lpdwFunName = (PDWORD)((DWORD)hModuleBase + (DWORD)lpExports->AddressOfNames);
PWORD lpword = (PWORD)((DWORD)hModuleBase + (DWORD)lpExports->AddressOfNameOrdinals);
PDWORD lpdwFunAddr = (PDWORD)((DWORD)hModuleBase + (DWORD)lpExports->AddressOfFunctions);
DWORD dwLoop = 0;
FARPROC pRet = NULL;
for (; dwLoop <= lpExports->NumberOfNames - 1; dwLoop++)