如何使用LightsOut生成经过混淆处理的DLL
2024-1-3 19:7:7 Author: FreeBuf(查看原文) 阅读量:2 收藏

关于LightsOut

LightsOut是一款功能强大的DLL生成工具，该工具可以帮助广大研究人员轻松生成经过混淆处理的DLL。该工具专为红队研究人员设计，生成的DLL可以在研究人员尝试绕过反病毒产品时禁用AMSI和ETW，从而更好地测试目标系统的安全性。

该工具可以随机化DLL中所有的WinAPI函数使用、XOR编码字符串和基础的沙箱检测，并使用了Mingw-w64将经过混淆处理的C代码编译为DLL文件，然后再加载到任何有AMSI或ETW的进程中，例如PowerShell。

该工具旨在辅助研究人员进行红队渗透测试，以测试反病毒产品AV/EDR的安全检测能力。

功能介绍

当前版本的LightsOut提供了下列功能：

  1. 对字符串进行XOR编码；

  2. WinAPI函数名称随机化；

  3. 支持多种沙箱环境检测选项；

  4. 提供硬件断点绕过选项；

工具要求

当前版本的LightsOut仅支持在Linux操作系统上运行，且需要安装并配置好下列组件：

Python 3
Mingw-w64
工具下载

由于该工具基于Python 3开发，因此我们首先需要在本地设备上安装并配置好Python 3.x环境。接下来，广大研究人员可以直接使用下列命令将该项目源码克隆至本地：

git clone https://github.com/icyguider/LightsOut.git

然后切换到项目目录中，直接运行工具主脚本即可：

cd LightsOut
python3 lightsout.py
工具运行
_______________________
|                       |
|   AMSI + ETW          |
|                       |
|        LIGHTS OUT     |
|        _______        |
|       ||     ||       |
|       ||_____||       |
|       |/    /||       |
|       /    / ||       |
|      /____/ /-'       |
|      |____|/          |
|                       |
|          @icyguider   |
|                       |
|                     RG|
`-----------------------'
usage: lightsout.py [-h] [-m <method>] [-s <option>] [-sa <value>] [-k <key>] [-o <outfile>] [-p <pid>]


Generate an obfuscated DLL that will disable AMSI & ETW


options:
  -h, --help       显示工具帮助信息和退出
  -m <method>, --method <method>
                   要使用的绕过技术 (可选: patch, hwbp, remote_patch) (默认: patch)
  -s <option>, --sandbox <option>
                   要使用的沙箱规避技术 (可选: mathsleep, username, hostname, domain) (默认: mathsleep)
  -sa <value>, --sandbox-arg <value>
                        沙箱规避技术参数选项 (例如: WIN10CO-DESKTOP, testlab.local)
  -k <key>, --key <key>
                        编码字符串所使用的密钥 (默认随机生成)
  -o <outfile>, --outfile <outfile>
                        存储输出DLL的文件路径


Remote options:
  -p <pid>, --pid <pid>
                        要修补的远程进程PID

（右滑查看更多）

工具使用

我们可以直接将工具输出的DLL文件发送到目标系统中，然后通过多种方法将其加载进PowerShell中。比如说，我们可以通过LoadLibrary和P/Invoke实现加载：

或者更简单地操作，直接将PowerShell拷贝到一个任意位置，然后实现DLL测加载：

许可证协议

本项目的开发与发布遵循GPL-3.0开源许可证协议。

项目地址

LightsOut：

https://github.com/icyguider/LightsOut

【FreeBuf粉丝交流群招新啦！
在这里，拓宽网安边界
甲方安全建设干货；
乙方最新技术理念；
全球最新的网络安全资讯；
群内不定期开启各种抽奖活动；
FreeBuf盲盒、大象公仔......
扫码添加小蜜蜂微信回复“加群”，申请加入群聊】

https://rastamouse.me/memory-patching-amsi-bypass/
https://ethicalchaos.dev/2022/04/17/in-process-patchless-amsi-bypass/
https://github.com/rad9800/misc/tree/main/hooks

文章来源: http://mp.weixin.qq.com/s?__biz=MjM5NjA0NjgyMA==&mid=2651253559&idx=4&sn=d32c5d9f456b91db594bee24c8b730e0&chksm=bcb70a3c932b250fedc9ce453d2bc8e4d7af919b3d84c072b1a36d110d627cf6dbc6f7d7eb3c&scene=0&xtrack=1#rd
如有侵权请联系:admin#unsafe.sh