ShellCode免杀的一些方法

最新推荐文章于 2025-03-20 19:40:12 发布
原创 最新推荐文章于 2025-03-20 19:40:12 发布
· 747 阅读 · 1 ·
版权
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
文章标签：

#安全 #网络安全

本文探讨了ShellCode的内存注入技术，包括使用VirtualAlloc系列函数申请内存，RtlCopyMemory等进行数据导入，以及通过创建线程和syscall执行。同时，文章提到了ShellCode的加密解密方法，如AES、hex、XOR+Base64等。此外，还讨论了dll劫持、CTF隐写技术以及如何利用动态域名实现远程上线。

摘要生成于 C知道 ，由 DeepSeek-R1 满血版支持， 前往体验 >

1.ShellCode内存注入

主要围绕三个方面：

  • 申请内存空间：VirtualAlloc（在调用进程的虚拟地址空间中保留、提交或更改页面区域的状态分配的内存初始化为零)、VirtualAlloc2（进程注入：在指定进程的虚拟地址空间内保留、提交或更改内存区域的状态。该函数将其分配的内存初始化为零）、VirtualAllocEx（进程注入：在指定进程的虚拟地址空间内保留、提交或更改内存区域的状态。该函数将其分配的内存初始化为零）

  • 导入内存：RtlCopyMemory（将源内存块的内容复制到目标内存块（新版）,RtlCopyByte和RtlMoveMemory将源内存块的内容复制到目标内存块(旧版)。

  • 调用执行：创建线程的方式执行、用syscall调用执行（golang）、内嵌C代码执行

加载方式：基础加载，纤程加载，远程加载。

 2.ShellCode加密解密

常见的加密解密方式:AES加密、hex加密、XOR+base64加密、Base85+XOR+RC4。

3.dll劫持  

4.CTF隐写用来隐藏shellcode特征

5.shellcode如何利用动态域名进行远程上线

Nue.js
关注
【护网必备】Windows平台shellcode免杀加载器
Fly_鹏程万里
06-14 809
bypass：McAfee、金山（数字签名）、火绒、ESET、卡巴企业版（时间5s 抖动50 Sleep_mask）、360全家桶（物理机）、Norton（加白程序资源）、WDF（PC）、WDF（Server）、Symantec（加白程序资源）bypass：金山（数字签名）、火绒、ESET、360全家桶（物理机）、WDF（PC）、WDF（服务器提示复查（关云保护））、McAfee、Norton（加白程序资源）、卡巴企业版（时间5s 抖动50 Sleep_mask）必须使用Bof操作，shell运行就掉线。
Python shellcode免杀无文件落地
qq_43658820的博客
04-23 552
总结：python的免杀在我个人看来已经不推荐了。pyinstaller打包特征过于明显，python本身是高级解释性语言，没有c的底层api 你用Virtual alloc分配内存也特别明显，编译后的exe文件极其容易被查出特征。尽管有时可以过一些杀软，考虑性价比 仍然不推荐用python。你可以尝试改改特征，换个打包工具。应该还是可以有时过掉比较难过的杀软。某数字杀软本身宁错杀勿放过，其次人家有智慧云大脑，这玩意只要被查出来就会上传云上，之后就不免杀。使用pyinstaller打包客户端。
shellcode 其他 免杀
代码审计
05-18 410
https://blog.youkuaiyun.com/qq_36241198/article/details/119846882?ops_request_misc=%257B%2522request%255Fid%2522%253A%2522165285461216781432947947%2522%252C%2522scm%2522%253A%252220140713.130102334…%2522%257D&request_id=165285461216781432947947&biz_id=0&
Python shellcode免杀
qq_25761407的博客
04-02 5806
Python shellcode免杀
shellcode静态免杀思路
最新发布
2302_79590880的博客
03-20 478
加密混淆与文件分离免杀法
shellCode免杀技巧
qq_39330735的博客
05-15 2931
由上⾯的信息可⻅，国内在1997年出现了第⼀个可以⾃动变异的千⾯⼈病毒，虽然 ⾃动变异也可以看 为是针对杀毒软件的⼀种免杀⽅法，但是由于与免杀⼿法的定义 有出⼊，所以如果将国内免杀技术起源 定位1997年会显得⽐较牵强。2005年2⽉-7⽉：通过各⽅⾯有意或⽆意的宣传，⿊客爱好者们开始逐渐重视免 杀，在类似于免杀技术 界的祖师爷⿊吧安全⽹的浩天⽼师带领下⼀批⿊客开始有越 来越多的讨论免杀技术，这为以后⽊⻢免杀 的⽕爆埋下根基。\t错误值: %d\n", GetLastError());
Shellcode免杀对抗(C/C++)
热门推荐
qq_74806534的博客
02-17 2万+
这里便是杀毒软件杀毒的原理，这就是特征，我们只需要将木马程序进行简单的分析，就能得到shell回连的IP地址和端口，如果杀毒软件发现我们的可执行文件是一个木马程序。加载器的作用：由于shellcode是一段可以执行的二进制代码，因此需要开辟出一段可以读写可操作的地址来运行shellcode，而这就是加载器的作用。之后打开.c文件是一个未编译代码，放到上文的编译代码中，注意这里是x64编译，用的方式三，使用.c文件。因为我们的加载器的特征，各平台杀毒软件都有了已经，所有我们就要用新的，特征没有被锁定。
免杀入门---shellcode免杀
LvHLong的博客
05-03 5906
前言 本文仅用于技术学习和交流，严禁用于非法用途，否则产生的一切后果自行承担。 基础概念 免杀 免杀技术全称为反杀毒技术Anti Anti- Virus简称“免杀”，它指的是一种能使病毒木马免于被杀毒软件查杀的技术。 杀毒软件工作原理 市面上的杀毒软件基本由扫描器、病毒特征库和虚拟机组成，它会把文件放在虚拟机内运行，扫描该文件的特征，包括静态特征、内存特征、行为特征等，通过和病毒特征库对比来判断一个文件是否为恶意文件。安全厂商一直在收集市面上出现的...
30.远控免杀专题(30)-Python加载shellcode免杀-8种方式(VT免杀率10-69)1
08-03
以下是一些通过Python实现shellcode免杀的方法： **一、Python加载shellcode免杀介绍** 1. **Python的便利性**：Python的易读性和编程效率使其成为编写免杀程序的理想选择。通过在Python代码中处理shellcode，可以...
65.远控免杀专题(65)-shellcode免杀实践1
08-03
本文深入浅出地介绍了多种shellcode免杀技术，包括直接生成可执行文件、加密shellcode、DLL劫持和远程线程注入等策略。这些技术的运用，可以帮助安全研究者了解和防御潜在的恶意攻击，同时提醒读者，这些技术必须...
28.远控免杀专题(28)-C、C++加载shellcode免杀(下)(VT免杀率3-71)1
08-03
声明：文中所涉及的技术、思路和工具仅供以安全为目的的学习交流使用，任何人不得将其用于非法用途以及盈利等目的，否则后果自行承担！文章打包下载及相关软件下载： ht
绕过AV：免杀shellcode加载器
03-04
旁路AV 条件触发式远控VT 6/70免杀国内杀软及后卫，卡巴斯基等主流杀软 原理 使用 将shellcode填至go_shellcode_encode.py生成重复后的base64有效负载然后将生成的payload填至main.go build（“ b64shellcode”）将main.go中的网址替换为您vbs的某个网页或文本（称为网页同样可以，但是需要程序可以正常使用时此网页需要可以访问）编译：go build -ldflags =“-w -s -H = windowsgui”
免杀-Shellcode分离隐藏&C++
qq_45087791的博客
02-27 2815
Shellcode分离隐藏-让杀毒找不到。离免杀包含对特征和行为的分离两个维度，把shellcode从放在程序转移到加载进内存，把整块的ShellCode通过分块传输的方法上传然后再拼接，这些体现了基本的"分离"思想。
[ShellCode] 动态解密 ShellCode，免杀
LYSM
11-27 2369
背景 今天在复习《加密与解密》时，在软件保护这一章中有一个代码与数据结合的案例，其原理是将代码段中的代码进行xor异或加密处理以后回写到原始位置，当程序运行后将此处的内容动态的进行解密，解密后回写替换回原始内存位置，这样就能实现内存加载。 由此案例我想到一个关于免杀的利用思路，首先杀软的运作方式多数为特征码查杀，当我们程序中使用了敏感的函数时，就会存在被杀的风险，而如果将代码段中的代码进行加密，需要时直接在内存中解密，那么杀软将无法捕捉硬盘文件的特征，从而可以规避杀软针对硬盘特征的查杀手法。 经过阅读该案例
Shellcode免杀，过360、火绒、windows-Defender
Kris__zhang的博客
03-17 2645
快速生成免杀文件，过360、火绒、windows-Defender
shellcode免杀
土豆的博客
07-14 2111
0x06利用wmic远程文件不落地执行shellcode 1、msf生成的hta链接放入hta.xsl文件中，（其中JScript调用mshta运行恶意hta），并将文件放置攻击方服务器 <?xml version='1.0'?> <stylesheet xmlns="http://www.w3.org/1999/XSL/Transform" xmlns:ms="urn:schemas-microsoft-com:xslt" xmlns:user="placeholder" ..
shellcode免杀思路
u013367305的博客
05-04 1633
shellcode免杀思路 使用msfconsole生产的shellcode之后正常写入到程序的内存里面的话会直接被杀毒软件静态查杀就能杀掉。 如果我们直接把shellcode贴入到自己程序中的话，编译出来的exe文件就会带上这段byte，而杀毒软件对此非常敏感所以会直接被杀掉。 // An highlighted block unsigned char sendBuf[355] = "\xfc\xe8\x8f\x00\x00\x00\x60\x89\xe5\x31\xd2\x64\x8b\x5
免杀基本知识，shellcode混淆免杀
白帽子凯哥聊黑客
06-17 2040
根据源代码我们看到在执行完call ebp以后，就执行了设置地址的操作，也就是说在shellcode中存在了反弹连接的ip地址，这里我们将生成的exe程序放到debug程序中，根据c的源代码，我们的shellcode是在call eax中，所以首先要搜索call eax步入进去以后就进入到shellcde中的代码，在shellcode中找到call ebp。最常见的就是360，刚刚上传的木马没有报毒，但是几分钟之内就会被检测为病毒程序，就是因为360会使用云查杀技术，这也是360查杀能力强的原因。
shellcode 免杀
05-29
Shellcode 免杀技术是指通过对 Shellcode 代码进行加密、混淆、变形等手段，使其在被杀毒软件或安全设备检测时无法被识别，从而达到免杀的目的。 以下是一些常见的 Shellcode 免杀技术： 1. 加密：将 Shellcode 代码进行加密，使其在内存中存储时无法被检测到。 2. 随机变形：通过修改 Shellcode 代码中的一些关键字、函数名等来使其难以被检测到。 3. 延时加载：将 Shellcode 代码分为多个部分，只有在特定条件下才会加载，从而避免被杀毒软件或安全设备检测到。 4. 模块化：将 Shellcode 代码拆分为多个模块，每个模块都可以独立执行，从而难以被检测到。 5. 零宽度字符：利用 Unicode 中的零宽度字符来隐藏 Shellcode 代码，使其在被杀毒软件或安全设备检测时无法被识别。 需要注意的是，Shellcode 免杀技术只是提高了 Shellcode 的免杀能力，但并不能完全避免被检测到。因此，在实际应用中，还需要结合其他防御措施来确保系统的安全性。
评论 1
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值