相关文章推荐
慷慨大方的烤红薯  ·  中国石油大学(北京)克拉玛依校区石油学院·  9 月前    · 
斯文的电影票  ·  诚信兴商典型案例|小钱币拍出大行情——上海国拍公司·  2 年前    · 
无邪的弓箭  ·  新狐狸攻略漫画免费 - 新狐狸攻略漫画 - ...·  2 年前    · 
大方的人字拖  ·  推文【BL】有资源. 在言情文里撩直男男主 ...·  2 年前    · 
八块腹肌的小狗  ·  窥视者第三�%A - 搜狗图片搜索·  2 年前    · 
Code  ›  免杀Tips--利用GUID来加载shellcode开发者社区
system 免杀 guid guid生成
https://cloud.tencent.com/developer/article/1813409
谈吐大方的爆米花
2 年前
作者头像
鸿鹄实验室
0 篇文章

免杀Tips--利用GUID来加载shellcode

前往专栏
腾讯云
备案 控制台
开发者社区
学习
实践
活动
专区
工具
TVP
文章/答案/技术大牛
写文章
社区首页 > 专栏 > 鸿鹄实验室 > 正文

免杀Tips--利用GUID来加载shellcode

发布 于 2021-04-15 10:10:34
859 0
举报

前几天,很多的公众号都复现了来自Lazarus组织的加载器的实现方法,UUID法,具体链接可以查看:https://research.nccgroup.com/2021/01/23/rift-analysing-a-lazarus-shellcode-execution-method/,然后今天带来一个类似的方法,即使用GUID来加载shellcode。原文链接可点击原文链接查看。

GUID:一个全球唯一标识符 或 GUID 是一个假随机数用于软件中。虽然每个产生的GUID是不保证唯一的,但不同的标识符总数是(2128 也就是3.4028×1038)如此之大,以至于相同的数字被产生两次的机率是很相当小的。而这种加载方法也是从一个样本之中发现的。起初是国外的安全人员在样本中发现了大量的GUID字样,如下:

然后在IDA里分析是,发现了其加载代码以及解密代码(GUID做了部分变化):

然后我们发现,其中比较罕见的就是GUIDFromStringW该函数的调用。而作者也通过使用下面的方法成功的将GUID还原成立bin文件:

$GUIDs = Get-Content .\guid.txt
foreach ($GUID in $GUIDs){
    $Bytes += [System.Guid]::new($GUID).ToByteArray()
[io.file]::WriteAllBytes("C:\Users\Administrator\Desktop\2.bin",$Bytes)

然后通过火眼的https://github.com/fireeye/speakeasy工具得到了目标的部分信息(蓝队同学的工具+1)

那么了解到了这些之后,我们便可以学习这种思路,来编写我们自己的GUID的loader,首先就是GUID的生成。C#中提供了现成的代码:

using System;
using System.Collections.Generic;
using System.Linq;
using System.Text;
using System.Threading.Tasks;
namespace Part8
    class Program
        static void Main(string[] args)
            string hex = "0F1F006666660F1F8400000000000F1F";
 
推荐文章
慷慨大方的烤红薯  ·  中国石油大学(北京)克拉玛依校区石油学院
9 月前
斯文的电影票  ·  诚信兴商典型案例|小钱币拍出大行情——上海国拍公司
2 年前
无邪的弓箭  ·  新狐狸攻略漫画免费 - 新狐狸攻略漫画 - 漫画在线全集免费阅读 - 腾讯动漫
2 年前
大方的人字拖  ·  推文【BL】有资源. 在言情文里撩直男男主 - 哔哩哔哩
2 年前
八块腹肌的小狗  ·  窥视者第三�%A - 搜狗图片搜索
2 年前
今天看啥   ·   Py中国   ·   codingpro   ·   小百科   ·   link之家   ·   卧龙AI搜索
删除内容请联系邮箱 2879853325@qq.com
Code - 代码工具平台
© 2024 ~ 沪ICP备11025650号