RedTeam工具隐蔽技术（二）

#include <stdio.h>#include <stdlib.h>#include <string.h>int main(int argc, char *argv[]) {    // argc 表示传递给程序的命令行参数的数量    // argv 是一个指针数组，其中每个元素是一个指向传递给程序的参数的指针    int i, j;    for (i = 1; i < argc; i++) {        // 内层循环遍历当前参数字符串的每个字符        for (j = strlen(argv[i]) - 1; j >= 0; j--) {            // 将当前字符修改为 'x'            argv[i][j] = 'x';        }    }    getchar();    return 0;}

type commandSlice []uint16// next 函数将命令行字符串 cmd 分割为下一个参数和剩余的命令行部分func (cmd commandSlice) next(is2erase bool) commandSlice {  var inquote bool       // 是否在引号内  var nslash int         // 反斜杠的数量  var erasenum int       // 要擦除的参数的数量  for ; len(cmd) > 0; cmd = cmd[1:] {    switch cmd[0] {    case uint16(' '), uint16('t'): // 如果遇到空格或制表符      if !inquote {        return cmd       }    case uint16('"'):       if nslash%2 == 0 { // 没有转义的情况下        if inquote && len(cmd) > 1 && cmd[1] == uint16('"') {          cmd = cmd[1:]        }        inquote = !inquote // 切换引号状态      }      nslash = 0 // 重置反斜杠数量      continue    case uint16('\'): // 如果遇到反斜杠      nslash++      fallthrough // 继续执行 default 分支的逻辑    default:      if is2erase { // 如果需要擦除参数        erasenum++ // 增加擦除参数的数量        if erasenum > 3 { // 如果擦除参数的数量超过3个          cmd[0] = uint16(' ') // 将当前参数替换为空格        } else {          cmd[0] = uint16('*') // 否则将当前参数替换为星号        }      }    }    nslash = 0   }  return cmd}// erase 函数擦除命令行切片中指定位置的参数func (cmd commandSlice) erase(pos uint) {  var p uint  for len(cmd) > 0 && p <= pos {    if cmd[0] == uint16(' ') || cmd[0] == uint16('t') {       cmd = cmd[1:] // 跳过空格或制表符      continue    }    cmd = cmd.next(p == pos) // 调用 next 函数，如果当前位置是要擦除的位置，则擦除该参数    p++  }}// utf16PtrToCommandSlice 函数将UTF-16指针转换为命令行切片func utf16PtrToCommandSlice(p *uint16) commandSlice {  if p == nil {    return nil  }  // 寻找NUL终止符  end := unsafe.Pointer(p)  start := end  n := uintptr(0)  for *(*uint16)(end) != 0 {    end = unsafe.Pointer(uintptr(end) + unsafe.Sizeof(*p))    n++  }  return (commandSlice)(uint16Slice(start, n))}// Hide 函数隐藏指定位置的参数func Hide(position int) {  if position < 0 || position >= len(os.Args) {    panic("无效的参数位置" + strconv.Itoa(position))  }  utf16PtrToCommandSlice(syscall.GetCommandLine()).erase(uint(position))  hideOSArgA(position)}// HideAll 函数隐藏所有参数func HideAll() {  for i := 1; i < len(os.Args); i++ {    utf16PtrToCommandSlice(syscall.GetCommandLine()).erase(uint(i))    hideOSArg(i)  }}

 wmic process get caption,commandline /value | findstr zaku

type slice struct {  data unsafe.Pointer  len  uintptr  cap  uintptr}func stringToBytes(s string) (b []byte) {  bh := (*slice)(unsafe.Pointer(&b))  sh := (*slice)(unsafe.Pointer(&s))  bh.data = sh.data  bh.len = sh.len  bh.cap = sh.len  return b}func uint16Slice(ptr unsafe.Pointer, n uintptr) (s []uint16) {  hdr := (*slice)(unsafe.Pointer(&s))  hdr.data = ptr  hdr.cap = n  hdr.len = n  return}func hideOSArg(position int) {  if position < 0 || position >= len(os.Args) {    panic("invalid gohideparam position" + strconv.Itoa(position))  }  if len(os.Args[position]) == 0 {    return  }  argp := stringToBytes(os.Args[position])  for i := 0; i < len(os.Args[position]); i++ {    argp[i] = ' '  }}func hideAllArg() {  for i := 1; i < len(os.Args); i++ {    hideOSArg(i)  }  return}