扫一扫关注公众号，长期致力于安全研究
前言：在蓝队常用查杀工具下后门，干翻蓝队，最下方有工具下载地址
最近闲来无事，写了个注入工具...接上篇文章分享的小工具，有很大不足，为此稍加改进了一下。
在常见的HW中，蓝队比较常用D某盾等查杀工具。那么如果将shellcode存到该程序里面，当该程序执行就自动执行shellcode，那为此我们的后门就打造成功了...
首先看一下区段为8个，而思路就是新增一个区段，将第九个区段存放shellcode，然后将EP改为shellcode起始地址，在通过E9硬编码指令跳到原OEP即可。
新增一个节，大小为1000，将shellcode写入到起始地址，这里最后的E9
就是跳转到原OEP程序的硬编码指令，因为执行完shellcode要跳回原程序的。
E9这里就不手算了...老是算错，直接jmp 544238左边出现了硬编码指令，直接copy到shellcode最后即可。
之后新增一个节，根据对齐值之后进行计算即可
新增节完成之后，将option可选头里面的AddressOfEntryPoint改为新增节(.met)当中的VirtualAddress(shellcode起始地址)即可，然后将NumberOfSections数量加1即可。
之后运行程序看一下，shellcode植入成功
之后成功运行查杀工具了
联系我Q：189849951
加入知识星球即可免费获取
下方扫一下扫，即可关注
本文始发于微信公众号（安全族）：打造查杀后门，干翻蓝队
免责声明:文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与教学之用，读者将其信息做其他用途，由读者承担全部法律及连带责任，本站不承担任何法律及连带责任；如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截，联系方式见首页)，望知悉。
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论