【红队】一款使用 UUID 编码的 Shellcode 的工具

另一种使用 C++ 的 shellcode 注入技术，尝试使用 XOR 加密魔法和 UUID 字符串疯狂来绕过 Windows Defender :)。

该shellcode注入技术包括以下步骤：

• 首先，它通过有效载荷的执行和驻留分配虚拟内存：VirtualAlloc
• 它使用密钥值xor解密有效载荷xor
• 用于UuidFromStringA将UUID字符串转换为二进制表示形式，并将其存储在先前分配的内存中。这是为了避免使用诸如WriteProcessMemory或 之类的可疑 API memcpy。
• 用于EnumChildWindows执行先前加载到内存中的有效载荷

Shellcode 生成

• 首先，生成二进制格式的有效载荷（使用Havoc，CobaltStrike或msfvenom），例如，在中msfvenom，您可以这样做（我使用的有效载荷是为了说明目的，您可以使用任何您想要的有效载荷）：

  msfvenom -p windows/messagebox  -f raw -o shellcode.bin

• UUID然后使用 Python3 脚本将 shellcode（二进制/原始格式）转换为字符串格式bin_to_uuid.py：

  ./bin_to_uuid.py -p shellcode.bin -o uuid.txt

• xor使用 Python3 脚本加密UUID中的字符串。uuid.txtxor_encryptor.py

  ./xor_encryptor.py uuid.txt > xor_crypted_out.txt

• 复制C-style文件中的数组，xor_crypted_out.txt并将其作为数组粘贴到 C++ 文件中，unsigned char即unsigned char payload[]{your_output_from_xor_crypted_out.txt}

原文始发于微信公众号（贝雷帽SEC）：【红队】一款使用 UUID 编码的 Shellcode 的工具