声明：此为应急响应安全工具。

DuckMemoryScan

运行截图

功能列表

HWBP hook检测 检测线程中所有疑似被hwbp隐形挂钩内存免杀shellcode检测(metasploit,Cobaltstrike完全检测)可疑进程检测(主要针对有逃避性质的进程[如过期签名与多各可执行区段])无文件落地木马检测(检测所有已知内存加载木马)简易rootkit检测(检测证书过期/拦截读取/证书无效的驱动)检测异常模块,检测绝大部分如"iis劫持"的后门(2021年2月26日新增)

免杀木马检测原理

所有所谓的内存免杀后门大部分基于"VirtualAlloc"函数申请内存 之后通过各种莫名其妙的xor甚至是aes加密去混淆shellcode达到"免杀"效果. 本工具通过线程堆栈回溯方法(StackWalkEx函数)遍历线程,寻找系统中在VirtualAlloc区域执行代码的区域,从而揪出"免杀木马" 当然也会存在误报,多常见于加壳程序也会申请VirtualAlloc分配内存. 但大部分普通程序均不会在VirtualAlloc区域内执行代码.一般都是在.text区段内执行代码

无文件落地木马检测原理

所有无文件落地木马都是一个标准PE文件被映射到内存中,主要特征如下:

内存区段有M.Z标志

线程指向一个NOIMAGE内存 本工具将会通过第一种特征检测出所有"无文件落地木马"

异常模块检测原理

本工具将会扫描所有带签名程序的模块列表并且检测其中模块是否存在签名,如果不存在则发出提示.本检测存在较多误报,但将会检测到类似IIS劫持的特殊模块

检测出疑似后门后怎么做

如何让堆栈回溯更精准

目前工具只回溯rip与eip,你可以回溯RSP或者EBP 只需修改StackFarmeEx.AddrPC.Offset即可

下载地址：

https://github.com/huoji120/DuckMemoryScan

如侵权请私聊公众号删文

>精彩回顾<

干货 | 红队快速批量打点的利器

【干货】最全的Tomcat漏洞复现

{Vulhub漏洞复现（一）ActiveMQ}

{Vulhub漏洞复现（二） Apereo CAS}

Cobalt Strike免杀脚本生成器|cna脚本|bypassAV

xss bypass备忘单|xss绕过防火墙技巧|xss绕过WAF的方法

【贼详细 | 附PoC工具】Apache HTTPd最新RCE漏洞复现

干货 | 横向移动与域控权限维持方法总汇

干货 | 免杀ShellCode加载框架

【干货】phpMyAdmin漏洞利用汇总

关注我

获得更多精彩

坚持学习与分享！走过路过点个"在看"，不会错过

仅用于学习交流，不得用于非法用途

如侵权请私聊公众号删文

觉得文章不错给点个‘再看’吧

原文始发于微信公众号（EchoSec）：【神兵利器】内存马免杀马查杀工具｜附下载地址