声明:此为应急响应安全工具。
DuckMemoryScan
运行截图
功能列表
HWBP hook检测 检测线程中所有疑似被hwbp隐形挂钩
内存免杀shellcode检测(metasploit,Cobaltstrike完全检测)
可疑进程检测(主要针对有逃避性质的进程[如过期签名与多各可执行区段])
无文件落地木马检测(检测所有已知内存加载木马)
简易rootkit检测(检测证书过期/拦截读取/证书无效的驱动)
检测异常模块,检测绝大部分如"iis劫持"的后门(2021年2月26日新增)
免杀木马检测原理
所有所谓的内存免杀后门大部分基于"VirtualAlloc"函数申请内存 之后通过各种莫名其妙的xor甚至是aes加密去混淆shellcode达到"免杀"效果. 本工具通过线程堆栈回溯方法(StackWalkEx函数)遍历线程,寻找系统中在VirtualAlloc区域执行代码的区域,从而揪出"免杀木马" 当然也会存在误报,多常见于加壳程序也会申请VirtualAlloc分配内存. 但大部分普通程序均不会在VirtualAlloc区域内执行代码.一般都是在.text区段内执行代码
无文件落地木马检测原理
所有无文件落地木马都是一个标准PE文件被映射到内存中,主要特征如下:
内存区段有M.Z标志
线程指向一个NOIMAGE内存 本工具将会通过第一种特征检测出所有"无文件落地木马"
异常模块检测原理
本工具将会扫描所有带签名程序的模块列表并且检测其中模块是否存在签名,如果不存在则发出提示.本检测存在较多误报,但将会检测到类似IIS劫持的特殊模块
检测出疑似后门后怎么做
如何让堆栈回溯更精准
目前工具只回溯rip与eip,你可以回溯RSP或者EBP 只需修改StackFarmeEx.AddrPC.Offset即可
下载地址:
https://github.com/huoji120/DuckMemoryScan
【往期推荐】
【超详细 | Python】CS免杀-Shellcode Loader原理(python)
【超详细 | 钟馗之眼】ZoomEye-python命令行的使用
【超详细 | 附EXP】Weblogic CVE-2021-2394 RCE漏洞复现
【超详细】CVE-2020-14882 | Weblogic未授权命令执行漏洞复现
【超详细 | 附PoC】CVE-2021-2109 | Weblogic Server远程代码执行漏洞复现
【漏洞分析 | 附EXP】CVE-2021-21985 VMware vCenter Server 远程代码执行漏洞
【CNVD-2021-30167 | 附PoC】用友NC BeanShell远程代码执行漏洞复现
【奇淫巧技】如何成为一个合格的“FOFA”工程师
【超详细】Microsoft Exchange 远程代码执行漏洞复现【CVE-2020-17144】
【漏洞速递+检测脚本 | CVE-2021-49104】泛微E-Office任意文件上传漏洞
走过路过的大佬们留个关注再走呗
往期文章有彩蛋哦
一如既往的学习,一如既往的整理,一如即往的分享
“如侵权请私聊公众号删文”
推荐阅读↓↓↓
我知道你在看哟
原文始发于微信公众号(渗透Xiao白帽):【分享 | 神兵利器】内存马免杀马查杀工具·附下载
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论