cobaltstrike之execute-assembly内存加载—后渗透利用

番茄酱料

已于 2024-09-24 16:52:11 修改

阅读量410

点赞数 5

分类专栏：后渗透工具文章标签： windows 网络安全安全 c#

于 2024-09-24 16:35:05 首次发布

本文链接：https://blog.csdn.net/bring_coco/article/details/142492635

版权

工具同时被 2 个专栏收录

14 篇文章 3 订阅

订阅专栏

后渗透

7 篇文章 1 订阅

订阅专栏

通过execute-assembly内存加载来执行文件，从而避免后渗透中被杀毒软件静态报毒，使更多的工具能够继续利用，常见的方式有权限维持，代理上线等操作

远程bin文件加载

首先尝试远程加载bin文件
使用项目https://github.com/shanekhantaun9/SharpLoader
在vps上传一个
在这里插入图片描述
这个文件生成方法，使用rc4.py脚本进行加密

import sys


def rc4(data, key):
    keylen = len(key)
    s = list(range(256))
    j = 0
    for i in range(256):
        j = (j + s[i] + key[i % keylen]) % 256
        s[i], s[j] = s[j], s[i]

    i = 0
    j = 0
    encrypted = bytearray()
    for n in range(len(data)):
        i = (i + 1) % 256
        j = (j + s[i]) % 256
        s[i], s[j] = s[j], s[i]
        encrypted.append(data[n] ^ s[(s[i] + s[j]) % 256])

    return encrypted


if __name__ == "__main__":
    if len(sys.argv) != 3:
        print("Usage: ./rc4.py <key> <filename>")
        exit(0)

    key = sys.argv[1]
    filename = sys.argv[2]

    with open(filename, 'rb') as f:
        data = f.read()

    encrypted = rc4(data, key.encode())

    with open(f"{filename}.enc", 'wb') as f:
        f.write(encrypted)

    print(f"Written {filename}.enc")