N！bilibili图片隐写加载shellcode工具
2023-11-22 08:31:21 Author: 天驿安全(查看原文) 阅读量:21 收藏

声明：该公众号分享的安全工具和项目均来源于网络，仅供安全研究与学习之用，如用于其他用途，由使用者承担全部法律及连带责任，与工具作者和本公众号无关。

工具介绍

bimg-shellcode-loader是一个使用bilibili图片隐写功能加载shellcode的工具。当然你可以使用任何地方的图片。
在调研C2通讯方式时，发现有一个有师傅使用了bilbili图片隐写功能加载shellcode，觉得这个方法很有意思，就自己写了一个工具，添加了反沙箱功能。
如果这个项目对你有帮助，欢迎star。

使用步骤

1. 生成包含隐写信息的图片

使用generate.go生成包含shellcode的图片，生成的图片为out_file.png。

在generate.go同级目录下存放shellcode文件，文件名为shellcode.bin；图片为img.png，随后用运行generate.go生成out_file.png。
go run generate.go
2. 上传图片到bilibili

登陆访问创作中心，点击上传图片，把生成的图片上传上去。

https://member.bilibili.com/platform/upload/text/edit
通过浏览器开发者工具，查看上传图片的请求，找到图片的返回地址，复制下来。
把图片地址填入到shellcodeLoader.go中的imgUrl变量中。
3. 编译加载器
CGO_ENABLED=0 GOOS=windows GOARCH=amd64 GOPRIVATE=* GOGARBLE=* garble -tiny -literals -seed=random build -ldflags  "-w -s -buildid= -H=windowsgui" -buildmode="pie"

免杀效果

只测试了360和微步

微步反沙箱，判断当前系统壁纸，如果是沙箱内的壁纸就退出。大家有遇到的沙箱或者分析机，提取壁纸的md5放入列表中。

md5List := []string{"fbfeb6772173fef2213992db05377231", "49150f7bfd879fe03a2f7d148a2514de", "fc322167eb838d9cd4ed6e8939e78d89", "178aefd8bbb4dd3ed377e790bc92a4eb", "0f8f1032e4afe1105a2e5184c61a3ce4", "da288dceaafd7c97f1b09c594eac7868"}

微步沙箱检测通过0/24，并且没有检测到网络通信。

下载地址

https://github.com/intbjw/bimg-shellcode-loader

信 安 考 证

CISP、PTE、PTS、DSG、IRE、IRS、NISP、PMP、CCSK、CISSP、ISO27001...


文章来源: http://mp.weixin.qq.com/s?__biz=MzkxNjIxNDQyMQ==&mid=2247495859&idx=1&sn=2204f586ad337bbd0c8de544286f8b34&chksm=c151f749f6267e5fb96502010529677b92592087520b79d1996f951c88d7a60edb182668cb9b&scene=0&xtrack=1#rd
如有侵权请联系:admin#unsafe.sh