freeBuf
主站

分类

漏洞 工具 极客 Web安全 系统安全 网络安全 无线安全 设备/客户端安全 数据安全 安全管理 企业安全 工控安全

特色

头条 人物志 活动 视频 观点 招聘 报告 资讯 区块链安全 标准与合规 容器安全 公开课

官方公众号企业安全新浪微博

FreeBuf.COM网络安全行业门户,每日发布专业的安全资讯、技术剖析。

FreeBuf+小程序

FreeBuf+小程序

一个简单寻找无文件落地后门与内存免杀shellcode的工具
2021-02-24 16:36:40

DuckMemoryScan

一个简单寻找无文件落地后门的工具,花了1天编写

功能列表

1. HWBP hook检测 检测线程中所有疑似被hwb挂钩

2. 内存免杀shellcode检测(metasploit,Cobaltstrike完全检测)

3. 可疑进程检测(主要针对有逃避性质的进程[如过期签名与多各可执行区段])

4. 无文件落地木马检测(检测所有已知内存加载木马)

5. 简易rootkit检测(检测证书过期/拦截读取/证书无效的驱动)

免杀木马检测原理

所有所谓的内存免杀后门大部分基于"VirtualAlloc"函数申请内存 之后通过各种莫名其妙的xor甚至是aes加密去混淆shellcode达到"免杀"效果. 本工具通过线程堆栈回溯方法(StackWalkEx函数)遍历线程,寻找系统中在VirtualAlloc区域执行代码的区域,从而揪出"免杀木马" 当然也会存在误报,多常见于加壳程序也会申请VirtualAlloc分配内存.

无文件落地木马检测原理:

所有无文件落地木马都是一个标准PE文件被映射到内存中,主要特征如下:

1. 内存区段有M.Z标志

2. 线程指向一个NOIMAGE内存 本工具将会通过第一种特征检测出所有"无文件落地木马"

使用方式

编译 运行 得到信息列表

github地址:https://github.com/huoji120/DuckMemoryScan

本文作者:, 转载请注明来自FreeBuf.COM

# Metasploit # 系统安全 # 木马 # msf # Cobalt strike # Cobalt Strike
被以下专辑收录,发现更多精彩内容
+ 收入我的专辑
+ 加入我的收藏
评论 按热度排序

登录/注册后在FreeBuf发布内容哦

相关推荐
\
  • 0 文章数
  • 0 评论数
  • 0 关注者
文章目录
登录 / 注册后在FreeBuf发布内容哦