Freeze.rs开发指南用Rust构建强大的EDR规避工具链【免费下载链接】Freeze.rsFreeze.rs is a payload toolkit for bypassing EDRs using suspended processes, direct syscalls written in RUST项目地址: https://gitcode.com/gh_mirrors/fr/Freeze.rsFreeze.rs是一款基于Rust语言开发的EDR规避工具链专门用于绕过终端检测与响应EDR安全控制以隐秘方式执行shellcode。这款工具采用创新的挂起进程技术和直接系统调用为安全研究人员和红队成员提供了强大的载荷创建能力。 什么是Freeze.rsFreeze.rs是一个载荷创建工具它利用多种先进技术来移除用户态EDR钩子并以规避其他终端监控控制的方式执行shellcode。这个工具的独特之处在于它创建挂起状态进程的能力——在这种状态下只有ntdll.dll被加载而EDR DLL尚未注入这意味着系统调用尚未被钩子修改。 核心技术原理挂起进程技术当Windows进程被创建时ntdll.dll是第一个加载的DLL这发生在任何EDR DLL加载之前。通过创建挂起状态进程Freeze.rs能够捕获一个干净的ntdll.dll副本此时系统调用尚未被EDR产品钩住。地址空间布局随机化ASLR利用ASLR是Windows的安全机制但Freeze.rs巧妙地利用了它的特性。对于DLL来说地址空间在系统启动时只随机化一次这意味着所有进程中的ntdll.dll基地址都相同。Freeze.rs利用这一点从自身进程中获取ntdll.dll的信息无需枚举远程进程。ETW补丁技术ETWWindows事件跟踪使用内置系统调用来生成遥测数据。Freeze.rs会修补多个ETW系统调用清空寄存器并将执行流返回到下一条指令从而阻止ETW事件生成。直接系统调用由于只恢复了ntdll.dll所有后续的shellcode执行调用都需要驻留在ntdll.dll中。Freeze.rs使用Rust的NTAPI Crate来定义和调用NT系统调用有效跳过了可能仍被钩住的Kernel32.dll和Kernelbase.dll中的标准调用。️ Freeze.rs安装与使用环境准备首先确保已安装Rust和Rustup。如果你在macOS或Linux上编译需要添加Windows目标rustup target add x86_64-pc-windows-gnu编译项目cargo build --release编译后的二进制文件位于target/release/目录中。基本使用Freeze.rs支持多种命令行选项Freeze-rs [FLAGS] [OPTIONS]主要选项-I, --Input INPUT原始64位shellcode的路径-O, --Output OUTPUT输出文件名如loader.exe或loader.dll-p, --process PROCESS要生成的进程名称如notepad.exe-E, --Encrypt ENCRYPT使用AES 256、ELZMA或RC4加密shellcode-n, --noetw禁用ETW补丁-s, --sandbox启用沙箱规避检查二进制文件与DLL生成Freeze.rs可以生成.exe或.dll文件。通过-O选项指定文件扩展名来确定生成类型。对于DLL文件还可以使用-export选项定义自定义导出函数名。 加密功能详解AES加密Freeze.rs使用AES-256位加密算法来保护shellcode。AES提供强大的加密保护广泛支持加密库但固定块大小可能使其容易受到某些攻击。ELZMA加密ELZMA是一种压缩和加密算法常用于恶意软件混淆代码。它首先使用ELZMA算法压缩shellcode然后使用随机密钥加密压缩数据最后将加密数据和密钥嵌入到利用代码中。RC4加密RC4是一种对称加密算法以其简单性和速度著称。它使用可变长度密钥是加密shellcode的常用选择。 核心源码解析主要代码结构Freeze.rs的核心功能位于lib/src/lib.rs文件中包含多个关键函数code_snippet()生成主要的Rust代码模板ETW()ETW补丁函数CreateProcess()创建挂起进程image_map()映射ntdll.dll的.text节shellcode()执行shellcode的核心函数关键技术实现在code_snippet函数中Freeze.rs实现了以下关键步骤ETW补丁修补EtwEventWrite、EtwNotificationRegister等ETW函数进程创建使用CreateProcessA创建挂起状态进程内存读取使用ReadProcessMemory读取干净ntdll.dll的.text节钩子恢复将干净的.text节写回当前进程shellcode执行使用直接系统调用分配、写入和保护shellcode内存隐藏控制台窗口Freeze.rs使用GetConsoleWindow和ShowWindow函数在进程创建后将窗口隐藏避免被EDR产品检测。 最佳实践与注意事项1. 选择合适的进程选择系统自带的进程如notepad.exe、calc.exe作为挂起目标这些进程通常不会引起EDR的怀疑。2. 加密选择AES适合需要强加密的场景ELZMA适合需要同时压缩和加密的场景RC4适合需要快速执行的场景3. 沙箱规避启用-s选项时Freeze.rs会检查端点是否加入域端点是否拥有超过2个CPU端点是否拥有超过4GB RAM4. 调试模式使用-c选项可以生成详细的控制台信息帮助调试但会禁用隐藏窗口功能。 安全与合规性说明Freeze.rs是用于合法安全研究和红队测试的工具。使用此工具时必须仅在授权的环境中使用遵守所有适用的法律和法规获得目标系统的明确授权用于教育和防御性安全目的 自定义开发指南扩展功能Freeze.rs的模块化设计允许轻松扩展新功能。主要修改点包括加密算法在lib/src/lib.rs中添加新的加密函数进程创建逻辑修改CreateProcess()函数系统调用在shellcode()函数中添加新的NTAPI调用编译选项项目支持多个Cargo特性console_mode启用控制台输出ETW启用ETW补丁hide隐藏控制台窗口sandbox启用沙箱检查 性能优化建议内存管理优化Freeze.rs使用直接系统调用进行内存操作这比标准Windows API调用更高效。但需要注意合理设置内存分配大小及时释放不再使用的内存句柄避免内存泄漏执行效率使用合适的加密算法平衡安全性和性能考虑shellcode大小对执行时间的影响优化进程创建参数 学习资源与进阶深入理解技术原理要深入了解Freeze.rs使用的技术建议阅读SourceZero博客文章关于挂起进程技术Windows内核编程相关文档Rust系统编程指南代码学习路径从main.rs开始了解命令行参数处理研究lib.rs中的核心功能实现理解各个加密算法的实现细节探索进程创建和内存操作的系统调用 未来发展方向Freeze.rs作为一个开源项目未来可能的发展方向包括更多加密算法支持添加ChaCha20、Salsa20等现代加密算法跨平台支持扩展对Linux和macOS的支持GUI界面开发图形用户界面简化操作插件系统允许社区贡献自定义模块云集成与云安全平台集成进行测试通过掌握Freeze.rs安全研究人员可以更好地理解EDR规避技术提高安全防御能力并为构建更安全的系统做出贡献。记住强大的工具需要负责任地使用始终将安全研究用于合法的防御目的。【免费下载链接】Freeze.rsFreeze.rs is a payload toolkit for bypassing EDRs using suspended processes, direct syscalls written in RUST项目地址: https://gitcode.com/gh_mirrors/fr/Freeze.rs创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考