技术编程|自动重构Meterpreter绕过杀软·续( 五 ) |

为了测试一切是否如预期运行，我们使用以下测试文件：#include
int main(int argc, char** argv) {MessageBoxA(NULL, "Test", "Something", MB_OK);MessageBoxA(NULL, "Another test", "Another something", MB_OK);return 0;}
运行混淆器：./CMakeBuild/avcleaner.bin test/messagebox_simple.c --strings=true --api=true -- -D _WIN64 -D _UNICODE -D UNICODE -D _WINSOCK_DEPRECATED_NO_WARNINGS\ -I /usr/local/Cellar/llvm/9.0.1\ -I /Users/vladimir/dev/scrt/avcleaner/Include/msvc-14.15.26726-include\ -I /Users/vladimir/dev/scrt/avcleaner/Include/10.0.17134.0/ucrt\ -I /Users/vladimir/dev/scrt/avcleaner/Include/10.0.17134.0/shared\ -I /Users/vladimir/dev/scrt/avcleaner/Include/10.0.17134.0/um\ -I /Users/vladimir/dev/scrt/avcleaner/Include/10.0.17134.0/winrt -w -fdebug-compilation-dir -fno-use-cxa-atexit -fms-extensions -fms-compatibility -fms-compatibility-version=19.15.26726 -std=c++14 -fdelayed-template-parsing -fobjc-runtime=gcc -fcxx-exceptions -fexceptions -fdiagnostics-show-option -fcolor-diagnostics -x c++ -ferror-limit=1900 -target x86_64-pc-windows-msvc19.15.26726 -fsyntax-only -disable-free -disable-llvm-verifier -discard-value-names -dwarf-column-info -debugger-tuning=gdb -momit-leaf-frame-pointer -v
检查结果：#include
int main(int argc, char** argv) {const charhid_Someth_lNGj92poubUG[] = {'\x53','\x6f','\x6d','\x65','\x74','\x68','\x69','\x6e','\x67',0};const charhid_Anothe_UP7KUo4Sa8LC[] = {'\x41','\x6e','\x6f','\x74','\x68','\x65','\x72','\x20','\x74','\x65','\x73','\x74',0};const charhid_Anothe_ACsNhmIcS1tA[] = {'\x41','\x6e','\x6f','\x74','\x68','\x65','\x72','\x20','\x73','\x6f','\x6d','\x65','\x74','\x68','\x69','\x6e','\x67',0};typedef int (*_MessageBoxA)(HWND hWnd, LPCTSTR lpText, LPCTSTR lpCaption, UINT uType);TCHAR hid_User___Bhk5rL2239Kc[] = {'\x55','\x73','\x65','\x72','\x33','\x32','\x2e','\x64','\x6c','\x6c',0};HANDLE hid_hHandl_PFP2JD4HjR8w = LoadLibrary(hid_User___Bhk5rL2239Kc);TCHAR hid_Messag_drqxgJLSrxfT[] = {'\x4d','\x65','\x73','\x73','\x61','\x67','\x65','\x42','\x6f','\x78','\x41',0};_MessageBoxA hid_Messag_1W70P1kc8OJv = (_MessageBoxA) GetProcAddress(hid_hHandl_PFP2JD4HjR8w, hid_Messag_drqxgJLSrxfT);TCHAR hid_User___EMmJBb201EuJ[] = {'\x55','\x73','\x65','\x72','\x33','\x32','\x2e','\x64','\x6c','\x6c',0};HANDLE hid_hHandl_vU1riOrVWM8g = LoadLibrary(hid_User___EMmJBb201EuJ);TCHAR hid_Messag_GoaJMFscXsdw[] = {'\x4d','\x65','\x73','\x73','\x61','\x67','\x65','\x42','\x6f','\x78','\x41',0};_MessageBoxA hid_Messag_6nzSLR0dttUn = (_MessageBoxA) GetProcAddress(hid_hHandl_vU1riOrVWM8g, hid_Messag_GoaJMFscXsdw);hid_Messag_1W70P1kc8OJv(NULL, "Test", hid_Someth_lNGj92poubUG, MB_OK);hid_Messag_6nzSLR0dttUn(NULL, hid_Anothe_UP7KUo4Sa8LC, hid_Anothe_ACsNhmIcS1tA, MB_OK);return 0;}
可以看到，字符串混淆和API混淆的组合非常强大。字符串“Test”被忽略了，因为我们预先决定忽略小字符串。然后，可以编译混淆后的源代码：$ cp test/messagebox_simple.c.patch /tmp/test.c$ x86_64-w64-mingw32-gcc /tmp/test.c -o /tmp/toto.exe
在Windows 10虚拟机上进行的测试表明，程序原本的功能可以正常执行。然后通过搜索，我们发现混淆后的二进制文件中没有MessageBox字符串：$ rabin2 -zz /tmp/toto.exe | grep MessageBox | wc -l0概述

技术编程|自动重构Meterpreter绕过杀软·续( 五 )

推荐阅读

小李车评李建红：一个技术懒惰，马自达和三菱，谁先离开中国市场？，一个坚持技术

华为畅享Z评测：“人人都能用5G”的梦想更近了一步

建院94年来首次举办“灯会”，首次在晚间免费对预约公众开放故宫

七旬老太腹痛腹胀没在意，没想到......西安医生提醒

「赖粮食作为」农民未来养殖什么动物比较好？专家：养殖牛羊，鸡是大趋势少养猪

摩之孤傲▲面对渣男会果断放弃的星座女生

网络营销课程去哪里学，国内外网络营销研究现状

双子座|10月，人已走，梦已碎，痴情成灰，3星座爱到尽头，此生再无泪

老年人养老最需要什么条件老年人养老最需要什么

国内有哪些欧式风格的小镇

『婺源』中国十大最美古村落，去过2个算及格，全去过的太牛了！

第一次搞日本代購求經驗

把所有朋友都惹毛了是一种啥样的体验

星娱乐资讯|一共七部，你们都追过吗？?，85花旦们的高分电视剧作品

晚上9点后健身好吗晚上九点半健身好不好

新民晚报|特朗普和拜登因为费城冲突又怼上了，美媒：今年已有804人被警察枪杀

人力资源和社会保障部|最暴躁的游戏职业，一言不合就发狂，被叫雷神版“超级赛亚人”

美艳|此花比玫瑰还漂亮，美艳到我，花开密密麻麻，花朵硕大，十分壮观

悠长假期宠物商店在哪里，悠长假期畜牧业熟练度怎么提升

体坛焦点|颜值不逊惠若琪，扣高3米1，郎平再洗牌？女排00后美女主攻崛起