技术编程自动重构Meterpreter绕过杀软·续( 四 ) |

这是最琐碎的部分。目的是用随机标识符替换AST中的MessageBoxA 。此随机变量的初始化会在后续部分中完成。 bool ApiMatchHandler::handleCallExpr(const CallExpr *CallExpression, clang::ASTContext *const pContext) {// generate a random variable namestd::string Replacement = Utils::translateStringToIdentifier(_ApiName);// inject Run-time dynamic linkingif (!addGetProcAddress(CallExpression, pContext, Replacement, _ApiName))return false;// MessageBoxA -> random identifier generated abovereturn replaceIdentifier(CallExpression, _ApiName, Replacement);}
ReplaceText Clang AP用于重命名函数标识符：bool ApiMatchHandler::replaceIdentifier(const CallExpr *CallExpression, const std::string &ApiName,const std::string &NewIdentifier) {return this->ASTRewriter->ReplaceText(CallExpression->getBeginLoc(), ApiName.length(), NewIdentifier);}插入 LoadLibrary / GetProcAddress
为我们要添加的API注入运行时动态链接是一个多步骤过程：我们可以选择将API原型插入翻译单元的顶部或封闭函数中。为了更方便简单，我们选择后者，但是我们需要确保它没有被添加，以防在同一个函数中多次调用该API(如果后面调用相同的API ，就会发生这种情况) 。插入行 HANDLE
LoadLibrary(
);插入对GetProcAddress的调用。
当然，为了避免在执行此操作时插入明显的敏感字符串，必须将每个字符串写为堆栈字符串的形式。这会使代码阅读起来有些冗杂，但并太复杂：bool ApiMatchHandler::addGetProcAddress(const clang::CallExpr *pCallExpression, clang::ASTContext *const pContext,const std::string &NewIdentifier, std::string &ApiName) {SourceRange EnclosingFunctionRange = findInjectionSpot(pContext, clang::ast_type_traits::DynTypedNode(),*pCallExpression, 0);std::stringstream Result;// add function prototype if not already addedif(std::find(TypedefAdded.begin(), TypedefAdded.end(), pCallExpression->getDirectCallee()) == TypedefAdded.end()) {Result << "\t" << _TypeDef << "\n";}// add LoadLibrary with obfuscated stringsstd::string LoadLibraryVariable = Utils::translateStringToIdentifier(_Library);std::string LoadLibraryString = Utils::generateVariableDeclaration(LoadLibraryVariable, _Library);std::string LoadLibraryHandleIdentifier = Utils::translateStringToIdentifier("hHandle_"+_Library);Result << "\t" << LoadLibraryString << std::endl;Result << "\tHANDLE " << LoadLibraryHandleIdentifier << " = LoadLibrary(" << LoadLibraryVariable << ");\n";// add GetProcAddress with obfuscated string: TypeDef NewIdentifier = (TypeDef) GetProcAddress(handleIdentifier, ApiName)std::string ApiNameIdentifier = Utils::translateStringToIdentifier(ApiName);std::string ApiNameDecl = Utils::generateVariableDeclaration(ApiNameIdentifier, ApiName);Result << "\t" << ApiNameDecl << "\n";Result << "\t_ "<< ApiName << " " << NewIdentifier << " = (_" << ApiName << ") GetProcAddress("<< LoadLibraryHandleIdentifier << ", " << ApiNameIdentifier <
getDirectCallee());// add everything at the beginning of the function.return !(ASTRewriter->InsertText(EnclosingFunctionRange.getBegin(), Result.str()));}测试git clone https://github.com/scrt/avcleanermkdir avcleaner/CMakeBuild && cd avcleaner/CMakeBuildcmake ..makecd ..

技术编程自动重构Meterpreter绕过杀软·续( 四 )

推荐阅读

学历史的人的气质|学历史的人的气质学历史的人是不是都很有儒雅的气质

熊猫兔养护细节分享

『健身』他是爱撸猫的肌肉男，短短几年就练得这么好了！

蒲公英花的功效与作用及食用方法,苹果花的功效与作用

丽人行杜甫名句杜甫丽人行解释

7.6是什么日子文案 7.6是什么日子

新浪|新浪天津就改标题致歉：当事编辑擅自改修改已停职

海警船@两大国在南海大打出手，争夺石油不择手段，4000吨海警船直接冲撞

谋女郎|静候官方回应，“谋女郎”刘浩存妈妈培训班被曝致10岁学员瘫痪

干辣椒粉怎么做辣椒酱呢

TOEFL和GMAT哪个先考

ai圆角矩形能咋的调整圆角

吴拿话农事■希望没有你！，“停工令”再升级！有10大行业或复工无望

南京社区教育| 南京栖霞社区关爱残疾失能老人，防汛期间

委内瑞拉|闻名的“美女王国”：石油货币都不缺，为何女性却不敢生育？

林书豪|福建被钉耻辱柱！一节缴枪投降，半场28分，这水平怎么赢的广厦

向太与他的故事不简单为什么这么多人黑周星驰

梦幻西游|梦幻西游：史上最贵空号！无装备32万被瞬秒，号主为此还等了1年

每经12点丨五一假期首日，泰山游客上演“人从众”

喝茶选哪种茶具适合