【分享 | 神兵利器】内存马免杀马查杀工具·附下载
2022-9-9 08:9:18 Author: 系统安全运维(查看原文) 阅读量:16 收藏

一个简单寻找包括不限于iis劫持,无文件木马,shellcode免杀后门的工具,由huoji花了1天编写,编写时间2021-02-24 !!!本程序需要64位编译才能回溯x64的程序堆栈,请勿执行32位编译!!! !!!本工具不能代替杀毒软件!!!

运行截图

HWBP hook检测 检测线程中所有疑似被hwbp隐形挂钩内存免杀shellcode检测(metasploit,Cobaltstrike完全检测)可疑进程检测(主要针对有逃避性质的进程[如过期签名与多各可执行区段])无文件落地木马检测(检测所有已知内存加载木马)简易rootkit检测(检测证书过期/拦截读取/证书无效的驱动)检测异常模块,检测绝大部分如"iis劫持"的后门(2021226日新增)

所有所谓的内存免杀后门大部分基于"VirtualAlloc"函数申请内存 之后通过各种莫名其妙的xor甚至是aes加密去混淆shellcode达到"免杀"效果. 本工具通过线程堆栈回溯方法(StackWalkEx函数)遍历线程,寻找系统中在VirtualAlloc区域执行代码的区域,从而揪出"免杀木马" 当然也会存在误报,多常见于加壳程序也会申请VirtualAlloc分配内存. 但大部分普通程序均不会在VirtualAlloc区域内执行代码.一般都是在.text区段内执行代码。

所有无文件落地木马都是一个标准PE文件被映射到内存中,主要特征如下:

内存区段有M.Z标志

线程指向一个NOIMAGE内存 本工具将会通过第一种特征检测出所有"无文件落地木马"

本工具将会扫描所有带签名程序的模块列表并且检测其中模块是否存在签名,如果不存在则发出提示.本检测存在较多误报,但将会检测到类似IIS劫持的特殊模块

使用其他工具比如Scylla dump内存做进一步分析,本工具不打算做内存dump系列操作(时间有限不想重复造轮子)

目前工具只回溯rip与eip,你可以回溯RSP或者EBP 只需修改StackFarmeEx.AddrPC.Offset即可

下载地址:

https://github.com/huoji120/DuckMemoryScan

好文推荐

红队打点评估工具推荐
干货|红队项目日常渗透笔记
实战|后台getshell+提权一把梭
一款漏洞查找器(挖漏洞的有力工具)
神兵利器 | 附下载 · 红队信息搜集扫描打点利器
神兵利器 | 分享 直接上手就用的内存马(附下载)
推荐一款自动向hackerone发送漏洞报告的扫描器
欢迎关注 系统安全运维

文章来源: http://mp.weixin.qq.com/s?__biz=Mzk0NjE0NDc5OQ==&mid=2247509746&idx=1&sn=f2e08796bb7c094890dde1920cff2b7a&chksm=c3087582f47ffc94f2901e5b47f493ba08455ff7437b29adac07fe0bb7febf016d148dacf548#rd
如有侵权请联系:admin#unsafe.sh