FunctionStomping

Функциональное движение

Описание

Это совершенно новая техника для инъекции ShellCode, чтобы уклониться от AVS и EDRS. Эта техника вдохновлена ​​модульным топом и имеет некоторое сходство. Что касается этой даты (23-01-2022) также Hollows-Hunter не находит ее.

Самым большим преимуществом этой техники является то, что он не переусердствует целый модуль или PE, только одну функцию, и целевой процесс все еще может использовать любую другую функцию из целевого модуля.

Недостаток заключается в том, что он не будет работать для каждой функции в дикой природе (но это будет работать для большинства из них), точное объяснение в моем блоге: хорошая, плохая и тотическая функция.

Примечание: возможно, что AV будет помечать это, если подпись является подписью MSFVVENOM/METASPLOIT, все в порядке! Вам просто нужно изменить код SheltCode или шифровать его.

ОБНОВЛЕНИЕ: Обратите внимание, что это не первый POC -оценочный, а Растамуз написал сообщение в блоге, похожая на C#.

Использование

Вы либо включите заголовок в свою программу, как это:

# include " functionstomping.hpp "

int main () {
    // Just get the pid in any way and pass it to the function.
    DWORD pid = 3110 ;
    FunctionStomping (pid);
    return 0 ;
}

Или используйте программу ржавчины:

 cd functionstomping
cargo b
functionstomping.exe < pid >

После того, как вы запустили эту программу, вы должны вызвать функцию из удаленного процесса! (Если вы использовали функцию по умолчанию CreateFile, вы должны позвонить в него из удаленного процесса!).

Настраивать

В настоящее время ShellCode для запуска - это просто для того, чтобы выпить калькулятор, но все, что вам нужно сделать, это заменить unsigned char shellcode[] вашим шоссе. Я использовал C ++ 17 и VS2019 для составления программы с заголовком C ++ и версией Rust 2021 для составления программы Rust (вы можете увидеть зависимости в Cargo.toml).

Поместить

Отказ от ответственности

Я ни в коем случае не ответственен за какой -либо ущерб, который наносится вашему компьютеру / программе в качестве причины этого проекта. Я с радостью принимаю вклад, сделайте запрос на привлечение, и я рассмотрю его!

Благодарности

Модульстоп

Маскировка вредоносной памяти от киберарка

Версия Растамуза