首页 > 编程语言 > 详细

python shellcode分析

时间:2021-08-14 15:05:44      阅读:14      评论:0      收藏:0      [点我收藏+]

https://blog.csdn.net/qq_32261191/article/details/108994177

分析shellcode

技术分享图片

ctypes是 Python 的外部函数库。它提供了与 C 兼容的数据类型,并允许调用 DLL 或共享库中的函数。可使用该模块以纯 Python 形式对这些库进行封装。在C/C++语言中,通过申请内存将shellcode加载到内存中进行执行,在Python语言中通过ctypes模块将shellcode加载到内存并执行。

技术分享图片
 

内存申请

ctypes.windll.kernel32.VirtualAlloc函数。VirtualAlloc是Windows提供的API,通常用来分配大块的内存。

此处可参考https://blog.csdn.net/qq_37865996/article/details/107807123

VirtualAlloc函数原型:

技术分享图片

调用kernel32.dll动态链接库中的VirtualAlloc函数申请内存,0x3000代表MEM_COMMIT | MEM_RESERVE,0x40代表可读可写可执行属性。

技术分享图片

RtlMoveMemory从指定内存中复制内存至另一内存里 ,语法如下:

技术分享图片

 

技术分享图片

CreateThread创建一个新线程

系统将创建一个进程和一个主线程。CreateThread将在主线程的基础上创建一个新线程,大致做如下步骤:

1.在内核对象中分配一个线程标识/句柄,可供管理,由CreateThread返回

2.  把线程退出码置为STILL_ACTIVE,把线程挂起计数置1

3. 分配context结构

4. 分配两页的物理存储以准备栈,保护页设置为PAGE_READWRITE,第2页设为PAGE_GUARD

5. lpStartAddr和lpvThread值被放在栈顶,使它们成为传送给StartOfThread的参数

6. 把context结构的栈指针指向栈顶(第5步)指令指针指向startOfThread函数

技术分享图片

WaitForSingleObject等待创建的线程,里两个参数,一个是创建的线程,一个是等待时间。正常的话我们创建的线程是需要一直运行的,所以将时间设为负数,等待时间将成为无限等待,程序就不会结束。

进行排察工作,通过手工逐行删除文件定位特征码,发现删除第三行或第四行后发现不再报毒,所以将这两句进行混淆。所有的作者将所有的shellcode进行编码。

技术分享图片

使用pyinstaller打包

使用pyinstaller -F -w -i a3.ico horse.py打包为horse.exe

 

 

 

 

 

 

 

 

 

 



python shellcode分析

原文:https://www.cnblogs.com/bingtang123/p/15140591.html

(0)
(0)
   
举报
评论 一句话评论(0
关于我们 - 联系我们 - 留言反馈 - 联系我们:wmxa8@hotmail.com
© 2014 bubuko.com 版权所有
打开技术之扣,分享程序人生!