免杀!绕过EDR隐秘执行shellcode

2023-05-11 8,759

声明:该公众号分享的安全工具和项目均来源于网络,仅供安全研究与学习之用,如用于其他用途,由使用者承担全部法律及连带责任,与工具作者和本公众号无关。

现在只对常读和星标的公众号才展示大图推送,建议大家把Hack分享吧设为星标”,否则可能看不到了


工具介绍

Freeze.rs 是一个有效载荷创建工具,用于绕过 EDR 安全控制以隐秘方式执行 shellcode。Freeze.rs 利用多种技术,不仅可以删除 Userland EDR 挂钩,还可以以绕过其他端点监控控件的方式执行 shellcode。


创建暂停进程

创建进程时,Ntdll.dll 是第一个加载的 DLL;这发生在加载任何 EDR DLL 之前。这意味着在加载 EDR 并开始挂钩和修改系统 DLL 的程序集之前会有一点延迟。查看 Ntdll.dll 中的 Windows 系统调用,我们可以看到还没有任何东西被挂钩。

如果我们创建一个处于挂起状态(及时冻结的进程)的进程,我们可以看到除了 Ntdll.dll 之外没有其他 DLL 被加载。您还可以看到没有加载任何 EDR DLL,这意味着位于 Ntdll.dll 中的系统调用未被修改。


工具使用

执行以下命令安装好rust环境,然后CS或MSF生成一个raw shellcode,最后用Freeze.rs进行免杀即可。
curl --proto '=https' --tlsv1.2 -sSf https://sh.rustup.rs | sh


免杀效果


下载地址

点击下方名片进入公众号(Hack分享吧)

回复关键字【230508】获取下载链接


本文作者:潇湘信安

本文为安全脉搏专栏作者发布,转载请注明:https://www.secpulse.com/archives/200227.html

Tags:
评论  (0)
快来写下你的想法吧!

潇湘信安

文章数:57 积分: 15

关注微信公众号【潇湘信安】,一起学习网络安全知识!

安全问答社区

安全问答社区

脉搏官方公众号

脉搏公众号