免杀！绕过EDR隐秘执行shellcode
2023-5-11 15:56:2 Author: www.secpulse.com(查看原文) 阅读量:79 收藏

声明：该公众号分享的安全工具和项目均来源于网络，仅供安全研究与学习之用，如用于其他用途，由使用者承担全部法律及连带责任，与工具作者和本公众号无关。

现在只对常读和星标的公众号才展示大图推送，建议大家把Hack分享吧“设为星标”，否则可能看不到了！

工具介绍

Freeze.rs 是一个有效载荷创建工具，用于绕过 EDR 安全控制以隐秘方式执行 shellcode。Freeze.rs 利用多种技术，不仅可以删除 Userland EDR 挂钩，还可以以绕过其他端点监控控件的方式执行 shellcode。

创建暂停进程

创建进程时，Ntdll.dll 是第一个加载的 DLL；这发生在加载任何 EDR DLL 之前。这意味着在加载 EDR 并开始挂钩和修改系统 DLL 的程序集之前会有一点延迟。查看 Ntdll.dll 中的 Windows 系统调用，我们可以看到还没有任何东西被挂钩。

如果我们创建一个处于挂起状态（及时冻结的进程）的进程，我们可以看到除了 Ntdll.dll 之外没有其他 DLL 被加载。您还可以看到没有加载任何 EDR DLL，这意味着位于 Ntdll.dll 中的系统调用未被修改。

工具使用

执行以下命令安装好rust环境，然后CS或MSF生成一个raw shellcode，最后用Freeze.rs进行免杀即可。
curl --proto '=https' --tlsv1.2 -sSf https://sh.rustup.rs | sh

免杀效果

下载地址

点击下方名片进入公众号（Hack分享吧）

回复关键字【230508】获取下载链接

本文作者：潇湘信安

本文为安全脉搏专栏作者发布，转载请注明：https://www.secpulse.com/archives/200227.html


文章来源: https://www.secpulse.com/archives/200227.html
如有侵权请联系:admin#unsafe.sh