X-AV Shellcode靜態免殺框架

前言

這是前幾年寫的一個小工具,不參加護網了,留著也沒用,QWQ

X-AV是使用golang編寫的一款shellcode混淆加載器，便于跨平臺使用。技術原理比較簡單,動態替換shellcode加載的模板,模板內置在二進制文件里面.

Github地址 https://github.com/XTeam-Wing/X-AV 

源碼在知識星球  建議配合go-strip食用.

Web版本

有文件捆綁功能,但是容易被殺.

Cmd版本

需要先安裝garble

GO111MODULE
=
on go get mvdan
.
cc
/
garble

參數說明

• -domain string
•   填寫的話會生成帶有虛假證書的exe
•  -encrypt string
•   加密方法:xor,rc4,aes(使用aes的時候要帶上salt參數)
•  -key string
•   encryption key (default "1314")
•  -loadermethod string
•   選擇shellcode加載方式 (default "CREATEFIBER"，有五種加載方式)

Syscall
Uuid
CreateFiber
CreateProcessWithPipe
EtwpCreateEtwThread

• -o string
•   output path (default "boomsec.exe")
•  -password string
•   fake domain cert password (default "201314"，搭配-domain參數)
•  -persistence
•   Persistence[True or False] 權限維持功能
•  -salt string
•   aes 加密的salt，配合aes加密方法
•  -sandbox
•   Bypass Sandbox Check，是否添加反沙盒技術，默認否
•  -shellcodepath string
•   shellcode path (default "shellcode.bin")
•  -v display detail infomation

常規使用

不加沙盒

go run main
.
go 
-
shellcodepath cdn
.
bin 
-
encrypt rc4 
-
key wing 
-
salt key  
-
o 
22.exe
 
-
loadermethod 
CreateFiber

添加反沙盒技術

go run main
.
go 
-
shellcodepath cdn
.
bin 
-
encrypt rc4 
-
key wing 
-
salt key  
-
o 
22.exe
-
loadermethod 
CreateFiber
-
sandbox

使用aes+uuid

go run main
.
go 
-
shellcodepath cdn
.
bin 
-
encrypt aes 
-
salt 
-
key wing 
-
salt key  
-
o 
23.exe
-
loadermethod uuid