前言

最近在学习木马分析，网上关于银狐的源码分析目前还没看到，挖个坑学一学银狐（winos 4.0）的源码。

核心函数

客户生成/BuildDlg.cpp 是生成客户端的窗口类(CBuildDlg)的实现代码，是由下面几个函数实现客户端的生成：

生成过程由CBuildDlg::build函数进行控制，被上面几个函数进行调用，此处为核心代码：

整体流程为：

1. 获取保存路径
2. 获取配置信息 getsettingdata()
3. 读取模板文件(.bin或.dll)
4. 修改配置数据
5. 写入新文件

其中获取配置信息的getsettingdata()函数尤为重要，配置信息由客户端界面进行设置，部分为默认值：

生成 exe

生成客户端（exe）的日志如下：

其中 上线模块.bin -> output_64.exe 流程由 CBuildDlg::changedataandwritefile()函数控制，具体流程为：

1. 读取bin文件内容（上线模块.bin）
2. 在内存中查找和替换配置信息
3. 以exe扩展名写出文件

上述流程详细来说：

1. 上线模块.bin 本身就是一个完整的PE格式文件，只是扩展名是 .bin
2. bin文件中预留了一个特定标记 "xiugaishiyong" 用于配置信息的替换
3. 程序只是简单完成：
   • 读取这个PE文件
   • 替换其中的配置信息
   • 以.exe扩展名保存
   • 文件本身的PE结构和代码都没有改变

也就是说，.bin 文件实际上就是预先编译好的exe文件，最后进行：

1. 改成 .bin 扩展名
2. 预留了配置信息占位符
3. 生成过程只是替换配置并改回 .exe 扩展名

生成 dll

生成客户端（dll）的日志为：

生成dll的核心函数为CBuildDlg::OnBnClickedBuilddll()，具体流程为：

1. 首先会询问是否加载DLL入口点
2. 使用的是DLL模板文件（上线模块.dll）
3. DLL生成时需要额外处理导出函数
4. 写出dll文件

首先会询问是否加载DLL入口点的原因是这个dll可以使用两种执行方式：

• 通过DllMain执行（RunDllEntryProc = true）
• 通过导出函数执行（可自定义导出函数名），默认导出函数名为"run"

DLL生成时需要额外处理导出函数，这里额外使用了一个标记 "zidingyixiugaidaochuhanshu"：

生成过程中会将这个函数名替换到DLL模板中预设的"zidingyixiugaidaochuhanshu"标记位置。在代码中导出函数名是通过界面上的 m_edit_dll 变量控制的，其默认值为"run"：

银狐的设计比较灵活，对比两种dll执行方式，各有优缺点：

DllMain执行：

• DLL加载时自动运行
• 不需要显式调用任何函数
• 更容易被检测

导出函数执行：

• 需要显式调用指定的导出函数
• 更灵活，可以控制执行时机
• 可以自定义函数名，更隐蔽
• 可以传递参数

生成 shellcode

生成Shellcode的主要流程在OnBnClickedBuildShellcode和changeshellcodeandwritefile这两个函数中。主要流程如下：

首先提示用户Shellcode的限制：

准备Shellcode的配置信息：

读取Shellcode模板文件：

组合Shellcode数据：

写出Shellcode文件：

其中Shellcode的数据结构为：

数据排列方式：

可以看到这里使用的是执行代码.dll而不是上线模块.dll，是因为执行代码.dll和上线模块.dll的用途和结构是不同的：

上线模块.dll：

• 是一个完整的DLL文件
• 包含PE头、导出表等完整PE结构
• 用于加载为DLL使用
• 通过DllMain或导出函数执行
• 需要LoadLibrary等标准DLL加载方式

执行代码.dll：

• 实际上是位置无关代码（PIC）
• 用于生成Shellcode

执行代码.dll的源码ShellCode_main.cpp的实现核心为：

• 接收加密的payload（XOR）
• 解密并执行payload
• payload接收控制端指令

从执行代码.dll(shellcode)下载的payload是上线模块.dll/.bin：

1. payload下载后的处理：

最后Shellcode完整执行方式为：

总结

powershell 目前很少用到，并且有一定限制，本文主要针对几种主要使用的客户端生成流程进行分析，如有问题欢迎指正。

[培训]内核驱动高级班，冲击BAT一流互联网大厂工作，每周日13:00-18:00直播授课