本文作者：zedxx10师傅 01免杀编写说明

02shellcode加载器

shellcode加载器的编写结构：

1. 定义一个接收函数

2. 将你的shellcode放入你的刚才定义的接收函数

3. 解密shellcode

4. 加载运行

03shellcode实现 讲 解

1. go语言编写的基本原则

go语言必要的 package main以及func main 主函数

基本的go结构：所有的函数都从main函数开始加载，如果没有放入函数，则不会执行该函数。

你创建的函数必须写在main函数之上

在主函数中加入Run函数（待会儿我们要创建的），并且该函数需要单独创建一个 这里只是调用：

2. 使用Run函数就得创建一个名为Run的函数，但是在那之前我们要使用一个保护函数待会用于保护我们的shellcode地址：

在这里可以创建VirtualProtect函数用来保护我们的函数，并且去掉一些函数特征。

具体代码如下：

这里我们需要了解几个重要的函数：

syscall这是调用函数的函数；

NewLazyDLL来调取kernel32.dll（极其重要的链接库 几乎所有的木马都会调用这个函数）；

NewProc是指api；

NewProc("VirtualProtect")就是获取VirtualProtect这个函数的api；

有兴趣的可以参考《恶意代码分析》这本书：

3. 将你保护代码放入你的定义函数之中

这里涉及go语言指针，简单的说一下指针，可能讲的会有些模糊。

指针是一个地址传递的，地址传递会发生内存地址的改变。

但是这个和值传递不同有所不同。

其中指针表示： *一级指针 **二级指针

在这里对下面的代码进行解读：

VirtualProtect 函数的意思：

继续：

将shellcode放入函数中，&sc为shellcode的内存地址；这里的目的就是将shellcode的地址赋值给了&f的地址。

通俗的讲就是：

以前shellcode的地址是&sc 现在变成&f ，而&f的地址是进行了内存保护的，等同于shellcode也被保护了。

shellcode的地址

4. 最后一步，调用f函数：

04完整shellcode代码

完整代码如下：

其中：import是自动导入，不需要手动输入

以上完成了所有的代码，由于go语言无法直接执行，我们需要进行编译，编译方法如下：

找到你的go语言所在路径 cmd 使用

此时会编译生成一个main.exe （火绒会报毒 ）

05加 壳 免 杀

免杀还是采用加壳，upx可以使用但需要抹除特征码（对汇编不好的师傅不太友好，而且容易出问题）。

这里还是采用 safe的壳：

用法很简单：

将你的exe 拖入之后就可以了 （这里选择默认加壳模式就行了，当然如果懂汇编的师傅可以尝试一下其它的选项）

免杀效果：可过火绒和360。

06msf配合免杀演示

1. msf 生成木马

其中，LHOST、 LPORT 根据自己的情况设置。

2.查看生成的木马：

3.创建监听

4.加载你的shellcode

找到你加壳后的exe，在 cmd中运行：

此时木马上线成功

07 总 结

本次的内容，对于不懂汇编或者go语言的师傅会理解比较困难。我也尽力通俗的进行了描述， 如有不便请多担待，当然在这里生成的木马还是有点大，请师傅们理解。

08 tips

以上文章为zedxx10师傅所写，感谢zedxx10师傅的技术分享。