【笔记】NimShellCodeLoader学习笔记

前言

Nim编写Windows平台shellcode免杀加载器（Github）

下载项目

wget https://github.com/aeverj/NimShellCodeLoader/releases/download/0.3.4/NimShellCodeLoader.zip
unzip NimShellCodeLoader.zip

Windows通过GUI生成ShellCode加载器

• 运行NimShellCodeLoader\codeLoader.exe

• 将ShellCode的bin文件拖入->选择加密方式->选择ShellCode加载方式->Generate

Linux或MacOS通过命令行生成ShellCode加载器

编译可执行文件

• 编译NimShellCodeLoader/encryption/Tdea.nim和NimShellCodeLoader/encryption/Caesar.nim为可执行文件

NimShellCodeLoader/

nim c -d:release --opt:size encryption/Tdea.nim
nim c -d:release --opt:size encryption/Caesar.nim

生成ShellCode加载器

Caesar

nim cpp -d:Caesar -d:icoPath="<file>.bin" -d:strip -d:release -d:source="<file>.bin" --app:gui --opt:size -o:.\bin\ -f OEP_Hiijack_Inject_Load.nim

nim cpp -d:Caesar -d:icoPath="<file>.bin" -d:strip -d:release -d:source="<file>.bin" --app:gui --opt:size -o:.\bin\ -f Thread_Hiijack_Inject_Load.nim

nim cpp -d:Caesar -d:icoPath="<file>.bin" -d:strip -d:release -d:source="<file>.bin" --app:gui --opt:size -o:.\bin\ -f APC_Ijnect_Load.nim

nim cpp -d:Caesar -d:icoPath="<file>.bin" -d:strip -d:release -d:source="<file>.bin" --app:gui --opt:size -o:.\bin\ -f Early_Bird_APC_Injetc_Load.nim

nim cpp -d:Caesar -d:icoPath="<file>.bin" -d:strip -d:release -d:source="<file>.bin" --app:gui --opt:size -o:.\bin\ -f Direct_Load.nim

nim c -d:Caesar -d:icoPath="<file>.bin" -d:strip -d:release -d:source="<file>.bin" --app:gui --opt:size -o:.\bin\ -f Thread_Pool_Wait.nim

nim c -d:strip -d:Caesar -d:icoPath="<file>.bin" -d:release -d:source="<file>.bin" --app:gui --opt:size -o:.\bin\ -f Fiber_Load.nim

nim cpp -d:Caesar -d:icoPath="<file>.bin" -d:strip -d:release -d:source="<file>.bin" --app:gui --opt:size -o:.\bin\ -f CertEnumSystemStore.nim

nim cpp -d:Caesar -d:icoPath="<file>.bin" -d:strip -d:release -d:source="<file>.bin" --app:gui --opt:size -o:.\bin\ -f CertEnumSystemStoreLocation.nim

nim cpp -d:Caesar -d:icoPath="<file>.bin" -d:strip -d:release -d:source="<file>.bin" --app:gui --opt:size -o:.\bin\ -f CopyFile2.nim

nim cpp -d:Caesar -d:icoPath="<file>.bin" -d:strip -d:release -d:source="<file>.bin" --app:gui --opt:size -o:.\bin\ -f CopyFileEx.nim

nim cpp -d:Caesar -d:icoPath="<file>.bin" -d:strip -d:release -d:source="<file>.bin" --app:gui --opt:size -o:.\bin\ -f CreateTimerQueueTimer_Tech.nim

nim cpp -d:Caesar -d:icoPath="<file>.bin" -d:strip -d:release -d:source="<file>.bin" --app:gui --opt:size -o:.\bin\ -f CryptEnumOIDInfo.nim

nim cpp -d:Caesar -d:icoPath="<file>.bin" -d:strip -d:release -d:source="<file>.bin" --app:gui --opt:size -o:.\bin\ -f EnumChildWindows.nim

nim cpp -d:Caesar -d:icoPath="<file>.bin" -d:strip -d:release -d:source="<file>.bin" --app:gui --opt:size -o:.\bin\ -f EnumDesktopW.nim

nim cpp -d:Caesar -d:icoPath="<file>.bin" -d:strip -d:release -d:source="<file>.bin" --app:gui --opt:size -o:.\bin\ -f EnumDesktopWindows.nim

nim cpp -d:Caesar -d:icoPath="<file>.bin" -d:strip -d:release -d:source="<file>.bin" --app:gui --opt:size -o:.\bin\ -f EnumDirTreeW.nim

nim cpp -d:Caesar -d:icoPath="<file>.bin" -d:strip -d:release -d:source="<file>.bin" --app:gui --opt:size -o:.\bin\ -f EnumDisplayMonitors.nim

nim cpp -d:Caesar -d:icoPath="<file>.bin" -d:strip -d:release -d:source="<file>.bin" --app:gui --opt:size -o:.\bin\ -f EnumFontFamiliesExW.nim

nim cpp -d:Caesar -d:icoPath="<file>.bin" -d:strip -d:release -d:source="<file>.bin" --app:gui --opt:size -o:.\bin\ -f EnumFontFamiliesW.nim

nim cpp -d:Caesar -d:icoPath="<file>.bin" -d:strip -d:release -d:source="<file>.bin" --app:gui --opt:size -o:.\bin\ -f EnumFontsW.nim

nim cpp -d:Caesar -d:icoPath="<file>.bin" -d:strip -d:release -d:source="<file>.bin" --app:gui --opt:size -o:.\bin\ -f EnumLanguageGroupLocalesW.nim

nim cpp -d:Caesar -d:icoPath="<file>.bin" -d:strip -d:release -d:source="<file>.bin" --app:gui --opt:size -o:.\bin\ -f EnumObjects.nim

TDEA

nim cpp -d:TDEA -d:icoPath="<file>.bin" -d:strip -d:release -d:source="<file>.bin" --app:gui --opt:size -o:.\bin\ -f OEP_Hiijack_Inject_Load.nim

nim cpp -d:TDEA -d:icoPath="<file>.bin" -d:strip -d:release -d:source="<file>.bin" --app:gui --opt:size -o:.\bin\ -f Thread_Hiijack_Inject_Load.nim

nim cpp -d:TDEA -d:icoPath="<file>.bin" -d:strip -d:release -d:source="<file>.bin" --app:gui --opt:size -o:.\bin\ -f APC_Ijnect_Load.nim

nim cpp -d:TDEA -d:icoPath="<file>.bin" -d:strip -d:release -d:source="<file>.bin" --app:gui --opt:size -o:.\bin\ -f Early_Bird_APC_Injetc_Load.nim

nim cpp -d:TDEA -d:icoPath="<file>.bin" -d:strip -d:release -d:source="<file>.bin" --app:gui --opt:size -o:.\bin\ -f Direct_Load.nim

nim c -d:TDEA -d:icoPath="<file>.bin" -d:strip -d:release -d:source="<file>.bin" --app:gui --opt:size -o:.\bin\ -f Thread_Pool_Wait.nim

nim c -d:strip -d:TDEA -d:icoPath="<file>.bin" -d:release -d:source="<file>.bin" --app:gui --opt:size -o:.\bin\ -f Fiber_Load.nim

nim cpp -d:TDEA -d:icoPath="<file>.bin" -d:strip -d:release -d:source="<file>.bin" --app:gui --opt:size -o:.\bin\ -f CertEnumSystemStore.nim

nim cpp -d:TDEA -d:icoPath="<file>.bin" -d:strip -d:release -d:source="<file>.bin" --app:gui --opt:size -o:.\bin\ -f CertEnumSystemStoreLocation.nim

nim cpp -d:TDEA -d:icoPath="<file>.bin" -d:strip -d:release -d:source="<file>.bin" --app:gui --opt:size -o:.\bin\ -f CopyFile2.nim

nim cpp -d:TDEA -d:icoPath="<file>.bin" -d:strip -d:release -d:source="<file>.bin" --app:gui --opt:size -o:.\bin\ -f CopyFileEx.nim

nim cpp -d:TDEA -d:icoPath="<file>.bin" -d:strip -d:release -d:source="<file>.bin" --app:gui --opt:size -o:.\bin\ -f CreateTimerQueueTimer_Tech.nim

nim cpp -d:TDEA -d:icoPath="<file>.bin" -d:strip -d:release -d:source="<file>.bin" --app:gui --opt:size -o:.\bin\ -f CryptEnumOIDInfo.nim

nim cpp -d:TDEA -d:icoPath="<file>.bin" -d:strip -d:release -d:source="<file>.bin" --app:gui --opt:size -o:.\bin\ -f EnumChildWindows.nim

nim cpp -d:TDEA -d:icoPath="<file>.bin" -d:strip -d:release -d:source="<file>.bin" --app:gui --opt:size -o:.\bin\ -f EnumDesktopW.nim

nim cpp -d:TDEA -d:icoPath="<file>.bin" -d:strip -d:release -d:source="<file>.bin" --app:gui --opt:size -o:.\bin\ -f EnumDesktopWindows.nim

nim cpp -d:TDEA -d:icoPath="<file>.bin" -d:strip -d:release -d:source="<file>.bin" --app:gui --opt:size -o:.\bin\ -f EnumDirTreeW.nim

nim cpp -d:TDEA -d:icoPath="<file>.bin" -d:strip -d:release -d:source="<file>.bin" --app:gui --opt:size -o:.\bin\ -f EnumDisplayMonitors.nim

nim cpp -d:TDEA -d:icoPath="<file>.bin" -d:strip -d:release -d:source="<file>.bin" --app:gui --opt:size -o:.\bin\ -f EnumFontFamiliesExW.nim

nim cpp -d:TDEA -d:icoPath="<file>.bin" -d:strip -d:release -d:source="<file>.bin" --app:gui --opt:size -o:.\bin\ -f EnumFontFamiliesW.nim

nim cpp -d:TDEA -d:icoPath="<file>.bin" -d:strip -d:release -d:source="<file>.bin" --app:gui --opt:size -o:.\bin\ -f EnumFontsW.nim

nim cpp -d:TDEA -d:icoPath="<file>.bin" -d:strip -d:release -d:source="<file>.bin" --app:gui --opt:size -o:.\bin\ -f EnumLanguageGroupLocalesW.nim

nim cpp -d:TDEA -d:icoPath="<file>.bin" -d:strip -d:release -d:source="<file>.bin" --app:gui --opt:size -o:.\bin\ -f EnumObjects.nim

完成

参考文献

微信公众号——NoteSec