nydubh3 / cuiri Goto Github PK

View Code? Open in Web Editor NEW

897.0 22.0 168.0 3.52 MB

一款红队专用免杀木马生成器，基于shellcode生成绕过所有杀软的木马。

License: Apache License 2.0

Go 100.00%

bypass-antivirus golang redteam metasploit cobaltstrike

cuiri's Introduction

摧日：CuiRi 红队专用免杀木马生成工具

0x01 简介：

   ____   __    __    _____      ______      _____  
  / ___)  ) )  ( (   (_   _)    (   __ \    (_   _) 
 / /     ( (    ) )    | |       ) (__) )     | |   
( (       ) )  ( (     | |      (    __/      | |   
( (      ( (    ) )    | |       ) \ \  _     | |   
 \ \___   ) \__/ (    _| |__    ( ( \ \_))   _| |__ 
  \____)  \______/   /_____(     )_) \__/   /_____( 

摧日：一款红队专用免杀木马生成器，基于shellcode生成绕过所有杀软的木马

CuiRi 是一款红队专用免杀木马生成器，该工具可以通过红队人员提供的一段 shellcode 快速生成一个绕过所有杀软的可执行木马。

特点

1.基于 Syscall 进行免杀，且随机混淆，可过几乎所有杀软
2.内置 go-strip 对 Go 生成的木马进行编译信息抹除与程序信息混淆
3.工具本体只有 1 个 exe，搭配 Go 环境即可直接使用

感谢 go-strip 作者 @boy-hack

0x02 使用：

从 release 中下载二进制文件，并且在系统上安装 Go 语言环境，然后将 shellcode 保存到1个txt文件中，即可使用本工具生成免杀马。

   ____   __    __    _____      ______      _____
  / ___)  ) )  ( (   (_   _)    (   __ \    (_   _)
 / /     ( (    ) )    | |       ) (__) )     | |
( (       ) )  ( (     | |      (    __/      | |
( (      ( (    ) )    | |       ) \ \  _     | |
 \ \___   ) \__/ (    _| |__    ( ( \ \_))   _| |__
  \____)  \______/   /_____(     )_) \__/   /_____(

摧日：一款红队专用免杀木马生成器，基于shellcode生成绕过所有杀软的木马

警告：
1.本工具仅用于企业内部测试，请勿用于任何非法犯罪活动，否则后果自负
2.本工具需要Go语言环境，且使用时需要关闭杀软
https://github.com/NyDubh3/CuiRi   Author:Dubh3

[INFO] Current Version: 1.0
Usage of CuiRi.exe:
  -f string
        通过shellcode生成免杀马
  -manual
        查看shellcode生成方法

CuiRi 支持的 shellcode 格式分为以下两种：

1.C语言字符串格式 shellcode：

"\xfc\x48\x83\xe4\xf0\xe8\xcc\x00\x00\x00\x41\x51\x41\x50\x52"
"\x48\x31\xd2\x51\x65\x48\x8b\x52\x60\x56\x48\x8b\x52\x18\x48"
"\x8b\x52\x20\x48\x8b\x72\x50\x48\x0f\xb7\x4a\x4a\x4d\x31\xc9"
"\x48\x31\xc0\xac\x3c\x61\x7c\x02\x2c\x20\x41\xc1\xc9\x0d\x41"
"\x01\xc1\xe2\xed\x52\x41\x51\x48\x8b\x52\x20\x8b\x42\x3c\x48"

2.纯十六进制数值格式 shellcode:

注意：如果是从 Cobalt Strike 中生成的 bin 文件，请单独将 bin 里的十六进制复制保存到一个 txt 文件中。

fce8 8900 0000 6089 e531 d264 8b52 308b
520c 8b52 148b 7228 0fb7 4a26 31ff 31c0
ac3c 617c 022c 20c1 cf0d 01c7 e2f0 5257
8b52 108b 423c 01d0 8b40 7885 c074 4a01
d050 8b48 188b 5820 01d3 e33c 498b 348b
01d6 31ff 31c0 acc1 cf0d 01c7 38e0 75f4
037d f83b 7d24 75e2 588b 5824 01d3 668b

0x03 演示：

(1) 生成 shellcode

(2) 生成免杀马

(3) 免杀效果

cuiri's People

Contributors

Stargazers

Watchers

Forkers

tony163163 hwr33 j5s toolsec prettyrecon jeromeyoung determinasc blucewan empty2081 whale3070 xiaye1116 lemonnew ice-001 asdlei99 0xhelium kenuosec hhhhelix kosakd phuong39 afwu 0ps 1amfine2333 sesyi hackdou whoamiecho 0x0034 douglas88 libaizaishuijiao cross2to yibit landlordlycat qsdj nooea crisprss fengjixuchui genioco radbsie dayutry orgyia aqimmm hel10-web lawsxxx man008 wendingzhongyuan zhb-web mk4t1xp polarpeak harry1080 htts3at xiaoaliha want2live233 yyming-sudo dk47os3r geegeegogogo ddostest123 zcd124 evi1hack ruanzy506 whitesharks qaz7791869 jeketchen gkfnf wuxueeee metah4ck gysf666 d0ngs3c jingtai123 xiumulty anzu-proj 1h32xb5 sry309 wha000tif 2dou ilovecode2018 b1gd0g zzhsec m0tky m00nt0 alohajerrys ifr4me do0x-ccc pphuahua yyyxq248 col4-eng blackgit2 p0llock st0new showsmall huddhudd honshow doublefast ctr1hub z0edff0x3d landv yanci-tut mortals-tx huifeidebaba 4sh3s d-remh yougar0

cuiri's Issues

编译信息抹除与字符串混淆时出错，这是什么问题，请问你的go环境是多少版的？

[INFO] 已生成木马，正在进行编译信息抹除与字符串混淆...
[Fatal] exit status 2%!(EXTRA string=2022/05/10 11:14:02 开始混淆
2022/05/10 11:14:02 文件结构:PE
2022/05/10 11:14:02 混淆 BuildId
panic: runtime error: invalid memory address or nil pointer dereference
[signal 0xc0000005 code=0x0 addr=0x50 pc=0x1ed77e]

goroutine 1 [running]:
github.com/goretk/gore/gosym.(*Table).GetGo12(...)
/home/runner/work/go-strip-source/go-strip-source/gosym/symtab.go:485
github.com/goretk/gore.(*GoFile).GetGoRoot(0xc00001d040, 0xc000006018, 0xc00005bf28)
/home/runner/work/go-strip-source/go-strip-source/file.go:195 +0x3e
main.main()
/home/runner/work/go-strip-source/go-strip-source/testM/main.go:48 +0x2d0
)

使用时提示go运行环境缺失，实际已安装

cs要用什么版本，我的是4.0生成出来的payload，用工具报错

panic: runtime error: invalid memory address or nil pointer dereference
[signal 0xc0000005 code=0x0 addr=0x50 pc=0xc6d77e]

goroutine 1 [running]:
github.com/goretk/gore/gosym.(*Table).GetGo12(...)
/home/runner/work/go-strip-source/go-strip-source/gosym/symtab.go:485
github.com/goretk/gore.(*GoFile).GetGoRoot(0xc000192000, 0xc000006018, 0xc0002fdf28)
/home/runner/work/go-strip-source/go-strip-source/file.go:195 +0x3e
main.main()
/home/runner/work/go-strip-source/go-strip-source/testM/main.go:48 +0x2d0

请问下原理是啥？

看到代码中

VirtualAlloc.Call(0, uintptr(len(shellcode)), MEM_COMMIT|MEM_RESERVE, PAGE_EXECUTE_READWRITE

设置可执行权限这步杀软为何不拦截？