工具推荐 | 还在为shellcode免杀发愁？一键免杀编码器为你解决一切! - 新鲜讯息

点击上方蓝字关注我们

现在只对常读和星标的公众号才展示大图推送，建议大家能把星落安全团队“设为星标”，否则可能就看不到了啦！

工具介绍

SGN 是一种多态二进制编码器，用于攻击性安全目的，例如生成静态不可检测的二进制有效载荷。它使用加性反馈循环对给定的二进制指令进行编码，类似于 LSFR。

工具优点

对于进攻性安全社区来说，shikata ga nai 编码器的原始实现被认为是最好的 shellcode 编码器（到目前为止）。但多年来，安全研究人员发现了静态测试编码器的几个陷阱（相关工作 FireEye 文章）。

https://www.fireeye.com/blog/threat-research/2019/10/shikata-ga-nai-encoder-still-going-strong.html

该项目的主要动机是创建一个更好的编码器，将给定的二进制文件编码到与完全随机数据相同的程度，并且无法检测到解码器的存在。在 keystone 汇编器库的帮助下，实现了以下改进。

1. 64 位支持。Finally properly encoded x64 shellcodes !2. 新的更小的解码器存根。LFSR key reduced to 1 byte3. 具有伪随机架构的编码存根。Decoder stub is also encoded with a psudo random schema4. 无可见的循环条件Stub decodes itself WITHOUT using any loop conditions !!5. Decoder stub 混淆。Random garbage instruction generator added with keystone6. 安全注册选项。Non of the registers are clobbered (optional preable, may reduce polimorphism)

工具使用

-h 如果您想了解幕后发生的事情，这是不言自明的用法

       __   _ __        __                               _   ___ / /  (_) /_____ _/ /____ _  ___ ____ _  ___  ___ _(_) (_-</ _ / /  '_/ _ `/ __/ _ `/ / _ `/ _ `/ / _ / _ `/ / /___/_//_/_/_/_\_,_/__/_,_/  _, /_,_/ /_//_/_,_/_/  ========[Author:-Ege-Balcı-]====/___/=======v2.0.1=========      ┻━┻ ︵ヽ(`Д´)ﾉ︵ ┻━┻           (ノ ゜Д゜)ノ ︵ 仕方がないUsage: sgnFlags:  -h, --help               Show context-sensitive help.  -i, --input=STRING       Input binary path  -o, --out=STRING         Encoded output binary name  -a, --arch=64            Binary architecture (32/64)  -c, --enc=1              Number of times to encode the binary (increases overall size)  -M, --max=50             Maximum number of bytes for decoder obfuscation      --plain              Do not encode the decoder stub      --ascii              Generates a full ASCI printable payload (may take very long time to bruteforce)  -S, --safe               Preserve all register values (a.k.a. no clobber)      --badchars=STRING    Don't use specified bad characters given in hex format (x00x01x02...)  -v, --verbose            Verbose mode      --version

GO代码中可以直接用作库，对shellcode进行加密，十分方便！

package mainimport (  "encoding/hex"  "fmt"  "io/ioutil"  sgn "github.com/egebalci/sgn/pkg")func main() {  // First open some file  file, err := os.ReadFile("myfile.bin")  if err != nil { // check error    fmt.Println(err)    return  }  // Create a new SGN encoder  encoder, err := sgn.NewEncoder(64)  if err != nil {    fmt.Println(err)    return    }      // Set the proper architecture  encoder.SetArchitecture(64)  // Encode the binary  encodedBinary, err := encoder.Encode(file)  if err != nil {    fmt.Println(err)    return  }  // Print out the hex dump of the encoded binary  fmt.Println(hex.Dump(encodedBinary))}