itaymigdal/pichichih0ll0werمحمل تفريغ العملية مبني على Nim لملفات PE القابلة للتنفيذ مع طرق حقن قابلة للتكوين، واستدعاءات النظام المباشرة/غير المباشرة، ومضاد التصحيح، وتشفير الحمولة، والحقن المجزأ عبر عمليات متعددة.
--== أداة تحميل (Process hollowing) مكتوبة بلغة Nim لملفات PE فقط ==--
بنيت PichichiH0ll0wer للتعلم والمساهمة، بالتأكيد، لكن أيضًا لأنني متعب جدًا من الـ shellcodes في كل مكان. ربما تحميل PEs يكون أقل مراوغة، أعرف، لكنه لا يزال فعالًا وأكثر راحة من القتال لتحويل حمولة PE الخاصة بك إلى shellcode في كل مرة (وهو ما لا يعمل دائمًا بسلاسة). أيضًا، PichichiH0ll0wer يحتوي على بعض الميزات لحماية حمولتك. يدعم فقط ملفات x64 EXE.
مثال على حقن مجزأ لـ cscript.exe مع cmd.exe الذي يطلق whoami.exe:
بُني باستخدام Nim 1.6.12، يجب تشغيله على Windows فقط.
nimble install winim ptr_math nimprotect supersnappy argparse
Usage:
[options] exe_file injection_method
Arguments:
exe_file Exe file to load
injection_method Injection method
1 - Simple hollowing
2 - Direct syscalls hollowing
3 - Indirect syscalls hollowing
4 - Split hollowing using multiple processes
5 - Split hollowing using multiple processes and direct syscalls
6 - Split hollowing using multiple processes and indirect syscalls
Options:
-h, --help
-s, --sponsor=SPONSOR Sponsor path to hollow (default: self hollowing)
-a, --args=ARGS Command line arguments to append to the hollowed process
-f, --format=FORMAT PE hollower format Possible values: [exe, dll] (default: exe)
-e, --export=EXPORT DLL export name (relevant only for Dll format) (default: DllRegisterServer)
-b, --block Block unsigned Microsoft Dlls in the hollowed process
-p, --split Split and hide the payload blob in hollower (takes long to compile!)
-t, --sleep=SLEEP Number of seconds to sleep before hollowing (default: 0)
-g, --anti-debug=ANTI_DEBUG
Action to perform upon debugger detection Possible values: [none, die, troll] (default: none)
-k, --key=KEY RC4 key to [en/de]crypt the payload (supplied as a command line argument to the hollower)
-v, --veh Hollow will occur within VEH
-d, --debug Compile as debug instead of release (loader is verbose)
أيضًا، تحقق من الأمثلة.