복잡한 Windows API 호출이 필요하다면 [Winim 라이브러리](https://github.com/khchen/winim)를 사용하세요. 엄청난 시간을 절약해주며, 가져오는 방식에 따라 실행 파일 크기에 크게 영향을 주지 않습니다(아래 참조).

COM 지원도 있습니다!!!

## `DllMain`이 내보내진 Windows DLL 생성

Nim 포럼에 [이 글](https://forum.nim-lang.org/t/1973)을 올려주신 분께 큰 감사를 드립니다.

Nim 컴파일러는 Windows DLL을 생성하도록 지시할 때 컴파일 시점에 자동으로 `DllMain` 함수를 만들려고 시도하지만, 어떤 이유로 실제로 내보내지는 않습니다. 내보내진 `DllMain`을 가지려면 `--nomain`을 전달하고 적절한 pragma(`stdcall, exportc, dynlib`)를 사용하여 직접 `DllMain` 함수를 정의해야 합니다.

Nim의 가비지 컬렉터를 초기화하려면 `DllMain` 내에서 `NimMain`도 호출해야 합니다. (매우 중요합니다, 그렇지 않으면 컴퓨터가 말 그대로 폭발할 것입니다).

예시:```nim
import winim/lean

proc NimMain() {.cdecl, importc.}

proc DllMain(hinstDLL: HINSTANCE, fdwReason: DWORD, lpvReserved: LPVOID) : BOOL {.stdcall, exportc, dynlib.} =
  NimMain()
  
  if fdwReason == DLL_PROCESS_ATTACH:
    MessageBox(0, "Hello, world !", "Nim is Powerful", 0)

  return true

### XLL 생성하기
XLL(Excel DLL, 상상해 보세요)을 auto open 함수와 함께 만들어 페이로드 전달에 사용할 수 있습니다. 다음 코드는 auto open 함수와 링크 라이브러리로 컴파일하는 데 필요한 모든 보일러플레이트 코드를 포함하는 간단한 XLL을 생성합니다. POC는 DLL로 컴파일되며, 그런 다음 확장자를 .xll로 변경하면 더블 클릭 시 Excel에서 열리고 페이로드가 실행됩니다:```nim
#[
    Compile:
        nim c -d=mingw --app=lib --nomain --cpu=amd64 nim_xll.nim
        
    Will compile as a DLL, you can then just change the extension to .xll
]#

import winim/lean

proc xlAutoOpen() {.stdcall, exportc, dynlib.} =
    MessageBox(0, "Hello, world !", "Nim is Powerful", 0)

proc NimMain() {.cdecl, importc.}

proc DllMain(hinstDLL: HINSTANCE, fdwReason: DWORD, lpvReserved: LPVOID) : BOOL {.stdcall, exportc, dynlib.} =
  NimMain()

  return true

nim c --passL:-Wl,--dynamicbase my_awesome_malwarez.nim
```
## Winim 라이브러리 사용 시와 미사용 시 실행 파일 크기 차이

놀랍게도 크기 차이는 매우 미미합니다. 특히 위에서 언급한 크기 최적화를 적용하면 더욱 그렇습니다.

이 목적을 위해 두 예제 `pop_bin.nim`과 `pop_winim_bin.nim`이 만들어졌습니다.

전자는 `MessageBox` WinAPI 호출을 수동으로 정의하고, 후자는 Winim 라이브러리(특히 `winim/lean`으로, 코어 SDK만 포함합니다. 자세한 내용은 [여기](https://github.com/khchen/winim#usage) 참조)를 사용합니다. 결과:```
byt3bl33d3r@ecl1ps3 OffensiveNim % ls -lah bin
-rwxr-xr-x  1 byt3bl33d3r  25K Nov 20 18:32 pop_bin_32.exe
-rwxr-xr-x  1 byt3bl33d3r  32K Nov 20 18:32 pop_bin_64.exe
-rwxr-xr-x  1 byt3bl33d3r  26K Nov 20 18:33 pop_winim_bin_32.exe
-rwxr-xr-x  1 byt3bl33d3r  34K Nov 20 18:32 pop_winim_bin_64.exe
```
Winim 라이브러리 전체를 `import winim/com`으로 가져오면 약 ~20KB 정도만 추가되며, 이는 추상화하는 기능의 양을 고려할 때 그 추가 크기가 100% 가치가 있습니다:```
byt3bl33d3r@ecl1ps3 OffensiveNim % ls -lah bin
-rwxr-xr-x  1 byt3bl33d3r  42K Nov 20 19:20 pop_winim_bin_32.exe
-rwxr-xr-x  1 byt3bl33d3r  53K Nov 20 19:20 pop_winim_bin_64.exe
```
## Opsec 고려사항

Nim은 FFI를 통해 `LoadLibrary`를 사용하여 DLL을 동적으로 해석하기 때문에, 외부에서 가져온 함수들은 실행 파일의 정적 임포트에 나타나지 않습니다 (자세한 내용은 [이 블로그 게시물](https://web.archive.org/web/20210117002945/https://secbytes.net/implant-roulette-part-1:-nimplant/)을 참조):

![](https://assets.kitploit.com/production/public/readmes/6566/ae35b71c435c8fe24112a95abb0eca863721c9fde9b14efb7d4f2701bb57b3b9.png)

Nim 소스를 DLL로 컴파일하면, 자체 `DllMain`을 지정하든 안 하든 항상 `NimMain`이 내보내지는 것 같습니다(??). 이는 잠재적으로 시그니처로 사용될 수 있으며, 실제로 개발 스택에서 Nim을 사용하는 곳이 얼마나 되는지 모르겠습니다. 확실히 눈에 띕니다.

![](https://assets.kitploit.com/production/public/readmes/6566/1e291f2b170de9f5728e36cc2c6e489477480fa4b215dcf78341531805781448.png)

## Nim 런타임 없이 Nim 작성하기

Nim은 안티바이러스 솔루션에서 크게 탐지되므로, 이를 우회하는 한 가지 방법은 Nim 런타임 없이 Nim 프로그램을 작성하는 것입니다. [Writing Nim-less Nim](https://www.youtube.com/watch?v=EXX3HmCG3pw)은 Nim 및 C 런타임 없이 Nim 코드를 작성하는 방법을 설명하는 강연이며, 해당 강연의 소스 코드는 [여기](https://github.com/m4ul3r/writing_nimless)에서 확인할 수 있습니다. 이 강연은 [zimawhit3](https://github.com/zimawhit3)의 [Bitmancer](https://github.com/zimawhit3/Bitmancer/tree/main) 작업을 기반으로 확장합니다.

기본 개념은 `winim`의 타입 정의에 의존하고 Nim 런타임이 사용되지 않는 코드 작성을 활용하는 것입니다.

## C 코드를 Nim으로 변환

https://github.com/nim-lang/c2nim

작은 C 스니펫 몇 개를 번역하는 데 사용했으며, 큰 프로젝트는 시도하지 않았습니다.

## 언어 브리지

  - Python 통합: https://github.com/yglukhov/nimpy
    * 이것은 정말 흥미롭습니다. [특히 이 부분](https://github.com/yglukhov/nimpy/blob/master/nimpy/py_lib.nim#L330)이 그렇습니다. 약간 수정하면 메모리에서 PythonxXX.dll을 로드할 수 있을까요?

  - Java VM 통합: https://github.com/yglukhov/jnim

## 디버깅

`repr()` 함수를 `echo`와 함께 사용하면 거의 모든(??) 데이터 타입(심지어 구조체도!)을 지원합니다!

자세한 내용은 [이 블로그 게시물](https://nim-lang.org/blog/2017/10/02/documenting-profiling-and-debugging-nim-code.html)을 참조하세요.

## 개발 환경 설정

이 저장소는 [VSCode Devcontainers](https://code.visualstudio.com/docs/remote/create-dev-container)를 지원하여 Docker 컨테이너 내에서 개발할 수 있도록 합니다. 이는 개발 환경 설정을 자동화합니다.

1. VSCode와 Docker Desktop을 설치하세요.
2. 이 저장소를 클론하고 VSCode에서 여세요.
3. `Visual Studio Code Remote - Containers` 확장을 설치하세요.
4. 명령 팔레트를 열고 `Remote-Containers: Reopen in Container` 명령을 선택하세요.

VSCode는 Docker 이미지를 빌드하고(시간이 좀 걸립니다) 미리 구축된 Nim 개발 환경으로 바로 이동시켜 줍니다!

## 제가 빠진 함정들

- Winim으로 winapi를 호출할 때 null 값을 전달하려면, Nim의 내장 `nil` 값 대신 Winim 라이브러리에 정의된 `NULL` 값을 사용해야 합니다. (으악)

- Windows에서 `open()`을 호출한 후 생성된 파일의 OS 핸들을 얻으려면 `f.getFileHandle()`이 아닌 `f.getOsFileHandle()`을 호출해야 합니다. 이유가 있어서 그렇습니다.

- Nim 컴파일러는 사용법을 보면 `-a:value` 또는 `--arg:value` 형식으로만 인수를 전달하는 것처럼 보이지만, 실제로는 `-a=value` 또는 `--arg=value` 형식도 허용합니다. (Makefile에 중요)

- 바이트 배열을 정의할 때는 최소한 첫 번째 값에 바이트 배열임을 명시해야 합니다. 약간 이상하지만 괜찮습니다 (https://forum.nim-lang.org/t/4322)

C#에서의 바이트 배열:```csharp
byte[] buf = new byte[5] {0xfc,0x48,0x81,0xe4,0xf0,0xff}
```
Nim에서의 바이트 배열:```nim
var buf: array[5, byte] = [byte 0xfc,0x48,0x81,0xe4,0xf0,0xff]
```
## 흥미로운 Nim 라이브러리

- https://github.com/dom96/jester
- https://github.com/pragmagic/karax
- https://github.com/Niminem/Neel
- https://github.com/status-im/nim-libp2p
- https://github.com/PMunch/libkeepass
- https://github.com/def-/nim-syscall
- https://github.com/tulayang/asyncdocker
- https://github.com/treeform/ws
- https://github.com/guzba/zippy
- https://github.com/rockcavera/nim-iputils
- https://github.com/FedericoCeratto/nim-socks5
- https://github.com/CORDEA/backoff
- https://github.com/treeform/steganography
- https://github.com/miere43/nim-registry
- https://github.com/status-im/nim-daemon

## 임플란트 개발을 위한 Nim 링크

- https://web.archive.org/web/20210117002945/https://secbytes.net/implant-roulette-part-1:-nimplant/
- https://securelist.com/zebrocys-multilanguage-malware-salad/90680/
- https://github.com/MythicAgents/Nimplant
- https://github.com/elddy/Nim-SMBExec
- https://github.com/elddy/NimScan

## 기여자 

기여해주신 모든 분들께 가상의 포옹을 ❤️

<a href="https://github.com/byt3bl33d3r/OffensiveNim/graphs/contributors">
  <img src="https://contrib.rocks/image?repo=byt3bl33d3r/OffensiveNim" />
</a>