그런 다음 실행 파일을 x64 Windows 호스트로 가져와서 .\hades.exe [options]로 실행하면 됩니다.
PS > .\hades.exe -h
'||' '||' | '||''|. '||''''| .|'''.|
|| || ||| || || || . ||.. '
||''''|| | || || || ||''| ''|||.
|| || .''''|. || || || . '||
.||. .||. .|. .||. .||...|' .||.....| |'....|'
version: dev [11/01/23] :: @f1zm0
Usage:
hades -f <filepath> [-t selfthread|remotethread|queueuserapc]
Options:
-f, --file <str> shellcode file path (.bin)
-t, --technique <str> injection technique [selfthread, remotethread, queueuserapc]
calc.exe를 실행하는 셸코드를 queueuserapc 기술로 주입합니다:
.\hades.exe -f calc.bin -t queueuserapc
시스템 콜 RVA 정렬을 이용한 사용자 모드 후킹 우회 (NtQueueApcThread가 frida-trace 및 커스텀 핸들러로 후킹됨)
간접 시스템 콜을 이용한 계측 콜백 우회 (주입된 DLL은 jackullrich의 syscall-detect에서 가져옴)
최신 릴리스에서는 직접 시스템 콜 기능이 acheron이 제공하는 간접 시스템 콜로 대체되었습니다. 어떤 이유로 직접 시스템 콜을 사용하는 이전 버전의 로더를 사용하려면 컴파일러에 direct_syscalls 태그를 명시적으로 전달해야 하며, 그러면 빌드에 포함 및 제외할 파일이 자동으로 결정됩니다.
GOOS=windows GOARCH=amd64 go build -ldflags "-s -w" -tags='direct_syscalls' -o dist/hades_directsys.exe cmd/hades/main.go
경고
이 프로젝트는 교육 목적으로만 생성되었으며, Go로 멀웨어 개발을 실험하고 unsafe 패키지와 이상한 Go 어셈블리 문법에 대해 더 배우기 위한 것입니다. 소유하지 않은 시스템에서 사용하지 마십시오. 이 프로젝트의 개발자는 이 도구의 부적절한 사용으로 인한 모든 피해에 대해 책임을 지지 않습니다.
이 도구에 영감을 준 지식과 코드를 공유해 주신 다음 분들께 감사드립니다:
이 프로젝트는 GPLv3 라이선스에 따라 라이선스가 부여됩니다. 자세한 내용은 LICENSE 파일을 참조하십시오.