Clematis

[ 中文 | English ]

🛠️ Мощный инструмент для преобразования PE-файлов (EXE/DLL) в позиционно-независимый шеллкод.

✨ Ключевые возможности

• Поддержка преобразования PE-файлов (EXE/DLL) в шеллкод
• Совместимость с архитектурами x86 и x64
• Поддержка аргументов командной строки
• Встроенный алгоритм сжатия LZNT1 для значительного уменьшения размера выходного файла
• Необязательная обфускация для повышения скрытности

📦 Установка

Зависимости

pip install pefile lznt1

🚀 Использование

python clematis.py -f <PE_file> -o <output_file> [-g <true/false>] [-c <true/false>] [-p <parameters>]

Параметры

Примеры

# Show help information
python clematis.py -h

# Basic usage
python clematis.py -f target.exe -o output.bin

# Disable obfuscation and compression
python clematis.py -f target.exe -o output.bin -g false -c false

# Pass arguments to target program
python clematis.py -f target.exe -o output.bin -p arg1 arg2

python clematis.py -f target.exe -o output.bin -p "arg1 arg2"

💪 Наши преимущества

• 🎯 Поддержка DOT NET
• 🗜️ Поддержка сжатия
• 🎭 Поддержка обфускации
• 🔄 Поддержка передачи параметров
• 🚀 Полная поддержка golang
• 💪 Генерируемый шеллкод мощен и стабилен

💡 Философия проектирования

В некоторых особых средах мы можем столкнуться со следующими проблемами:

- 🛡️ Unable to perform process injection (AV/EDR/XDR blocking)
- 🔄 Executing golang programs in current process may cause blocking
- 💾 Memory leaks may occur after golang program execution
- ⚠️ Threads created by golang cannot be released!

Чтобы решить эти проблемы, мы разработали clematis:

- ✨ Convert golang programs to shellcode
- 🎯 Direct execution in current process
- ♻️ Automatic memory release after execution
- 🚀 Completely avoid golang-related memory issues
- 🔄 Reclaim all threads created by golang

📝 Примечания

• Убедитесь, что у вас достаточно прав для чтения исходных PE-файлов и записи целевых файлов
• При преобразовании больших файлов рекомендуется сжатие
• Обфускация может добавить некоторые накладные расходы на производительность, но обеспечивает лучшую скрытность

⚠️ Известные проблемы

• Некоторые части приложения (exe), собранного с помощью mingw | gcc, могут не загружаться; возможно, это вызвано релокацией? (не реализовано)
• Недопустимый доступ к памяти DOT NET (исправлено)

🗓️ Планируемые возможности

• Расширенные параметры шифрования для лучшей безопасности
• Графический интерфейс для более удобной работы
• Мониторинг процесса преобразования в реальном времени
• Обработка ресурсов в PE
• Расширенные возможности обхода, такие как [ProxyDll, Syscall, ...]

🔄 Последние обновления

• 2024-12-27

  • Поддержка DOT NET (x64 | x86)

• 2024-12-28

  • Исправлены потенциальные сбои программ DOT NET (могут не возникать)

  • Добавлена обработка IMAGE_DIRECTORY_ENTRY_EXCEPTION (x64)

  • Обновлены API для использования NTAPI

⚠️ Предупреждение

• Мы не планируем выпускать это обновление бесплатно; мы разместим его в нашем платном сообществе.
• Этот проект остаётся доступным и бесплатным, но в будущем может не обновляться. Спасибо!

🔍 Как это работает

Clematis преобразует PE-файлы в шеллкод с помощью следующих шагов:

1. Чтение и анализ целевого PE-файла
2. Обработка аргументов командной строки (при наличии)
3. Необязательное сжатие LZNT1
4. Необязательная обфускация
5. Генерация итогового позиционно-независимого шеллкода

flowchart TD
    A[START] --> B[Read PE file]
    B --> C[Parse PE structure]
    C --> D{Is there a command line argument?}
    D -- TRUE --> E[Process command line arguments]
    D -- FALSE --> F{Enable compression?}
    E --> F
    F -- TRUE --> G[LZNT1 compression]
    F -- FALSE --> H{Enable obfuscation?}
    G --> H
    H -- TRUE --> I[Execute obfuscation processing]
    H -- FALSE --> J[Generate shellcode]
    I --> J
    J --> K[Output result]
    K --> L[END]

🤝 Вклад в проект

Приветствуются Issues и Pull Requests!