pe_to_shellcode

Преобразует PE так, чтобы его можно было внедрить как обычный shellcode.
(При этом выходной файл остаётся валидным PE).
Поддерживает как 32-битные, так и 64-битные PE

Авторы: @hasherezade и @hh86

Цель

Цель этого проекта — предоставить возможность генерировать PE-файлы, которые можно внедрять с минимальными усилиями. Проект вдохновлён ReflectiveDLLInjection Стивена Фьюера, но отличие в том, что с помощью pe2shc вы можете добавить заглушку рефлективной загрузки после компиляции. Кроме того, заголовок PE-файла изменён таким образом, что выполнение внедрённого буфера можно начинать с самого начала — как и при работе с обычным shellcode. Он автоматически найдёт заглушку и продолжит загрузку полного PE.

Область применения проекта

🟢 Заглушка поддерживает только базовые структуры формата PE, такие как:

• перемещения
• импорты
• TLS-колбэки (вызываются один раз, до выполнения точки входа)

Обратите внимание, что хотя для большинства PE-файлов этого достаточно, некоторые исполняемые файлы могут использовать другие, более сложные аспекты формата PE. Это означает, что не любой PE можно успешно преобразовать в shellcode.

🚫 Примеры пока не поддерживаемых элементов:

• исключения (если преобразованный исполняемый файл будет запущен как shellcode и вызовет исключение, соответствующий обработчик исключений не будет найден, и приложение аварийно завершится)
• импорты с отложенной загрузкой (реализована только поддержка базовой таблицы импорта)
• MUI-файлы (если преобразованный исполняемый файл ожидает, что некоторые элементы графического интерфейса должны загружаться из MUI-файла, это не сработает)

Сборки

📦 ⚙️ Скачайте последний релиз.

Клонирование

Используйте рекурсивное клонирование, чтобы получить репозиторий вместе со всеми подмодулями:

git clone --recursive https://github.com/hasherezade/pe_to_shellcode.git

Как использовать

1. Используйте pe2shc.exe для преобразования PE по вашему выбору:

pe2shc.exe <путь к вашему PE> [путь к выходному файлу*]
* - необязательно

Если PE был успешно преобразован, pe2shc сообщит, куда сохранён выходной файл:

[+] Сохранён в файл: <преобразованный файл>

например:

[+] Сохранён в файл: test_file.shc.exe

2. Используйте runshc.exe(*) для запуска выходного файла и проверки, прошло ли преобразование успешно.

runshc.exe <преобразованный файл>

(*)Предупреждение: не забудьте использовать версию runshc с разрядностью, соответствующей преобразованному приложению (32 или 64 бита) — иначе приложение аварийно завершится!

3. Если файл работает как исходный PE, это подтверждает, что преобразование прошло успешно!
   Теперь вы можете использовать преобразованный PE так же, как shellcode: внедрить его в цель и запустить с начала буфера. Никакие дополнительные загрузчики PE не требуются.
   При этом вы можете продолжать использовать преобразованный файл как обычный PE.