MalDev

嘿！欢迎来到我的仓库 :))))

我是Captain Magma，一个热衷于网络安全、恶意软件开发和分析的爱好者。

这个仓库的用途是管理我的恶意软件开发学习路径，我会随着学习进度更新笔记和代码。
我不是任何技术的原创作者，这里只是我对它们的实现。

[!重要] 我想澄清一下，我 绝对不是 专家，最多算个新手。所以请不要期待这个仓库会出现什么APT级别的恶意软件。
另外，这个仓库仅供教育目的使用。用这些代码不仅会让你立刻被抓，而且未经许可对不属于你的系统这样做是违法的。

当前项目与进度

截至目前，这是一个不断增长的仓库，因此所有代码都会频繁更新以确保正常运行。
撰写本文时，以下程序已完成并可运行：

• 加密

  • RC4
  • XOR
  • AES-256-GCM
  • ChaCha20
  • 堆加密

• 哈希

  • DJB2
  • SDBM
    • SDBMROL16

• 混淆

  • 自定义GetModuleHandle
  • 自定义GetProcAddress
  • API哈希
  • PPID欺骗
  • 双重混淆 (GetProcAddress + GetModuleHandle)
  • Memcpy + Strcpy + Strcmp
  • 编译时哈希
  • 进程重映像

• 原生API

  • NT Shellcode注入

• Ntdll解除挂钩

  • 从磁盘映射
  • 从文件读取
  • 挂起进程

• 系统调用

  • APC系统调用
  • 直接系统调用
  • 间接系统调用

• 线程劫持

  • 本地
    • WinApi
    • 系统调用
  • 远程
    • WinApi
    • 系统调用

• 映射注入

  • 本地
    • WinApi
    • 系统调用
  • 远程
    • WinApi
    • 系统调用

• 反分析

  • 正在被调试
  • 自删除

• 反沙箱

  • 检查内存
  • CPUID
  • SMBIOS

• 枚举

  • CreateToolhelp32Snapshot
  • NtQuerySysInfo
  • 操作系统元数据

• 进程注入

  • Shellcode注入
  • APC注入
  • 纤程注入
  • Early Bird注入
  • 进程催眠

• 踩踏

  • 本地
  • 远程

• 杂项

  • 获取PE头
  • 挂起进程
  • 读取目标文件
  • 修复IAT
  • 修复重定位表
  • 蓝屏死机
  • 映射DLL文件
  • 修改保护属性

• 空洞化

  • 进程空洞化
    • WinApi
    • 系统调用
  • 催眠空洞化

• ETW绕过

  • ETW字节修补
  • NtTraceEvent SSN修补

• AMSI绕过

  • AMSI字节修补

• Magma Gate

  • Magma Gate

• 反射式DLL

  • 反射式DLL

• DLL注入

  • 基础DLL注入
  • 系统调用DLL注入
  • DLL劫持
  • DLL侧加载

• 持久化

  • Windows注册表
  • Windows服务

• 睡眠混淆

  • 睡眠混淆

• LSASS

  • MiniDumpWriteDump

• PE注入

  • 可移植可执行文件注入
  • 模块重载

• 权限提升

  • 令牌操纵
  • PPID权限提升

错误

我并不是什么编程大神，代码中显然也有不足。如果我的任何程序有问题，欢迎提交拉取请求或在错误部分指出！

感谢

最后，感谢你查看我的仓库，希望你能找到感兴趣的内容 :))))