EvilVM

用于信息安全研究工具的 EvilVM 编译器。该项目围绕一个原生代码 Forth 编译器构建，并以位置无关的 shellcode 形式部署。它提供了一个远程代码执行平台，在信息安全场景中非常有用。

NolaCon 2019 演讲

我在 2019 年的 NolaCon 上展示了 EvilVM 的 Alpha 版本。你可以在 YouTube 上观看 Irongeek 的录像，其中包含对该项目的良好介绍和一些演示：

YouTube 录像

文档

在文档站点查找 EvilVM 的文档。

EvilVM 的主要用例是将 agent 部署到远程系统上，并与其交互。该语言的外部解释器以交互式 shell 或 REPL 的形式呈现，系统提供了将代码传递给 agent 的能力，代码会被编译并添加到超静态全局环境中。

技术选型是围绕项目目标做出的：

1. 小巧、易于部署的 payload： EvilVM agent 是一个位置无关的 x86_64 shellcode，根据选项和封装方式不同，大小在 5-10KB 之间。
2. 远程 I/O 流： 与该语言交互的标准 I/O 范式是通过抽象的网络能力流，允许通过文件描述符、TCP（bind 和 reverse）、HTTP、共享内存、ICMP 和 SMB 命名管道进行传输。
3. 底层访问： 运行时环境提供对编译器内部、机器码和直接内存交互的直接访问。
4. 原生互操作性： 提供了简单的 C FFI，使得导入 DLL、查找导出并用 Forth 函数定义包装它们变得容易。
5. 富有表现力的语言： 虽然 Forth 提供了“低门槛”，运行在接近汇编语言的层级，但它也提供了“高上限”，允许在运行时对语言进行语法扩展，并且非常适合元编程技术。
6. 信息安全考量： payload 的生成支持不同的编码和封装方案，以很好地适应典型的恶意投递场景（漏洞利用、注入等）。