建站
咨詢
售后
建站咨詢
新聞中心
關(guān)于NixImports
NixImports是一款功能強(qiáng)大的.NET代碼程序加載工具，該工具專為惡意軟件研究人員或安全分析專家設(shè)計(jì)，可以幫助我們對(duì)惡意軟件或系統(tǒng)安全進(jìn)行研究和分析。值得一提的是，該工具使用了API哈希和動(dòng)態(tài)調(diào)用技術(shù)來(lái)規(guī)避靜態(tài)分析檢測(cè)。
10年的舒城網(wǎng)站建設(shè)經(jīng)驗(yàn)，針對(duì)設(shè)計(jì)、前端、開(kāi)發(fā)、售后、文案、推廣等六對(duì)一服務(wù)，響應(yīng)快，48小時(shí)及時(shí)工作處理。成都全網(wǎng)營(yíng)銷推廣的優(yōu)勢(shì)是能夠根據(jù)用戶設(shè)備顯示端的尺寸不同，自動(dòng)調(diào)整舒城建站的顯示方式，使網(wǎng)站能夠適用不同顯示終端，在瀏覽器中調(diào)整網(wǎng)站的寬度，無(wú)論在任何一種瀏覽器上瀏覽網(wǎng)站，都能展現(xiàn)優(yōu)雅布局與設(shè)計(jì)，從而大程度地提升瀏覽體驗(yàn)。創(chuàng)新互聯(lián)從事“舒城網(wǎng)站設(shè)計(jì)”,“舒城網(wǎng)站推廣”以來(lái)，每個(gè)客戶項(xiàng)目都認(rèn)真落實(shí)執(zhí)行。
工具運(yùn)行機(jī)制
NixImports使用了HInvoke項(xiàng)目來(lái)實(shí)現(xiàn)API-Hashing，并能夠在運(yùn)行時(shí)動(dòng)態(tài)解析大多數(shù)被調(diào)用的函數(shù)。為了解析函數(shù)，HInvoke需要兩個(gè)哈希，即typeHash和methodsHash。這倆哪個(gè)哥哈希代表了類型名稱和方法全名，并能夠在運(yùn)行時(shí)讓HInvoke解析整個(gè)mscorlib以找到匹配的類型和方法。
NixImports另一個(gè)有趣的特性是，它會(huì)盡可能去避免調(diào)用已知的方法，通過(guò)使用內(nèi)部方法，我們可以避開(kāi)一些安全工具使用的基本鉤子和監(jiān)控機(jī)制。
工具下載
由于該工具基于純C#開(kāi)發(fā)，因此我們首先需要在本地設(shè)備上安裝并配置好最新版本的Visual Studio工具環(huán)境。
接下來(lái)，廣大研究人員可以使用下列命令將該項(xiàng)目源碼克隆至本地：
git clone https://github.com/dr4k0nia/NixImports.git然后打開(kāi)Visual Studio，將項(xiàng)目導(dǎo)入后進(jìn)行代碼編譯后構(gòu)建即可。
工具使用
當(dāng)前版本的NixImports僅需要我們提供一個(gè).NET源代碼的文件路徑，即可開(kāi)始封裝和加載任務(wù)：
NixImports.exe 此時(shí)，工具會(huì)在當(dāng)前根目錄下自動(dòng)生成一個(gè)名為L(zhǎng)oader.exe的新的可執(zhí)行程序，這個(gè)Loader.exe可執(zhí)行文件包含了我們編碼后的Payload，以及運(yùn)行它所需要的其他代碼。
許可證協(xié)議
本項(xiàng)目的開(kāi)發(fā)與發(fā)布遵循MIT開(kāi)源許可證協(xié)議。
項(xiàng)目地址
NixImports：【GitHub傳送門】
參考資料
https://dr4k0nia.github.io/posts/NixImports-a-NET-loader-using-HInvoke/
https://gist.github.com/dr4k0nia/813087cee2875f5f82e37c8a731b80b0
https://dr4k0nia.github.io/posts/NixImports-a-NET-loader-using-HInvoke/#tips-for-defenders
https://github.com/dr4k0nia/yara-rules/blob/main/dotnet/msil_mal_niximports_loader.yar
本文作者：Alpha_h4ck， 轉(zhuǎn)載請(qǐng)注明來(lái)自FreeBuf.COM
文章題目：NixImports：一款功能強(qiáng)大的.NET代碼程序加載工具
文章來(lái)源：http://m.5511xx.com/article/cccoodo.html
