高级红队shellcode加载器--KhaosLdr

原创

Hello888
Hello888

安全天书

2026年7月15日 15:53
广西

在小说阅读器读本章

去阅读

本文所涉及的技术、思路和工具仅用于安全测试和防御研究，切勿将其用于非法入侵或攻击他人系统等目的，一切后果由使用者自行承担！！！

项目介绍

多阶段Windows x64加载器。它会拿一个donut壳码，AES-256-CBC在运行时解密，然后通过早鸟APC注入到生成的。每个敏感的NT操作都经过间接系统调用，并采用呼叫堆栈伪装。

Modules

Module	Technique
`syscalls.c`	SEC\_IMAGE fresh NTDLL, ROR13 hash resolution, Hell's Gate + Halo's Gate SSN, 14 NT wrappers, call stack spoofing gadget init, PE header stomp
`dosyscall.S`	`DoSyscall` (2-frame spoof), (2-frame, 11 NT args), (4-frame ntdll chain)DoSyscall11``DoSleepSpoof
`spoof_sleep.c`	`SleepViaSyscall` — NtDelayExecution via , no importDoSleepSpoof``Sleep()
`injection.c`	Early-bird APC: CREATE\_SUSPENDED → NtAllocate → NtWrite → NtQueueApc → NtResume
`unhooking.c`	SEC\_IMAGE fresh NTDLL, VirtualAddress-based .text overwrite via `SysVirtualProtect`
`hwbp_bypass.c`	HWBP via debug registers (Dr0/Dr1/Dr2) + VEH: ETW → RAX=0, AMSI → RAX=0x80070057. No .text patch
`etw_bypass.c`	Thin wrapper over `hwbp_patch_etw()`
`amsi_bypass.c`	Thin wrapper over `hwbp_patch_amsi()`
`evs.c`	`evs_dec()` — XOR decode, , single code pattern`noinline`
`gen_evs.py`	Per-build random XOR key, encodes all sensitive strings → `evs_strings.h`
`sandbox_evasion.c`	Scoring: VM reg/fs, PEB debugger, NtQueryInformationProcess, CPU/RAM/disk, uptime, idle, proc count
`ppid_spoofing.c`	`UpdateProcThreadAttribute` PROC\_THREAD\_ATTRIBUTE\_PARENT\_PROCESS
`crypto.c`	AES-256-CBC via BCrypt

GitHub地址：

https://github.com/28Zaaky/KhaosLdr

注意：请勿利用文章内的相关技术从事非法测试，由于传播、利用此文所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，作者不为此承担任何责任。工具来自网络，安全性自测。

红蓝偶像练习生小圈子

更多工具思路文章请加入纷传，圈子主要研究方向渗透测试、红蓝对抗、钓鱼手法思路、武器化，红队工具二开与免杀。圈内不定期分享红队技术文章，攻防经验总结以及自研工具与插件，目前圈子已满400人，欢迎各位进圈子交流学习！

**圈子目前更新相关技术文章：

* HeavenlyBypassAV内部版工具-轻松免杀各大杀软
* HeBypassAV内部版Patch免杀工具-轻松绕过杀软EDR
* Heavenly自动化红队后渗透工具免杀生成器
* Heavenly白加黑自动化生成免杀工具
* HeavenlyProtectionCS内部CS插件
* 冰蝎webshell免杀工具