RedTeam Loader Builder v6.6.3：集成7种加载技术的红队载荷生成器

原创

陆安予
陆安予

白帽子安全笔记2.0

2026年7月27日 00:15
江苏

在小说阅读器读本章

去阅读

这是一个具有高级规避功能的有效载荷加载器。

一、这是什么？

这是一款专为授权红队测试设计的多用途加载器，用于生成各种类型的加载器可执行文件。项目通过图形化界面集成了多种代码混淆、系统调用绕过和内存规避技术，帮助安全研究人员在受控环境中测试 EDR/AV 的检测能力。

本次更新V6.6.3内容如下：

1.SysWhispers3更新,绕过Windows Defender签名和CAPA规则。
2.示例载荷替换为无特征的calc.bin
3.修复若干bug和部分优化

UI界面

编译

二、技术介绍

1.CODASM 加密机制

静态分析无法直接提取原始 Shellcode，每次编译密钥随机，可绕过基于签名的静态检测，同时保持低熵。

2.SysWhispers4深度集成

将SysWhispers4 的十多个配置项全部做成了可视化控件，让用户可以自由组合。其中SSN解析方法支持地狱之门、光环之门、深渊之门等，调用方式支持直接系统调用、间接跳转、随机化和寻蛋四种，规避选项包括混淆、SSN加密等。开箱即用，大幅降低使用门槛。

3.内存波动技术

载荷在大部分时间处于加密状态，仅在执行瞬间才解密，用于绕过内存扫描。

4.OLLVM代码混淆

集成OLLVM代码混淆器，包括控制流平坦化、指令替换、虚假控制流、字符串混淆，静态分析难度提升10倍。

5.AMSI绕过

使用clr宿主机制，配合garble高度混淆及定制化工具后处理，Defender的AMSI检测将完全失效，支持各种C#项目。

6.LuaJIT加载器

LUA加载器是一种特殊的存在，这种加载器要么不出现，出现必在APT案例中。这种加载器无法直接执行，通常使用高级LNK快捷方式拉起。

三、更新内容详解

1.SysWhispers3更新,绕过Windows Defender签名和CAPA规则。

默认的SysWhispers3存在多年，该特征已被形成各种签名，就拿calc来看，使用jumper调用方式编译后。

被Defender签名的SysWhispers3

这种情况下，下载新的SysWhispers3项目重新编译即可。

修改的SysWhispers3

2.无特征的calc.bin

默认的msfvenon生成的弹出计算器shellcode存在多年早已被标记。在进行shellcode loader开发时有诸多不便。切到codasm，编译一个默认的calc.bin微步报告[1]。

存在特征的的calc

这种情况下，至菜单下载新的无特征的calc.bin微步报告[2]将规避这一点。

新的calc

四、如何获取

该项目是[顶级武器-完全无法检测的cobalt strike项目]的附加内容，用户可至菜单更新新版本。

如果你对这些红队项目感兴趣或想了解更多信息，可查阅我的产品清单《2026年度红队战术攻防武器库产品手册》[3]及协议《合规协议》[4]。

五、使用场景

1.红队演练，合法授权的企业攻防演习。
2.原理学习，理解攻击手法的实现机制。
3.测试安全设备检出率，优化检测策略。

六、免责声明

本文涉及方案仅限合法授权的安全研究、渗透测试用途，使用者须确保符合《网络安全法》及相关法规。具体条款如下：

1.仅可用于已获得书面授权的目标系统测试；
2.遵守法律法规，不得用于侵犯他人隐私或数据窃取；

本人不承担因用户滥用本软件导致的任何后果。使用即视为同意并接受上述条款。

引用链接

[1] 默认的calc.bin微步报告: https://s.threatbook.com/report/file/f51192114ace5cfc686699542b80edae19e4167e88adb2af8ed31772ad61fc36
[2] 无特征的calc.bin微步报告: https://s.threatbook.com/report/file/4bf995589f640c30cfe22ee59c3e36db2d5bad9e9d944fa4ef260d85510c78c6
[3] 《2026年度红队战术攻防武器库产品手册》: https://www.kdocs.cn/l/coR1BuQkseWz
[4] 《合规协议》: https://www.kdocs.cn/l/cqPic7iLh0hn