网站建设、公众号开发、微网站、微商城、小程序就找牛创网络 !

7*24小时服务专线： 152-150-65-006 023-68263070 扫描二维码加我微信

网络安全工具团结互助，让我们共同进步！

当前位置：主页 > 技术资讯 > 工具 > 网络安全工具 >

我们的优势： 10年相关行业经验，专业设计师量身定制设计师一对一服务模式，上百家客户案例！企业保证，正规流程，正规合作 7*24小时在线服务，售后无忧

SysWhispers：功能强大的AV/EDR绕过工具，生成Header和ASM文件，并通过发送直接系统调用来绕过反病毒以及终端防护响应工具

文章来源：重庆网络安全围观次数：

分享到:

摘要：SysWhispers可以生成Header和ASM文件，并发送直接的系统调用以绕过反病毒和终端防护响应工具，支持从Windows XP到Windows 10的所有系统核心调用。

SysWhispers可以生成Header和ASM文件，并发送直接的系统调用以绕过反病毒和终端防护响应工具，支持从Windows XP到Windows 10的所有系统核心调用。生成的样本文件可以直接从“ example-output /”目录获取。

工具介绍

许多安全产品在用户模式API中设置了钩子，可以帮助他们将目标程序的执行流重定向到其引擎并检测可疑行为。 Ntdll.dll中的功能可以通过少量汇编指令发送系统调用，因此在植入程序中重新实现此操作可以帮助我们绕过这些安全产品设置的挂钩。

SysWhispers可以帮助Red Team研究人员为内核映像（ntoskrnl.exe）发送的任何系统调用生成相应的Header/ASM键值对。支持的操作系统平台包括Windows XP到Windows 10，并且这些Header还包含必要的类型定义。接下来，让我们看看如何安装和使用此功能强大的AV / EDR绕过工具！

工具安装

> git clone https://github.com/jthuraisamy/SysWhispers.git

> cd SysWhispers

> pip3 install -r .\requirements.txt

> py .\syswhispers.py --help

命令行

导出所有Windows版本支持的所有功能：

py .\syswhispers.py --preset all -o syscalls_all

仅导出Windows 7、8和10支持的常见功能：

py .\syswhispers.py --preset common -o syscalls_common

导出NtProtectVirtualMemory和NtWriteVirtualMemory函数：

py .\syswhispers.py --functions NtProtectVirtualMemory,NtWriteVirtualMemory -o syscalls_mem

导出所有受支持的功能以及Windows 7、8和10的功能：

py .\syswhispers.py --versions 7,8,10 -o syscalls_78X

脚本输出

PS C:\Projects\SysWhispers> py .\syswhispers.py --preset common --out-file syscom

, , ,_ /_ . , ,_ _ ,_ ,

_/_)__(_/__/_)__/_/_/ / (__/__/_)__/_)__(/__/ (__/_)__

_/_ /

(/ / @Jackson_T, 2019

SysWhispers: Why call the kernel when you can whisper?

Common functions selected.

Complete! Files written to:

syscom.asm

syscom.h

经典的CreateRemoteThread DLL注入示例

py .\syswhispers.py -f NtAllocateVirtualMemory,NtWriteVirtualMemory,NtCreateThreadEx -o syscalls

#include <Windows.h>

void InjectDll(const HANDLE hProcess, const char* dllPath)

{

LPVOID lpBaseAddress = VirtualAllocEx(hProcess, NULL, strlen(dllPath), MEM_COMMIT | MEM_RESERVE, PAGE_READWRITE);

LPVOID lpStartAddress = GetProcAddress(GetModuleHandle(L"kernel32.dll"), "LoadLibraryA");

WriteProcessMemory(hProcess, lpBaseAddress, dllPath, strlen(dllPath), nullptr);

CreateRemoteThread(hProcess, nullptr, 0, (LPTHREAD_START_ROUTINE)lpStartAddress, lpBaseAddress, 0, nullptr);

}

常用功能

将以下函数和方法与“ –preset common”参数一起使用，以创建Header / ASM键值对：

NtCreateProcess (CreateProcess)

NtCreateThreadEx (CreateRemoteThread)

NtOpenProcess (OpenProcess)

NtOpenThread (OpenThread)

NtSuspendProcess

NtSuspendThread (SuspendThread)

NtResumeProcess

NtResumeThread (ResumeThread)

NtGetContextThread (GetThreadContext)

NtSetContextThread (SetThreadContext)

NtClose (CloseHandle)

NtReadVirtualMemory (ReadProcessMemory)

NtWriteVirtualMemory (WriteProcessMemory)

NtAllocateVirtualMemory (VirtualAllocEx)

NtProtectVirtualMemory (VirtualProtectEx)

NtFreeVirtualMemory (VirtualFreeEx)

NtQuerySystemInformation (GetSystemInfo)

NtQueryDirectoryFile

NtQueryInformationFile

NtQueryInformationProcess

NtQueryInformationThread

NtCreateSection (CreateFileMapping)

NtOpenSection

NtMapViewOfSection

NtUnmapViewOfSection

NtAdjustPrivilegesToken (AdjustTokenPrivileges)

NtDeviceIoControlFile (DeviceIoControl)

NtQueueApcThread (QueueUserAPC)

NtWaitForMultipleObjects (WaitForMultipleObjectsEx)

导入到Visual Studio

1.将生成的Header / ASM文件复制到项目目录；

2.在Visual Studio中，单击Project→Build Customizations…，然后启用MASM；

3.在Solution Explorer中，将.h和.asm文件添加到项目中，并将它们作为相应的头文件和源文件进行引用；

4.进入ASM文件的属性页，然后将“Item”类型设置为“Microsoft Macro Assembler”。

5.确保项目平台设置为x64。当前，该项目不支持32位平台。

工具限制

1.目前仅支持64位Windows操作系统；

2.当前不支持从图形子系统（win32k.sys）进行的系统调用。

3.该工具仅在Windows 10 SDK的Visual Studio 2019（v142）中经过测试；

本文由重庆网络安全整理发布,转载请保留出处，内容部分来自于互联网，如有侵权请联系我们删除。

上一篇：openvas：开源扫描器，性能卓越，扩展性强，接入方式灵活，配置主从服务器时存在BUG
下一篇：ReconCobra：全自动渗透测试框架，指纹识别与收集框架，支持在Kali、Parrot OS、Black Arch、Termux和Android Led TV平台上运行

关于我们

重庆牛创网络科技有限责任公司是一群技术强大、思维活跃、拥有创新精神的年轻人创立，公司致力于为企业提供全面、周到、专业的互联网解决方案，提供网站建设、网络推广、网络安全审计、wifi营销认证、网站运营维护、域名注册、虚拟主机、企业邮局、企业形象设计等多种信息产品和服务。

联系我们

公司电话： 023—68263070
办公地址：重庆市北碚区金华路399号
邮箱：120481297@qq.com
技术咨询：15215065006

“互联网+”方案

重庆网站建设

备案图标渝ICP备19004889号-1 渝公网安备 50010902000896号

行业安全认证

网络安全工具团结互助，让我们共同进步！

SysWhispers：功能强大的AV/EDR绕过工具，生成Header和ASM文件，并通过发送直接系统调用来绕过反病毒以及终端防护响应工具

热门资讯

关于我们

联系我们

“互联网+”方案