2024年4月14日发(作者：)

专注APT攻击与防御

ot./

payload分离免杀思路第一季是专门针对x32系统，以及针对xp包括以下版本。而在实

战中，目标机器多为Windows7以上版本。而服务器以x64位居多。在第一季中，借助了非

微软自带第三方来执行Shellcode，这一季采取调用微软自带来执行Shellcode，这里就会有

一个好处，调用自带本身一定就会有微软的签名，从而绕过反病毒软件。

介绍相关概念：

Windows自Windows XP Media Center Edition开始默认安装NET Framework，直

至目前的Windows 10，最新的默认版本为4.6.00081.00。随着装机量，最新默认安装版本

为4.7.2053.0。

：

C#的在Windows平台下的编译器名称是，如果你的.NET FrameWork SDK安

装在C盘，那么你可以在C:meworkxxxxx目录中发现它。为

了使用方便，你可以手动把这个目录添加到Path环境变量中去。用编译

非常简单，打开命令提示符，并切换到存放 文件的目录中，输入下列

行命令:csc /target:exe 将编译成名为的console应用程序

//

using System;

class TestApp

{

}

public static void Main()

{

ine("Micropoor!");

}

：

微软官方介绍如下：

The Installer tool is a mand-line utility that allows you to install and

uninstall server resources by executing the installer ponents in specified

assemblies. This tool works in conjunction with classes in the

l namespace.

This tool is automatically installed with Visual Studio. To run the tool, use the

Developer Command Prompt (or the Visual Studio Command Prompt in Windows

第1页，共7页

7). For more information, see Command Prompts.

oft./en-us/dotnet/framework/tools/installutil-exe-

installer-tool

关于两个文件默认安装位置：（注意x32，x64区别）

C:mework

C:mework64

C:mework

C:mework64

文章采取2种demo来辅助本文中心思想。

demo1：

以抓密码为例：测试环境：目标A机安装了360套装。目标机B安装了小红伞，NOD32。目

标机安C装了麦咖啡。

生成秘钥：

执行：C:

/r: /r: /target:library

/out: /keyfile:C: /unsafe

C:

第2页，共7页