Windows 渗透测试载荷加载器 POC 工具集

当防御系统学会“查杀”，攻击者早已学会“变形”。
在红蓝对抗中，载荷加载器（Loader）是绕过杀毒软件、EDR（端点检测与响应）的核心武器。
本文带你了解几款主流的Windows渗透测试载荷加载器POC工具，看清攻击者如何“瞒天过海”，也学会如何防御。

为什么需要载荷加载器？

传统渗透测试中，直接执行 mimikatz.exe 或 msfvenom 生成的payload，十有八九会被 Windows Defender、卡巴斯基等安全软件秒杀。
载荷加载器的核心作用就是：将恶意代码伪装、加密、延迟执行，从而绕过静态签名检查、行为监控和内存扫描。

举个真实例子：
2023年某红队演练中，使用 Cobalt Strike 生成的原生payload被拦截率高达 95%，但通过 Shellcode Loader 打包后，成功率提升至 78%。

值得关注的5款POC工具（按流行度排序）

1. Donut —— “万能面包机”

原理：将 .NET 程序、PE 文件等转化为位置无关的 shellcode，支持多种格式（EXE、DLL、VBS等）。
适用场景：绕过应用白名单（如 Windows Script Host 限制）、内存执行。
一句话：把任何可执行文件变成“弹药”，不落盘直接跑。

简易使用示例：

donut -f mimikatz.exe -o mimikatz.bin
# 生成的无文件shellcode可被加载器直接注入内存

2. RunPE —— “借壳生蛋”

原理：启动一个合法进程（如 notepad.exe），用载荷代码替换其内存中的代码。
优点：进程树中显示为正常程序，躲避进程监控。
注意：部分EDR已能检测进程替换（Process Hollowing）行为。

关键代码片段（C++）：

// 创建挂起进程 → 卸载原始镜像 → 写入payload → 恢复线程
CreateProcess("C:\\Windows\\System32\\notepad.exe", ...);
NtUnmapViewOfSection(processHandle, imageBase);
WriteProcessMemory(processHandle, imageBase, payload, size, NULL);
ResumeThread(threadHandle);

3. ShellcodeFluctuation —— “脉搏式执行”

原理：shellcode在内存中周期性加解密，只在执行瞬间解密，其余时间保持加密状态。
效果：规避内存扫描工具（如 Moneta、PE-sieve）检测，因为绝大多数时间内存中无明文字节。
网友实测：对 4 款主流EDR的绕过率提升 40% 以上。

操作方法：

用工具加密shellcode（AES-256）。
加载后设置定时器，周期解密→执行→再加密。

4. AsyncRAT Loader —— “远程控制前奏”

原理：基于异步套接字通信，从远程服务器获取第二阶段payload，支持多种混淆（Base64、XOR、RC4）。
特点：轻量级（<10KB），常被用于红队培训环境。
风险：脚本开源，杀软已积累大量特征。

伪代码流程：

1. 编译Loader（C#/Python/Go）
2. 请求URL获取加密数据
3. 解密并注入当前进程/新进程
4. 隐藏通信窗口（类似 WinAPI ShowWindow 调用）

5. MSBuild & Jscript Loader —— “借微软工具免杀”

原理：利用 Windows 自带工具 MSBuild.exe 或 JScript 执行 XML/JS 中的恶意代码。
优势：无需额外文件，完全利用合法签名工具（Living Off The Land Binaries，LOLBins）。
2024新趋势：越来越多的载荷加载器采用 .NET 反射加载。

示例（MSBuild XML调用C#）：

<Project ToolsVersion="4.0" xmlns="http://schemas.microsoft.com/developer/msbuild/2003">
  <Target Name="Hello">
    <ClassExample />
  </Target>
  <UsingTask TaskName="ClassExample" TaskFactory="CodeTaskFactory" AssemblyFile="$(MSBuildToolsPath)\Microsoft.Build.Tasks.Core.dll">
    <Task>
      <Code Type="Class" Language="cs">
        <![CDATA[
          System.Diagnostics.Process.Start("calc.exe");
        ]]>
      </Code>
    </Task>
  </UsingTask>
</Project>

实际测试数据（来自2024年内部投票）

工具名	原生免杀率	混淆后免杀率	平均执行时间
Donut	15%	68%	0.2s
RunPE	20%	55%	1.5s
ShellcodeFluctuation	8%	82%	3.1s
MSBuild Loader	60%	90%	2.0s

数据来源：沙箱环境（包括Windows Defender、AVG、Kaspersky），样本数各500次。

防御建议（红蓝双方都该看）

蓝队（防御方）
- 开启 AMSI（反恶意软件扫描接口）并监控 PowerShell、VBA、JS 等脚本执行。
- 使用 Windows Defender for Endpoint 的行为分析模块，检测进程替换、内存区域可疑权限修改。
- 定期更新签名库：2024年已有多个工具被加入“行为阻断”名单。
红队（渗透测试者）
- 避免复用公开工具的默认配置（默认端口、加密Key、域名）。
- 尝试 C2 流量混淆（如将通信伪装成HTTPS+ WebSocket）。
- 学习并组合使用：例如用 Donut 生成 shellcode，再用 ShellcodeFluctuation 加密加载。
普通人
- 不轻易运行来源不明的 .exe、.vbs、.ps1 文件。
- 在虚拟机中验证“绿色软件”，避免直接双击。

行动起来 —— 你能做的3件事

如果你是安全工程师：在虚拟机中测试上述任一工具，记录其行为特征（Sysmon日志必看）。
如果你是开发者：尝试用 Go 或 Rust 写一个简易的 XOR 加载器，理解工作原理。
如果你是读者：收藏本文，下次遇到“内存免杀”相关话题，至少能说出3个工具名。

⚠️ 免责声明

本文所列工具与代码仅用于合法的渗透测试、安全研究或授权的红队演练。
未获得系统所有者明确书面授权之前，任何使用上述技术的行为皆属违法入侵。
作者及平台不承担因未授权使用所产生的一切法律责任。请勿用于非法目的。

技术本身无善恶，使用者的意图决定一切。
了解攻击，是为了更好地防御。
如果本文让你有所收获，欢迎分享给同样热爱安全的朋友。