izj007#wechat#[Snaker独行者]-2021-8-25-我的免杀之路：内存隐藏1

## 我的免杀之路：内存隐藏 原创 Snaker [ Snaker独行者 ](javascript:void\(0\);) **Snaker独行者** ![]() 微信号 gh_e5407d383892 功能介绍 记录本人网络安全知识/经验/笔记，致敬未来的我。 ____ __ 收录于话题  **【简述】** ** ** 内存隐藏技术的核心在于将自己的shellcode注入到内存当中并隐藏起来，那么可以围绕Windows API中的RTLCopyMemory函数开展，RTLCopyMemory函数是Windows内核函数，能够实现内存块的复制。而同样能够实现内存块复制的，还有一个RTLMoveMemory函数，然而RTLCopyMemory和RTLMoveMemory的区别在于是非重叠内存区域的复制，RTLCopyMemory非重叠复制，而RTLMoveMemory是重叠复制。这很好理解，看图：  如果需要将A到C段的内存复制到B到D段内存上，这B到C段的内存就是重叠部分。如果使用RTLCopyMemory函数，重叠的部分不会被覆盖；如果使用RTLMoveMemory函数，重叠的部分也会被覆盖，当然，两者的结果都是一样的。经过测试，也证实了自己的想法，无论是用RTLCopyMemory还是RTLMoveMemory函数，都可以达到免杀的目的。 **【实现思路】** ** ** 直接上核心代码部分，难度不大 * * * * * * * * * * * * * * * * * * * * * func ShellCode_R