bimg-shellcode-loader是一个使用bilibili图片隐写功能加载shellcode的工具。 当然你可以使用任何地方的图片。

在调研C2通讯方式时，发现有一个有师傅使用了bilbili图片隐写功能加载shellcode，觉得这个方法很有意思，就自己写了一个工具。添加了反沙箱功能。
如果这个项目对你有帮助，欢迎star。

使用generate.go生成包含shellcode的图片，生成的图片为out_file.png。 在generate.go同级目录下存放shellcode文件，shellcode文件名为shellcode.bin。 图片为img.png, 随后用运行generate.go生成out_file.png。

go run generate.go

登陆访问创作中心 https://member.bilibili.com/platform/upload/text/edit 点击上传图片，把生成的图片上传上去。

通过浏览器开发者工具，查看上传图片的请求，找到图片的返回地址，复制下来。

把图片地址填入到shellcodeLoader.go中的imgUrl变量中。

CGO_ENABLED=0 GOOS=windows GOARCH=amd64 GOPRIVATE=* GOGARBLE=* garble -tiny -literals -seed=random build -ldflags  "-w -s -buildid= -H=windowsgui" -buildmode="pie"

只测试了360和微步

微步反沙箱，判断当前系统壁纸，如果是沙箱内的壁纸就退出。大家有遇到的沙箱或者分析机，提取壁纸的md5放入列表中。

md5List := []string{"fbfeb6772173fef2213992db05377231", "49150f7bfd879fe03a2f7d148a2514de", "fc322167eb838d9cd4ed6e8939e78d89", "178aefd8bbb4dd3ed377e790bc92a4eb", "0f8f1032e4afe1105a2e5184c61a3ce4", "da288dceaafd7c97f1b09c594eac7868"}

微步沙箱检测通过0/24，并且没有检测到网络通信。

火绒

virscan扫描结果