ZheTian Powerful remote load and execute ShellCode tool

一曲成殇

Last update: Jun 20, 2022

Related tags

Network ZheTian

Overview

ZheTian

ZheTian Powerful remote load and execute ShellCode tool

免杀shellcode加载框架

命令详解

-u：从远程服务器加载base64混淆后的字节码。 -r：从本地文件内读。 -s：读取无修改的原始文件，只能从本地加载

-o：参数为tru自动向启动项添加自启模块。

从http远程服务器或本地文件内读取shellcode字节码需遵循以下格式： java类型需去除0x，c or python 类型需去除\x

示例：

字节码类型：

原始python代码：

buf = "\xfc\x48\x83\xe4\xf0\xe8\xc8\x00\x00\x00\x41\x51\x41\x50\x52\x51\x56\x48\x31\xd2\x65\x48\x8b"....

修改成：

fc4883e4f0e8c8000000415141......

Java、c、ruby等同理。只需将字节数组里的16进制代码提取出来即可。注意需将得到的字符串使用base64转码。

原文件读取类型：

使用 ZheTian -h 命令可查看支持的语言。原文件无需使用base64转码，但是不支持放在远程服务器，只能通过本地 -s 命令读取，如： ZheTian -s C:/Windows/Temp/payload.java

编译：

go build -ldflags "-w -s" main.go

可以使用

go build -ldflags "-w -s -H windowsgui" main.go

实现无窗口运行。但是360偶尔会识别位恶意程序。如果目标机器无安全设备，可以尝试使用此命令打包，然后使用参数： -o true 实现写入启动项功能。

注意：打包的时候需指定是64位还是32位。默认会根据系统自动选择。而在生成payload shellcode的时候也需要选择正确的位数，否则会加载失败。使用code字节码加载时一定要使用base64加密，否则无法解析！！

后端使用了base64对读取到的字节码进行了转码，为了减小流量特征。AES/DES的加密模式太多在未标明的情况下可能导致无法解密失败，故此暂不考虑使用

Releases(v2)

v2(Jun 22, 2022)

V2版本支持Cobalt Strike、MSF原生Shellcode，无需任何处理即可直接使用，指令：

-o string：选中payload，向同级目录生成一个可执行程序（无需go语言环境）

-m int：选择要生成的系统架构，参数选择32和64，默认选中了64

本次更新采用闭源方式，V1版本继续开源。相比较移除了原本的ShellCode loader功能，只保留了生成模块。此版本进行功能优化之后可能成为最终解决方案，但是免杀之路不会停止，新ZheTian将与Hearts K合并，成为其一个子模块，欢迎继续体验新项目！感谢各位师傅一路关注。 —— 遮天项目
Source code(tar.gz)
Source code(zip)
ZheTianV2.exe(15.80 MB)
1.2.0(Nov 17, 2021)

3.18更新：微步沙箱全过、实体机Windows defender、360、卡巴斯基、火绒等主流杀软全过。注意编译使用最新版golang！！截止更新时间 go 1.18
Source code(tar.gz)
Source code(zip)
ZheTian.exe(5.95 MB)
1.0.3(Aug 30, 2021)

添加了-c、-n、-p命令
Source code(tar.gz)
Source code(zip)
ZheTian-hideGui.exe(6.01 MB)
ZheTian.exe(6.01 MB)
1.0.2(Aug 27, 2021)

更新内容：修复了添加启动项逻辑问题；优化了异常抛出；更新了readme文件；自启模块不会被腾讯、火绒等拦截，360会有提示信息但不会标毒。 TODO::编写添加Windows用户模块 ZheTian-Releases.exe 是源代码打包的64位可执行文件，可以直接上手使用。ZheTian-HideGUI-Releases.exe 是隐藏GUI版本，执行命令控制台不会有任何回显，做权限维持更简单了
Source code(tar.gz)
Source code(zip)
ZheTian-HideGUI-Releases.exe(6.16 MB)
ZheTian-Releases.exe(6.16 MB)
1.0.0(Aug 27, 2021)

version 1.0.0版本
Source code(tar.gz)
Source code(zip)
ZheTian-releases.exe(6.00 MB)

Owner

一曲成殇

hello world

GitHub Repository

一款轻量级、高性能、功能强大的内网穿透代理服务器。支持tcp、udp、socks5、http等几乎所有流量转发，可用来访问内网网站、本地支付接口调试、ssh访问、远程桌面，内网dns解析、内网socks5代理等等……，并带有功能强大的web管理端。a lightweight, high-performance, powerful intranet penetration proxy server, with a powerful web management terminal.

NPS README|中文文档 NPS is a lightweight, high-performance, powerful intranet penetration proxy server, with a powerful web management terminal. Feature C

21.9k Jun 27, 2022

red-tldr is a lightweight text search tool, which is used to help red team staff quickly find the commands and key points they want to execute, so it is more suitable for use by red team personnel with certain experience.

Red Team TL;DR English | 中文简体 What is Red Team TL;DR ? red-tldr is a lightweight text search tool, which is used to help red team staff quickly find t