内存技术原理与无文件落地实现方案.pdfVIP

对抗之内存（无文件落地）

原理：

内存是将shellcode直接加载进内存，由于没有文件落地，因此可以绕过文件扫描策略的查杀。为了

使内存的效果更好，在申请内存的时候一般采用渐进式申请一块可读可写内存，在运行时改为可执行，在执

行时遵循分离的思想。分离包含对特征和行为的分离的两个维度，把shellcode从放在程序转移到加

载进内存，把整块的shellcode通过分块传输的方法上传然后再拼接，这些体现了基本的‘分离’思想。

实现方法：

1、从文本中提取；2、从加载器获取；3、用协议加载；4、通过管道传输；5、通过隐写

#在我们之前的代码中，shellcode和执行代码是放在一个文件中的，当我们去编译程序的时候，exe程序

中就有shellcode，这样的话特征特别明显。所以我们通过以上几种方式去隐藏shellcode，然后再通过执行

去调用，这样来达到的效果。因为在这个过程中shellcode和是互相分离的，所以被称之为内存

技术，也叫无文