最近在学习木马分析，网上关于银狐的源码分析目前还没看到，挖个坑学一学银狐（winos 4.0）的源码。

客户生成/BuildDlg.cpp 是生成客户端的窗口类(CBuildDlg)的实现代码，是由下面几个函数实现客户端的生成：

生成过程由CBuildDlg::build函数进行控制，被上面几个函数进行调用，此处为核心代码：

整体流程为：

其中获取配置信息的getsettingdata()函数尤为重要，配置信息由客户端界面进行设置，部分为默认值：

生成客户端（exe）的日志如下：

其中 上线模块.bin -> output_64.exe 流程由 CBuildDlg::changedataandwritefile()函数控制，具体流程为：

上述流程详细来说：

也就是说，.bin 文件实际上就是预先编译好的exe文件，最后进行：

生成客户端（dll）的日志为：

生成dll的核心函数为CBuildDlg::OnBnClickedBuilddll()，具体流程为：

首先会询问是否加载DLL入口点的原因是这个dll可以使用两种执行方式：

DLL生成时需要额外处理导出函数，这里额外使用了一个标记 "zidingyixiugaidaochuhanshu"：

生成过程中会将这个函数名替换到DLL模板中预设的"zidingyixiugaidaochuhanshu"标记位置。在代码中导出函数名是通过界面上的 m_edit_dll 变量控制的，其默认值为"run"：

银狐的设计比较灵活，对比两种dll执行方式，各有优缺点：

DllMain执行：

导出函数执行：

生成Shellcode的主要流程在OnBnClickedBuildShellcode和changeshellcodeandwritefile这两个函数中。主要流程如下：

首先提示用户Shellcode的限制：

准备Shellcode的配置信息：

读取Shellcode模板文件：

组合Shellcode数据：

写出Shellcode文件：

其中Shellcode的数据结构为：

数据排列方式：

可以看到这里使用的是执行代码.dll而不是上线模块.dll，是因为执行代码.dll和上线模块.dll的用途和结构是不同的：

上线模块.dll：

执行代码.dll：

执行代码.dll的源码ShellCode_main.cpp的实现核心为：

从执行代码.dll(shellcode)下载的payload是上线模块.dll/.bin：

最后Shellcode完整执行方式为：

powershell 目前很少用到，并且有一定限制，本文主要针对几种主要使用的客户端生成流程进行分析，如有问题欢迎指正。

[培训]内核驱动高级班，冲击BAT一流互联网大厂工作，每周日13:00-18:00直播授课