DojoLoader 使用教程

1. 项目介绍

DojoLoader 是一个通用的 PE（可执行文件）加载器，最初是为了原型化睡眠混淆技术而创建的，目的是减少与 Cobalt Strike UDRL 无关的原始 Beacon 有效负载的调试时间。DojoLoader 从 ORCA000 的 DynamicDllLoader 项目中借鉴了 MemoryModule 实现，并在此基础上增加了模块化和以下功能：

• 从 HTTP 或文件下载并执行（XOR 加密）的 shellcode
• 动态 IAT（导入地址表）钩子，用于 Sleep 函数
• 三种不同的 Sleep 混淆技术：RW->RX、MemoryBouncing、MemoryHopping

2. 项目快速启动

安装

首先，你需要从 GitHub 仓库克隆 DojoLoader 项目：

git clone https://github.com/naksyn/DojoLoader.git

使用

以下是一个基本的命令行示例，用于使用 DojoLoader：

Usage: -d <url> | -f <file> [-k <key>] [-s <function>] [-beacon]

• -d <url>：从指定的 URL 加载 PE
• -f <file>：从指定的文件加载 PE
• -k <key>：用指定的密钥 XOR 加密有效负载
• -s <function>：选择睡眠混淆技术（1 或 membounce 代表 MemoryBouncing，2 或 memhop 代表 Memory Hopping，3 或 RWRX 代表经典 RW->RX）
• -beacon：使用 Cobalt Strike UDRL-les Beacon 有效负载执行方法

例如，要从文件加载并使用 MemoryBouncing 技术混淆 Sleep 函数，你可以运行：

DojoLoader.exe -f path_to_your_payload.bin -s 1 -beacon

3. 应用案例和最佳实践

应用案例

DojoLoader 可以用于红队行动中，通过混淆 Sleep 函数来规避 EDR（Endpoint Detection and Response）系统的检测。例如，在渗透测试中，可以使用 DojoLoader 来加载并执行混淆后的 Cobalt Strike Beacon 有效负载。

最佳实践

• 使用 XOR 加密来保护你的有效负载。
• 选择合适的混淆技术，以规避目标系统上的常见检测。
• 在实际部署之前，测试你的有效负载，确保它能够在目标环境中正确执行。

4. 典型生态项目

DojoLoader 是众多开源项目中的一个，以下是一些与其相关的典型生态项目：

• Cobalt Strike：一款先进的后渗透测试框架。
• DynamicDllLoader: 一个用于动态加载 DLL 的项目，为 DojoLoader 提供了 MemoryModule 实现。
• 其他混淆工具: GitHub 上有许多其他用于混淆和规避检测的开源工具。

注意：上述提到的链接只是为了提供背景信息，实际文档中不应包含任何链接。