SilentMoonwalk 项目下载及安装教程

1. 项目介绍

SilentMoonwalk 是一个 PoC（概念验证）实现，旨在动态地伪造调用栈。该项目通过使用 ROP（面向返回编程）技术来解除展开与控制流的同步，从而隐藏原始调用栈。SilentMoonwalk 的主要目的是在调用任意 Windows API 时，通过伪造调用栈来隐藏原始调用者。

2. 项目下载位置

SilentMoonwalk 项目托管在 GitHub 上。你可以通过以下步骤下载该项目：

1. 打开命令行终端（如 Windows 的命令提示符或 PowerShell）。
2. 使用 git clone 命令下载项目：

git clone https://github.com/klezVirus/SilentMoonwalk.git

3. 项目安装环境配置

3.1 系统要求

• 操作系统：Windows 10 或更高版本
• 开发环境：Visual Studio 2019 或更高版本

3.2 环境配置步骤

1. 安装 Visual Studio：

   • 下载并安装 Visual Studio 2019 或更高版本。
   • 在安装过程中，确保选择“使用 C++ 的桌面开发”工作负载。

2. 配置项目属性：

   • 打开 Visual Studio，加载 SilentMoonwalk 项目。
   • 在项目属性中，确保以下配置：
     • C/C++ -> 代码生成 -> 运行库：选择“多线程调试 (/MTd)”。
     • C/C++ -> 代码生成 -> 安全检查：选择“禁用安全检查 (/GS-)”。
     • C/C++ -> 优化 -> 优化：选择“禁用 (/Od)”。
     • C/C++ -> 优化 -> 全程序优化：选择“禁用 (/GL-)”。
     • C/C++ -> 优化 -> 大小或速度：选择“禁用 (/Os, /Ot)”。
     • C/C++ -> 优化 -> 启用内部函数：选择“启用 (/Oi)”。

3.3 环境配置示例

4. 项目安装方式

1. 打开项目：

   • 在 Visual Studio 中打开下载的 SilentMoonwalk 项目。

2. 编译项目：

   • 选择“生成”菜单，然后点击“生成解决方案”。
   • 等待编译完成，确保没有错误。

3. 运行项目：

   • 在解决方案资源管理器中，右键点击 SilentMoonwalk 项目，选择“设为启动项目”。
   • 按 F5 键或点击“调试”菜单中的“开始调试”来运行项目。

5. 项目处理脚本

SilentMoonwalk 项目包含一个名为 UnwindInspector 的实用工具，用于检查运行时函数的展开信息。你可以通过以下命令使用该工具：

UnwindInspector.exe -m <module> -f <function> -a <function-address>

示例命令

UnwindInspector.exe -m kernelbase -a 0x7FFAAE12182C

输出示例

[*] Using function address 0x7ffaae12182c
Runtime Function (0x000000000000182C  0x00000000000019ED)
Unwind Info Address: 0x000000000026AA88
Version: 0
Ver + Flags: 00000000
SizeOfProlog: 0x1f
CountOfCodes: 0xc
FrameRegister: 0x0
FrameOffset: 0x0
UnwindCodes:
[00h] Frame: 0x741f - 0x04 - UWOP_SAVE_NONVOL (RDI  0x001f)
[01h] Frame: 0x0015 - 0x00 - UWOP_PUSH_NONVOL (RAX  0x0015)
[02h] Frame: 0x641f - 0x04 - UWOP_SAVE_NONVOL (RSI  0x001f)
[03h] Frame: 0x0014 - 0x00 - UWOP_PUSH_NONVOL (RAX  0x0014)
[04h] Frame: 0x341f - 0x04 - UWOP_SAVE_NONVOL (RBX  0x001f)
[05h] Frame: 0x0012 - 0x00 - UWOP_PUSH_NONVOL (RAX  0x0012)
[06h] Frame: 0xb21f - 0x02 - UWOP_ALLOC_SMALL (R11  0x001f)
[07h] Frame: 0xf018 - 0x00 - UWOP_PUSH_NONVOL (R15  0x0018)
[08h] Frame: 0xe016 - 0x00 - UWOP_PUSH_NONVOL (R14  0x0016)
[09h] Frame: 0xd014 - 0x00 - UWOP_PUSH_NONVOL (R13  0x0014)
[0ah] Frame: 0xc012 - 0x00 - UWOP_PUSH_NONVOL (R12  0x0012)
[0bh] Frame: 0x5010 - 0x00 - UWOP_PUSH_NONVOL (RBP  0x0010)

通过以上步骤，你可以成功下载、配置并运行 SilentMoonwalk 项目。