概述
在这篇文章中，我们将跟大家介绍如何使用ShadowMove技术在合法程序的网络连接中隐藏自己的恶意链接。我们将展示两个使用ShadowMove技术的PoC，并隐藏我们的恶意软件所建立的连接。第一种方法是完全可靠的，但是第二种方法有自己的问题，如果你要在实际操作中使用它，就必须解决这些问题，我们将在文章的最后讨论这些问题。
ShadowMove介绍
ShadowMove是一种从non-cooperative进程中劫持Socket的新技术，发布于00年USENIX大会上的一篇标题为《ShadowMove:AStealthyLateralMovementStrategy》的文章首次讨论了这一技术。这种技术利用了以下事实：AFD（辅助函数驱动程序）文件句柄被WindowsAPI视为Socket句柄，因此可以使用WSADuplicateSocket()函数来复制它们。
从non-cooperative进程劫持Socket的一种常见模式，是从进程注入开始的，以便加载我们自己的逻辑来查找和复用目标Socket。但是在ShadowMove技术的帮助下，我们完全不需要注入任何东西：它只需要打开具有PROCESS_DUP_HANDLE权限的进程句柄。
在这个句柄的帮助下，我们可以开始复制所有其他的文件句柄，直到找到名为\Device\Afd的文件句柄，然后使用getpeername()检查它是否属于与目标的连接。
为什么这项技术对于红队来说非常有意思？
在我们最近的一次红队评估过程中，我们不得不在目标设备中安装我们的键盘记录器，但是它会屏蔽任何由非白名单二进制文件建立的任何连接。为了避免这个问题，我们需要向一个允许向外建立连接的进程中注入我们的键盘记录器。但是在ShadowMove技术的帮助下，我们可以避免任何可能由注入产生的噪声（没错，我们可以使用其他方法来绕过EDR，但到目前为止，这种方法更干净）。
在合法进程中隐藏到CC的连接
假设我们有一个键盘记录程序，我们想使用ShadowMove将截获的密钥发送到我们的CC。每当我们必须发送一批密钥时，我们需要运行一个合法的程序并尝试连接到我们的CC，比如说mssql客户端。当建立连接之后，我们必须使用键盘记录器来劫持连接。当然，在企业环境中，我们还需要通过企业代理来设置连接，而不是直接连接到CC，但是让我们暂时忘记这一点。
ShadowMove技术的实现步骤如下：
使用PROCESS_DUP_HANDLE权限打开所有者进程；
每一个句柄为0x4（文件）类型；
复制句柄；
检索句柄名称；
如果名称不是\device\afd，则跳过；
获取远程IP和远程端口号；
如果远程IP和端口与输入参数不匹配，则跳过；
调用WSADuplicateSocketW以获取特殊的WSAPROTOCOL_INFO结构；
创建重复的Socket；
使用这个Socket；
为此，我们创建了一个名为“ShadowMoveGateway”的PoC。基本上，我们只需要提供进程PID和我们CC的IP地址即可：
/PoCofShadowMoveGatewaybyJuanManuelFernández(
TheXC3LL)#define_WINSOCK_DEPRECATED_NO_WARNINGS#includewinsock.h#includeWindows.h#includestdio.h#pragma
