纪念我在乙方安全公司工作的2年_关于远控

　　乙方安全公司工作主要还是往外卖一些安全产品。比如做数据取证的，入侵检测的，或者往外卖硬件的IDS IPS没有实力的就买别家的产品自己贴牌，深深感受到乙方公司关系取得订单和销售的重要。我之前的公司还是做取数据的比较多。既然要拿数据一套好用的远控是必不可少的。在乙方公司的这段时间特别感谢小鱼 hack970。学到了好多东西，不管是技术上还是精神上。得到了很多鼓励。

如果要取境外的数据的话。远控从结构上要考虑这三点。

1 多协议穿墙。这方面就是Plug X 做的是比较好的，好像再没有看到比较出彩的。也可能是Plug X 卖的也太多了所以广为人知了。

比方说DNS HTTP ICMP TCP UDP多协议封包穿墙。但是实战的时候内网渗透受网关限制的情况比较多。

a网关有发包数量的限制，一旦超越了这个限制，便不再接受数据包的向外传输

b内网相关的隔离，只有.3的机器允许外连出网，但是你的那个是.5的机器。但是多协议穿墙这个在做境外高端客户的时候是无法绕过的。

2 免杀

这里说的免杀就不是A1pass讲的那种用ccl之类的工具去定位特征码然后修改PE特征去躲杀软，而是要从根本上就要解决掉免杀问题。

AVG Avast 小红伞趋势麦咖啡 nod32 Norton 卡巴斯基熊猫卫士安博士基本当地地区可能出现的杀毒软件在发出去之前都要过一遍。

大体上来说现在远控为了免杀分两种

a dll+内存加载的形式 (这种形式就好在dll编写起来比较轻松) 然后自己写一个shellcode的内存pe loader直接把dll转成shellcode 然后alloc一块内存eip指过去就好了

转换成shellcode之后的dll文件大体就是这样的布局。

//-----------------------------------------------------
//|---shellcode---|---TShellData---|---dll文件---|
//-----------------------------------------------------

我还是习惯用C来写shellcode，会在shellcode尾部附着一个结构，用来解决全局变量的问题。当然Delphi真心更适合写shellcode。

b 纯shellcode的远控。这段时间抽时间又改了一版出来 shellcode的好处就是可以编码加密，免杀性好，如果没忘记ben29a病毒时代多态BPE32的话，用多态引擎处理下shellcode更是好选择。支持xp_win8.1 (x32 x64) 上图留念一下。