搜索

[26944] 2020-03-25_远控免杀专题(12)-Green-Hat-Suite免杀(VT免杀率2370)

文档创建者：s7ckTeam
浏览次数：1
最后更新：2025-01-19
2020-03-25_远控免杀专题(12)-Green-Hat-Suite免杀(VT免杀率2370) 远 控 免 杀 专 题 ( 1 2 ) - G r e e n - H a t - S u i t e 免 杀 ( V T 免 杀 率 2 3 / 7 0 ) M s 0 8 0 6 7 安 全 实 验 室   2 0 2 0 - 0 3 - 2 5 以 下 文 章 来 源 于 T i d e 安 全 团 队   ， 作 者 重 剑 无 锋 声 明 ： 文 中 所 涉 及 的 技 术 、 思 路 和 工 具 仅 供 以 安 全 为 目 的 的 学 习 交 流 使 用 ， 任 何 人 不 得 将 其 用 于 非 法 用 途 以 及 盈 利 等 目 的 ， 否 则 后 果 自 行 承 声 明 ： 文 中 所 涉 及 的 技 术 、 思 路 和 工 具 仅 供 以 安 全 为 目 的 的 学 习 交 流 使 用 ， 任 何 人 不 得 将 其 用 于 非 法 用 途 以 及 盈 利 等 目 的 ， 否 则 后 果 自 行 承 担 ！ 担 ！ 本 专 题 文 章 导 航 本 专 题 文 章 导 航 1 、 远 控 免 杀 专 题 ( 1 ) - 基 础 篇 ： h t t p s : / / m p . w e i x i n . q q . c o m / s / 3 L Z _ c j 2 g D C 1 b Q A T x q B f w e g 2 、 远 控 免 杀 专 题 ( 2 ) - m s f v e n o m 隐 藏 的 参 数 ： h t t p s : / / m p . w e i x i n . q q . c o m / s / 1 r 0 i a k L p n L r j C r O p 2 g T 1 0 w 3 、 远 控 免 杀 专 题 ( 3 ) - m s f 自 带 免 杀 ( V T 免 杀 率 3 5 / 6 9 ) ： h t t p s : / / m p . w e i x i n . q q . c o m / s / A 0 C Z s l L h C L O K _ H g k H G c p E A 4 、 远 控 免 杀 专 题 ( 4 ) - E v a s i o n 模 块 ( V T 免 杀 率 1 2 / 7 1 ) ： h t t p s : / / m p . w e i x i n . q q . c o m / s / Y n n C M 7 W 2 0 x S c v 5 2 k _ u b x Y Q 5 、 远 控 免 杀 专 题 ( 5 ) - V e i l 免 杀 ( V T 免 杀 率 2 3 / 7 1 ) : h t t p s : / / m p . w e i x i n . q q . c o m / s / - P H V I A Q V y U 8 Q I p H w c p N 4 y w 6 、 远 控 免 杀 专 题 ( 6 ) - V e n o m 免 杀 ( V T 免 杀 率 1 1 / 7 1 ) : h t t p s : / / m p . w e i x i n . q q . c o m / s / C b f x u p S W E P B 8 6 t B Z s m x N C Q 7 、 远 控 免 杀 专 题 ( 7 ) - S h e l l t e r 免 杀 ( V T 免 杀 率 7 / 6 9 ) ： h t t p s : / / m p . w e i x i n . q q . c o m / s / A S n l d n 6 n k 6 8 D 4 b w k f Y m 3 G g 8 、 远 控 免 杀 专 题 ( 8 ) - B a c k D o o r - F a c t o r y 免 杀 ( V T 免 杀 率 1 3 / 7 1 ) ： h t t p s : / / m p . w e i x i n . q q . c o m / s / A 3 0 J H h X h w e 4 5 x V 7 h v 8 j v V Q 9 、 远 控 免 杀 专 题 ( 9 ) - A v e t 免 杀 ( V T 免 杀 率 1 4 / 7 1 ) ： h t t p s : / / m p . w e i x i n . q q . c o m / s / E I f q A b M C 8 H o C 6 x c Z P 9 S X p A 1 0 、 远 控 免 杀 专 题 ( 1 0 ) - T h e F a t R a t 免 杀 ( V T 免 杀 率 2 2 / 7 0 ) ： h t t p s : / / m p . w e i x i n . q q . c o m / s / z O v w f m E t b k p G W W B n 6 4 2 I C A 1 1 、 远 控 免 杀 专 题 ( 1 1 ) - A v o i d z 免 杀 ( V T 免 杀 率 2 3 / 7 1 ) ： h t t p s : / / m p . w e i x i n . q q . c o m / s / T n f T X i h l y v 6 9 6 u C i v 3 a W f g 1 2 、 远 控 免 杀 专 题 ( 1 2 ) - G r e e n - H a t - S u i t e 免 杀 ( V T 免 杀 率 2 3 / 7 0 ) ： 本 文 文 章 打 包 下 载 及 相 关 软 件 下 载 ： 文 章 打 包 下 载 及 相 关 软 件 下 载 ： 免 杀 能 力 一 览 表 免 杀 能 力 一 览 表 T i d e 安 全 团 队 安 全 团 队   . T i d e 安 全 团 队 以 信 安 技 术 研 究 为 目 标 ， 致 力 于 分 享 高 质 量 原 创 文 章 、 开 源 安 全 工 具 、 交 流 安 全 技 术 ， 研 究 方 向 覆 盖 网 络 攻 防 、 W e b 安 全 、 移 动 终 端 、 安 全 开 发 、 物 联 网 / 工 控 安 全 / A I 安 全 等 多 个 领 域 ， 对 安 全 感 兴 趣 的 小 伙 伴 可 以 关 注 我 们 。 h t t p s : / / g i t h u b . c o m / T i d e S e c / B y p a s s A n t i V i r u s
几 点 说 明 ： 几 点 说 明 ： 1 、 上 表 中 标 识 、 上 表 中 标 识   √   说 明 相 应 杀 毒 软 件 未 检 测 出 病 毒 ， 也 就 是 代 表 了 说 明 相 应 杀 毒 软 件 未 检 测 出 病 毒 ， 也 就 是 代 表 了 B y p a s s 。 。 2 、 为 了 更 好 的 对 比 效 果 ， 大 部 分 测 试 、 为 了 更 好 的 对 比 效 果 ， 大 部 分 测 试 p a y l o a d 均 使 用 均 使 用 m s f 的 的 模 块 生 成 。 模 块 生 成 。 3 、 由 于 本 机 测 试 时 只 是 安 装 了 、 由 于 本 机 测 试 时 只 是 安 装 了 3 6 0 全 家 桶 和 火 绒 ， 所 以 默 认 情 况 下 全 家 桶 和 火 绒 ， 所 以 默 认 情 况 下 3 6 0 和 火 绒 杀 毒 情 况 指 的 是 静 态 和 火 绒 杀 毒 情 况 指 的 是 静 态 + 动 态 查 杀 。 动 态 查 杀 。 3 6 0 杀 毒 版 本 杀 毒 版 本 ( 2 0 2 0 . 0 1 . 0 1 ) ， 火 绒 版 本 ， 火 绒 版 本 ( 2 0 2 0 . 0 1 . 0 1 ) ， ， 3 6 0 安 全 卫 士 安 全 卫 士 ( 2 0 2 0 . 0 1 . 0 1 ) 。 。 4 、 其 他 杀 软 的 检 测 指 标 是 在 、 其 他 杀 软 的 检 测 指 标 是 在 （ 简 称 （ 简 称 V T ） 上 在 线 查 杀 ， 所 以 可 能 只 是 代 表 了 静 态 查 杀 能 力 ， 数 据 仅 供 参 考 ， 不 足 以 作 为 免 杀 的 精 确 判 断 指 标 。 ） 上 在 线 查 杀 ， 所 以 可 能 只 是 代 表 了 静 态 查 杀 能 力 ， 数 据 仅 供 参 考 ， 不 足 以 作 为 免 杀 的 精 确 判 断 指 标 。 5 、 完 全 不 必 要 苛 求 一 种 免 杀 技 术 能 、 完 全 不 必 要 苛 求 一 种 免 杀 技 术 能 b y p a s s 所 有 杀 软 ， 这 样 的 技 术 肯 定 是 有 的 ， 只 是 没 被 公 开 ， 一 旦 公 开 第 二 天 就 能 被 杀 了 ， 其 实 我 们 只 要 能 所 有 杀 软 ， 这 样 的 技 术 肯 定 是 有 的 ， 只 是 没 被 公 开 ， 一 旦 公 开 第 二 天 就 能 被 杀 了 ， 其 实 我 们 只 要 能 b y p a s s 目 标 主 机 上 的 杀 软 就 足 够 了 。 目 标 主 机 上 的 杀 软 就 足 够 了 。 w i n d o w s / m e t e r p e r t e r / r e v e r s e _ t c p 5 . 0 . 0 . 8 1 6 0 5 . 0 . 3 4 . 1 6 1 2 . 0 . 0 . 2 0 0 2 v i r u s t o t a l . c o m
一 、 一 、 G r e e n - H a t - S u i t e 介 绍 介 绍 G r e e n - H a t - S u i t e 是 国 内 大 佬 的 大 作 ， 大 佬 在 f r e e b u f 和 自 己 博 客 上 写 了 很 多 免 杀 相 关 的 文 章 ， 开 始 的 几 篇 文 章 里 面 有 一 些 知 识 点 就 是 从 他 那 学 到 的 ， 而 且 m s f v e n o m 命 令 自 动 补 全 脚 本 也 是 出 自 他 之 手 ， 之 前 有 的 知 识 点 写 的 不 太 准 备 大 佬 也 热 情 的 给 予 指 正 ， 万 分 感 谢 ！ G r e e n - H a t - S u i t e 也 是 和 m s f 无 缝 对 接 的 免 杀 工 具 ， 使 用 r u b y 开 发 ， 可 在 l i n u x / w i n d o w s 上 安 装 ， 使 用 非 常 简 单 ， 虽 然 已 经 接 近 两 年 没 有 更 新 了 ， 但 目 前 来 看 免 杀 效 果 仍 然 很 不 错 。 二 、 安 装 二 、 安 装 G r e e n - H a t - S u i t e 官 方 主 页 1 、 在 k a l i / u b u n t u / d e b i a n 中 安 装 需 要 安 装 m i n g w - w 6 4 、 w i n e 、 m e t a s p l o i t 等 ， 如 果 之 前 已 经 安 装 则 不 需 要 从 g i t h u b 上 c l o n e 下 来 安 装 依 赖 程 序 2 、 w i n d o w s 安 装 从 g i t h u b 上 c l o n e 下 来 在 p o w e r s h e l l 中 执 行 其 中 的 ， 也 是 安 装 r u b y 、 m s f 、 g c c 、 m i n g w - w 6 4 这 些 ， 作 者 说 比 较 慢 ， 我 没 在 w i n d o w s 下 安 装 ， 如 有 需 要 请 自 行 在 w i n d o w s 下 安 装 测 试 。 三 、 三 、 G r e e n - H a t - S u i t e 使 用 说 明 使 用 说 明 作 者 提 供 了 一 个 使 用 说 明 G r e e n - m G r e e n - m h t t p s : / / g r e e n - m . m e / h t t p s : / / g i t h u b . c o m / G r e e n - m / g r e e n - h a t - s u i t e g i t   c l o n e   h t t p s : / / g i t h u b . c o m / G r e e n - m / g r e e n - h a t - s u i t e a p t - g e t   i n s t a l l   m e t a s p l o i t - f r a m e w o r k   g e m   i n s t a l l   o s       a p t - g e t   i n s t a l l   m i n g w - w 6 4 a p t - g e t   i n s t a l l   w i n e #   安 装 t d m - g c c T M P = ` m k t e m p   / t m p / X X X X X X X X X . e x e `   & &   w g e t   h t t p s : / / s o u r c e f o r g e . n e t / p r o j e c t s / t d m - g c c / f i l e s / l a t e s t / d o w n l o a d   - O   $ T M P   & &   w i n e   $ T M P   & &   r m   $ T M P g i t   c l o n e   h t t p s : / / g i t h u b . c o m / G r e e n - m / g r e e n - h a t - s u i t e i n s t a l l . p s 1 h t t p s : / / g i t h u b . c o m / G r e e n - m / g r e e n - h a t - s u i t e / w i k i / U s e - g r e e n - h a t - s u i t e
进 入 G r e e n - H a t - S u i t e 文 件 夹 ， 执 行 根 据 提 示 选 择 p a y l o a d 就 可 以 r u b y   g r e e n h a t . r b
其 中 有 个 其 他 选 项 的 设 置 ， 可 以 参 考 m s f 的 p a y l o a d 高 级 选 项 , 在 m s f 中 使 用 即 可 查 看 a d v a n c e d
感 兴 趣 的 可 以 看 看 l i b 目 录 下 的 一 些 处 理 过 程 。 四 、 生 成 后 门 四 、 生 成 后 门
先 用 常 规 的 r e v e r s e _ t c p 生 成 后 门 试 一 下 ， 所 有 都 用 默 认 选 项 不 开 杀 软 时 ， 可 正 常 上 线 打 开 杀 软 进 行 测 试 ， 可 过 火 绒 的 静 态 查 杀 ， 但 行 为 查 杀 时 3 6 0 和 火 绒 均 能 查 杀
v i r u s t o t a l . c o m 中 2 7 / 7 1 个 报 毒 因 为 G r e e n - H a t - S u i t e 使 用 了 多 种 方 式 对 s h e l l o c d e 进 行 处 理 ， 所 以 导 致 每 次 生 成 的 s h e l l c o d e 都 不 同 ， 被 查 杀 的 概 率 也 不 一 样 。 后 来 试 了 下 其 他 几 个 p a y l o a d ， 目 前 最 好 的 查 杀 结 果 是 1 7 / 7 1 ， 还 有 几 次 都 是 在 2 0 - 3 0 / 7 0 范 围 内 波 动 ， 也 有 个 别 的 查 杀 率 在 3 0 - 4 0 之 间 。
v i r u s t o t a l . c o m 中 2 3 / 7 0 个 报 毒 五 、 小 结 五 、 小 结 G r e e n - H a t - S u i t e 调 用 了 m s f v e n o m 进 行 随 机 编 码 生 成 s h e l l c o d e ， 然 后 G r e e n - H a t - S u i t e 对 s h e l l c o d e 进 行 多 重 免 杀 处 理 混 淆 ， 并 最 终 编 译 生 成 不 同 的 e x e 后 门 文 件 。 虽 然 原 理 不 算 复 杂 ， 但 两 年 前 的 作 品 ， 至 今 来 说 免 杀 效 果 仍 很 不 错 。 参 考 参 考 官 方 使 用 教 程 ： 扫 描 下 方 二 维 码 学 习 更 多 安 全 知 识 ： 扫 描 下 方 二 维 码 学 习 更 多 安 全 知 识 ： h t t p s : / / g i t h u b . c o m / G r e e n - m / g r e e n - h a t - s u i t e / w i k i / U s e - g r e e n - h a t - s u i t e
M s 0 8 0 6 7 安 全 实 验 室 安 全 实 验 室 专 注 于 普 及 网 络 安 全 知 识 。 团 队 已 出 版 《 W e b 安 全 攻 防 ： 渗 透 测 试 实 战 指 南 》 ， 《 内 网 安 全 攻 防 ： 《 内 网 安 全 攻 防 ： 渗 透 测 试 实 战 指 南 》 渗 透 测 试 实 战 指 南 》 ， 目 前 在 编 P y t h o n 渗 透 测 试 ， J A V A 代 码 审 计 和 二 进 制 逆 向 方 面 的 书 籍 。 团 队 公 众 号 定 期 分 享 关 于 C T F 靶 场 、 内 网 渗 透 、 A P T 方 面 技 术 干 货 ， 从 零 开 始 、 以 实 战 落 地 为 主 ， 致 力 于 做 一 个 实 用 的 干 货 分 享 型 公 众 号 。 官 方 网 站 ： w w w . m s 0 8 0 6 7 . c o m
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理