搜索

[27237] 2021-04-26_投稿2021最新免杀入门混淆加密方法揭秘（附视频）

文档创建者：s7ckTeam
浏览次数：1
最后更新：2025-01-19
2021-04-26_投稿2021最新免杀入门混淆加密方法揭秘（附视频） 投 稿   |   2 0 2 1 最 新 免 杀 入 门 混 淆 加 密 方 法 揭 秘 （ 附 视 频 ） 原 创   徐 哥   M s 0 8 0 6 7 安 全 实 验 室   2 0 2 1 - 0 4 - 2 6 收 录 于 话 题   # 奇 技 淫 巧   , 4 个 文 章 来 源 ｜ 文 章 来 源 ｜ M S 0 8 0 6 7   公 众 号 读 者 投 稿 公 众 号 读 者 投 稿 本 文 作 者 ： V a s t S k y （ M s 0 8 0 6 7 实 验 室 读 者 ） 前 言 前 言 在 日 常 的 渗 透 测 试 中 ， 我 们 直 接 将 m e t a s p o l i t 、 C S 等 工 具 直 接 生 成 的 恶 意 程 序 或 代 码 发 送 到 目 标 系 统 时 ， 通 常 会 遇 防 病 毒 和 入 侵 检 测 系 统 的 查 杀 。 这 使 得 我 们 的 程 序 被 拦 截 或 者 运 行 不 稳 定 。 有 时 候 I P 还 会 直 接 被 封 杀 ， 增 加 了 我 们 的 攻 击 难 度 ， 这 篇 文 章 中 ， 将 为 大 家 分 享 一 些 自 己 免 杀 的 学 习 方 法 论 ， 一 些 常 用 的 A V 和 I D S 规 避 技 术 ， 可 以 用 于 绕 过 一 些 安 全 软 件 。 编 码 器 编 码 器 通 过 一 定 规 律 的 编 码 算 法 ， 将 对 m e t a s p o l i t 、 C S 生 成 的 s h e l l c o d e 进 行 编 码 / 模 糊 处 理 / 变 形 ， 从 原 始 s h e l l c o d e 中 删 除 所 有 无 效 的 字 符 ， 从 而 逃 避 杀 毒 软 件 检 测 。 编 码 算 法 编 码 算 法 可 以 使 用 多 种 算 法 对 S h e l l c o d e 进 行 编 码 ， 包 括 （ 但 不 限 于 ） ： 1 、 在 特 定 位 置 添 加 垃 圾 字 节 2 、 使 用 硬 编 码 的 单 字 节 密 钥 对 字 节 进 行 X O R 或 者 加 减 法 运 算 3 、 将 字 节 移 位 某 些 特 定 位 置 4 、 交 换 连 续 字 节 或 以 任 何 一 种 或 多 种 技 术 的 复 合 。 第 一 种 编 码 第 一 种 编 码 先 来 一 个 简 单 的 编 码 方 法 ， 我 选 择 了 一 个 名 为 加 法 和 减 法 （ A D D ， S U B ） 这 是 最 早 的 一 种 加 密 方 式 。 7 7 + e b = 1 6 2   是 n   =   7 7 是 我 们 加 密 的 密 码 ， 原 始 字 节 中 的 的 每 个 字 符 都 与 7 7 相 加 。 关 于 这 个 加 密 数 ， 我 们 需 要 找 从 （ 0 - 2 5 5 ） 个 字 节 中 找 出 一 个 与 代 码 相 加 都 不 是 坏 字 符 的 数 ， 来 作 为 我 们 的 加 密 密 码 。 这 就 需 要 我 们 自 己 去 循 坏 计 算 ， 这 里 不 写 具 体 的 编 成 实 现 代 码 。
选 择 它 的 原 因 很 简 单 ： 这 个 很 容 易 实 现 ， 并 且 所 有 初 学 者 都 容 易 理 解 。 最 后 ， 我 们 把 解 码 器 放 在 s h e l l c o d e 之 前 ， 每 个 字 都 将 与 指 定 的 字 节 进 行 减 法 运 算 ， 最 后 得 到 我 们 的 原 始 的 c o d e 第 二 个 编 码 第 二 个 编 码 在 来 一 个 相 对 复 杂 一 些 的 ， 采 用 多 种 算 法 的 复 合 编 码 。 1 、 进 行 N O T 操 作 2 、 A D D 通 过 为 0 x 1 字 节 3 、 在 （ 0 - 2 5 5 ） 中 找 一 个 随 机 字 节 ， 将 字 节 与 随 机 字 节 进 行 X O R ， 并 在 s h e l l c o d e 默 认 添 加 该 字 节 ， 作 为 结 束 标 记 符 4 、 在 这 些 字 节 之 间 插 入 随 机 字 节 编 写 自 动 化 编 码 工 具 编 写 自 动 化 编 码 工 具
构 建 解 码 器 构 建 解 码 器 第 一 种 方 法 来 写 解 码 器 第 一 种 方 法 来 写 解 码 器 解 码 器 的 内 容 很 简 单 ， 解 码 器 的 下 方 是 我 们 的 加 密 后 的 代 码 。 每 次 拿 出 一 个 字 节 与 7 7 字 节 相 减 ， 将 计 算 结 果 存 入 E S I 寄 存 器 。 g l o b a l   _ s t a r t s e c t i o n   . t e x t _ s t a r t :                 j m p   s h o r t   c a l l _ d e c o d e r                 d e c o d e r :                 p o p   e s i                 d e c o d e r _ l o o p :                 ; 在 我 们 s h e l l c o d e 的 末 尾 ， 同 样 放 置 加 密 字 符 ， 当 解 码 到 文 件 末 尾 的 时 候 ， 可 以 直 接 跳 转 到 s h e l l c o d e 地 方 执 行                 s u b   b y t e [ e s i ] , 7 7 ;                 j z   s h e l l c o d e                 i n c   e s i                 j m p   s h o r t   d e c o d e r _ l o o p                 c a l l _ d e c o d e r :                 c a l l   d e c o d e r 第 二 种 解 码 方 式 第 二 种 解 码 方 式 首 先 ， 我 们 需 要 将 解 码 的 s h e l l c o d e 放 在 某 个 地 方 ， 我 们 使 用 J M P 指 令 跳 转 到 执 行 解 码 器 函 数 的 地 方 ， 最 后 使 用 P O P   E S I 将 s h e l l c o d e 地 址 放 在 E S I 寄 存 器 中 间 。 我 们 首 先 要 做 的 就 是 删 除 s h e l l c o d e 每 个 字 节 中 间 的 随 机 字 节 。 先 来 看 一 下 s h e l l c o d e 的 规 律 A       r       B       r       C       r       D       r       E       r       F       r       G       e E S I         E S I + 2     E S I + 4 E D I   E D I + 1 E S I 寄 存 器 每 次 加 2 就 是 s h e l l c o d e 的 位 置 E D I 加 1 就 是 运 算 后 存 放 的 位 置 自 动 化 编 码 过 程 自 动 化 编 码 过 程 首 先 加 密 字 节 应 该 注 意 的 是 ， 加 密 字 节 和 加 密 后 的 字 节 都 不 应 该 包 含 坏 字 符 。 不 是 每 个 字 节 都 手 动 与 指 定 字 节 进 行 运 算 的 。 然 后 处 理 未 编 码 的 s h e l l c o d e 中 的 每 个 字 节 - 我 创 建 了 一 个 小 的 P y t h o n 脚 本 ， 可 以 帮 自 动 完 成 这 些 计 算 。 在 选 择 加 密 字 节 的 时 候 ， 我 们 是 从 0 - 2 5 5 中 随 机 便 利 选 择 的 ， 这 意 味 着 两 次 对 相 同 的 c o d e 进 行 编 码 可 能 不 会 两 次 产 生 相 同 的 输 出 。 这 里 只 说 实 现 方 法 ， 代 码 准 备 做 以 整 套 的 暂 时 不 公 布 ， 有 能 力 的 可 以 尝 试 自 己 写 一 个 。 测 试 编 码 器 我 们 使 用 编 写 器 对 c o d e 进 行 编 码 得 到
代 码 x e b x 0 9 x 5 e x 8 0 x 2 e x 9 e x 7 4 x 0 8 x 4 6 x e b x f 8 x e 8 x f 2 x f f x f f x f f x d f x e 0 x e 1 x e 2 x 9 e 通 过 o l l y d b g 进 行 调 试 ， c o d e 被 成 功 解 码 最 后 通 过 v i r S c a n 扫 描 看 一 下 效 果 ， 国 内 杀 软 都 可 以 过 。
全 程 录 制 了 个 视 频 ， 直 接 上 视 频 来 看 看 这 方 方 法 的 免 杀 效 果 吧 。
目 前 目 前 4 0 0 0 0 + 人 已 关 注 加 入 我 们 人 已 关 注 加 入 我 们
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理