搜索

[26886] 2019-12-26_远控免杀专题文章(1)-基础篇

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-19
2019-12-26_远控免杀专题文章(1)-基础篇 远 控 免 杀 专 题 文 章 ( 1 ) - 基 础 篇 M s 0 8 0 6 7 安 全 实 验 室   2 0 1 9 - 1 2 - 2 6 以 下 文 章 来 源 于 T i d e S e c 安 全 团 队   ， 作 者 重 剑 无 锋 前 前 言 言 一 直 是 从 事 w e b 安 全 多 一 些 ， 对 w a f 绕 过 还 稍 微 有 些 研 究 ， 但 是 对 远 控 免 杀 的 认 知 还 大 约 停 留 在 A S P a c k 、 U P X 加 壳 免 杀 的 年 代 。 近 两 年 随 着 h w 和 红 蓝 对 抗 的 增 多 ， 接 触 到 的 提 权 、 内 网 渗 透 、 域 渗 透 也 越 来 越 多 。 攻 击 能 力 有 没 有 提 升 不 知 道 ， 但 防 护 水 平 明 显 感 觉 提 升 了 一 大 截 ， 先 不 说 防 护 人 员 的 技 术 水 平 如 果 ， 最 起 码 各 种 云 W A F 、 防 火 墙 、 隔 离 设 备 部 署 的 多 了 ， 服 务 器 上 也 经 常 能 见 到 安 装 了 杀 软 、 软 w a f 、 a g e n t 等 等 ， 特 别 是 某 数 字 杀 软 在 国 内 服 务 器 上 尤 为 普 及 。 这 个 时 候 ， 不 会 点 免 杀 技 术 就 非 常 吃 亏 了 。 但 是 因 为 对 逆 向 和 二 进 制 都 不 大 熟 ， 编 译 运 行 别 人 的 代 码 都 比 较 费 劲 ， 这 时 候 就 只 能 靠 现 成 的 工 具 来 曲 线 救 国 了 。 为 了 ， 从 互 联 网 上 搜 集 了 二 三 十 种 免 杀 的 方 法 ， 对 m s f 或 C S 进 行 免 杀 测 试 ， 大 部 分 都 是 互 联 网 已 有 的 方 法 ， 感 谢 大 佬 们 的 无 私 分 享 ， 我 只 是 进 行 了 重 新 汇 总 整 理 。 实 验 主 要 是 使 用 了 m e t a s p l o i t 或 c o b a l t s t r i k e 生 成 的 代 码 或 程 序 进 行 免 杀 处 理 ， 在 实 验 机 器 上 安 装 了 3 6 0 全 家 桶 和 火 绒 进 行 本 地 测 试 ， 在 上 进 行 在 线 查 杀 。 第 一 篇 内 容 比 较 水 ， 主 要 介 绍 了 一 下 杀 毒 软 件 工 作 原 理 和 免 杀 原 理 ， 大 部 分 内 容 都 来 自 互 联 网 。 免 杀 概 念 免 杀 概 念 免 杀 ， 也 就 是 反 病 毒 （ A n t i V i r u s ） 与 反 间 谍 （ A n t i S p y w a r e ） 的 对 立 面 ， 英 文 为 A n t i - A n t i V i r u s （ 简 写 V i r u s   A V ） ， 逐 字 翻 译 为 “ 反 - 反 病 毒 ” ， 翻 译 为 “ 反 杀 毒 技 术 ” 。 杀 毒 软 件 检 测 方 式 杀 毒 软 件 检 测 方 式 扫 描 技 术 扫 描 技 术 1 、 扫 描 压 缩 包 技 术 ： 即 是 对 压 缩 包 案 和 封 装 文 件 作 分 析 检 查 的 技 术 。 2 、 程 序 窜 改 防 护 ： 即 是 避 免 恶 意 程 序 借 由 删 除 杀 毒 侦 测 程 序 而 大 肆 破 坏 电 脑 。 3 、 修 复 技 术 ： 即 是 对 恶 意 程 序 所 损 坏 的 文 件 进 行 还 原 4 、 急 救 盘 杀 毒 ： 利 用 空 白 U 盘 制 作 急 救 启 动 盘 ， 来 检 测 电 脑 病 毒 。 T i d e S e c 安 全 团 队 安 全 团 队   . T i d e 安 全 团 队 以 信 安 技 术 研 究 为 目 标 ， 致 力 于 分 享 高 质 量 原 创 文 章 、 开 源 安 全 工 具 、 交 流 安 全 技 术 ， 研 究 方 向 覆 盖 网 络 攻 防 、 W e b 安 全 、 移 动 终 端 、 安 全 开 发 、 物 联 网 / 工 控 安 全 / A I 安 全 等 多 个 领 域 ， 对 安 全 感 兴 趣 的 小 伙 伴 可 以 关 注 我 们 。 h t t p s : / / w w w . v i r u s t o t a l . c o m /
5 、 智 能 扫 描 ： 扫 描 最 常 用 的 磁 盘 ， 系 统 关 键 位 置 ， 耗 时 较 短 。 6 、 全 盘 扫 描 ： 扫 描 电 脑 全 部 磁 盘 ， 耗 时 较 长 。 7 、 勒 索 软 件 防 护 ： 保 护 电 脑 中 的 文 件 不 被 黑 客 恶 意 加 密 。 8 、 开 机 扫 描 ： 当 电 脑 开 机 时 自 动 进 行 扫 描 ， 可 以 扫 描 压 缩 文 档 和 可 能 不 需 要 的 程 序 监 控 技 术 监 控 技 术 1 、 内 存 监 控 ： 当 发 现 内 存 中 存 在 病 毒 的 时 候 ， 就 会 主 动 报 警 ； 监 控 所 有 进 程 ； 监 控 读 取 到 内 存 中 的 文 件 ； 监 控 读 取 到 内 存 的 网 络 数 据 。 2 、 文 件 监 控 ： 当 发 现 写 到 磁 盘 上 的 文 件 中 存 在 病 毒 ， 或 者 是 被 病 毒 感 染 ， 就 会 主 动 报 警 。 3 、 邮 件 监 控 ： 当 发 现 电 子 邮 件 的 附 件 存 在 病 毒 时 进 行 拦 截 。 4 、 网 页 防 护 ： 阻 止 网 络 攻 击 和 不 安 全 下 载 。 5 、 行 为 防 护 ： 提 醒 用 户 可 疑 的 应 用 程 序 行 为 。 扫 描 引 擎 扫 描 引 擎 特 征 码 扫 描 特 征 码 扫 描 机 制 ： 将 扫 描 信 息 与 病 毒 数 据 库 （ 即 所 谓 的 “ 病 毒 特 征 库 ” ） 进 行 对 照 ， 如 果 信 息 与 其 中 的 任 何 一 个 病 毒 特 征 符 合 ， 杀 毒 软 件 就 会 判 断 此 文 件 被 病 毒 感 染 。 杀 毒 软 件 在 进 行 查 杀 的 时 候 ， 会 挑 选 文 件 内 部 的 一 段 或 者 几 段 代 码 来 作 为 他 识 别 病 毒 的 方 式 ， 这 种 代 码 就 叫 做 病 毒 的 特 征 码 ； 在 病 毒 样 本 中 ， 抽 取 特 征 代 码 ； 抽 取 的 代 码 比 较 特 殊 ， 不 大 可 能 与 普 通 正 常 程 序 代 码 吻 合 ； 抽 取 的 代 码 要 有 适 当 长 度 ， 一 方 面 维 持 特 征 代 码 的 唯 一 性 ， 另 一 方 面 保 证 病 毒 扫 描 时 候 不 要 有 太 大 的 空 间 与 时 间 的 开 销 。 特 征 码 类 别 ： 1 . 文 件 特 征 码 ： 对 付 病 毒 在 文 件 中 的 存 在 方 式 ： 单 一 文 件 特 征 码 、 复 合 文 件 特 征 码 （ 通 过 多 处 特 征 进 行 判 断 ） ； 2 . 内 存 特 征 码 ： 对 付 病 毒 在 内 存 中 的 存 在 方 式 ： 单 一 内 存 特 征 码 、 复 合 内 存 特 征 码 优 点 ： 速 度 快 ， 配 备 高 性 能 的 扫 描 引 擎 ； 准 确 率 相 对 比 较 高 ， 误 杀 操 作 相 对 较 少 ； 很 少 需 要 用 户 参 与 。 缺 点 ： 采 用 病 毒 特 征 代 码 法 的 检 测 工 具 ， 面 对 不 断 出 现 的 新 病 毒 ， 必 须 不 断 更 新 病 毒 库 的 版 本 ， 否 则 检 测 工 具 便 会 老 化 ， 逐 渐 失 去 实 用 价 值 ； 病 毒 特 征 代 码 法 对 从 未 见 过 的 新 病 毒 ， 无 法 知 道 其 特 征 代 码 ， 因 而 无 法 去 检 测 新 病 毒 ； 病 毒 特 征 码 如 果 没 有 经 过 充 分 的 检 验 ， 可 能 会 出 现 误 报 ， 数 据 误 删 ， 系 统 破 坏 ， 给 用 户 带 来 麻 烦 。 文 件 校 验 和 法 文 件 校 验 和 法 对 文 件 进 行 扫 描 后 ， 可 以 将 正 常 文 件 的 内 容 ， 计 算 其 校 验 和 ， 将 该 校 验 和 写 入 文 件 中 或 写 入 别 的 文 件 中 保 存 ； 在 文 件 使 用 过 程 中 ， 定 期 地 或 每 次 使 用 文 件 前 ， 检 查 文 件 现 在 内 容 算 出 的 校 验 和 与 原 来 保 存 的 校 验 和 是 否 一 致 ， 因 而 可 以 发 现 文 件 是 否 感 染 病 毒 。
进 程 行 为 监 测 法 进 程 行 为 监 测 法 ( 沙 盒 模 式 沙 盒 模 式 ) 机 制 ： 通 过 对 病 毒 多 年 的 观 察 、 研 究 ， 有 一 些 行 为 是 病 毒 的 共 同 行 为 ， 而 且 比 较 特 殊 ， 在 正 常 程 序 中 ， 这 些 行 为 比 较 罕 见 。 当 程 序 运 行 时 ， 监 视 其 进 程 的 各 种 行 为 ， 如 果 发 现 了 病 毒 行 为 ， 立 即 报 警 。 优 缺 点 ： 1 . 优 点 ： 可 发 现 未 知 病 毒 、 可 相 当 准 确 地 预 报 未 知 的 多 数 病 毒 ； 2 . 缺 点 ： 可 能 误 报 警 、 不 能 识 别 病 毒 名 称 、 有 一 定 实 现 难 度 、 需 要 更 多 的 用 户 参 与 判 断 ； 主 动 防 御 技 术 主 动 防 御 技 术 主 动 防 御 并 不 需 要 病 毒 特 征 码 支 持 ， 只 要 杀 毒 软 件 能 分 析 并 扫 描 到 目 标 程 序 的 行 为 ， 并 根 据 预 先 设 定 的 规 则 ， 判 定 是 否 应 该 进 行 清 除 操 作   主 动 防 御 本 来 想 领 先 于 病 毒 ， 让 杀 毒 软 件 自 己 变 成 安 全 工 程 师 来 分 析 病 毒 ， 从 而 达 到 以 不 变 应 万 变 的 境 界 。 但 是 ， 计 算 机 的 智 能 总 是 在 一 系 列 的 规 则 下 诞 生 ， 而 普 通 用 户 的 技 术 水 平 达 不 到 专 业 分 析 病 毒 的 水 平 ， 两 者 之 间 的 博 弈 将 主 动 防 御 推 上 一 个 尴 尬 境 地 。 机 器 学 习 识 别 技 术 机 器 学 习 识 别 技 术 机 器 学 习 识 别 技 术 既 可 以 做 静 态 样 本 的 二 进 制 分 析 ， 又 可 以 运 用 在 沙 箱 动 态 行 为 分 析 当 中 ， 是 为 内 容 / 行 为 + 算 法 模 式 。 伴 随 着 深 度 学 习 的 急 速 发 展 ， 各 家 厂 商 也 开 始 尝 试 运 用 深 度 学 习 技 术 来 识 别 病 毒 特 征 ， 如 瀚 思 科 技 的 基 于 深 度 学 习 的 二 进 制 恶 意 样 本 检 测 免 杀 技 术 发 展 史 免 杀 技 术 发 展 史 理 论 上 讲 ， 免 杀 一 定 是 出 现 在 杀 毒 软 件 之 后 的 。 而 通 过 杀 毒 软 件 的 发 展 史 不 难 知 道 ， 第 一 款 杀 毒 软 件 k i l l   1 . 0 是 W i s h 公 司 1 9 8 7 年 推 出 的 ， 也 就 是 说 免 杀 技 术 至 少 是 在 1 9 8 9 年 以 后 才 发 展 起 来 的 。 关 于 世 界 免 杀 技 术 的 历 史 信 息 已 无 从 考 证 ， 但 从 国 内 来 讲 ， 免 杀 技 术 的 起 步 可 以 说 是 非 常 晚 了 。 1 9 8 9 年 ： 第 一 款 杀 毒 软 件 M c a f e e 诞 生 ， 标 志 着 反 病 毒 与 反 查 杀 时 代 的 到 来 。 1 9 9 7 年 ： 国 内 出 现 了 第 一 个 可 以 自 动 变 异 的 千 面 人 病 毒 （ P o l y m o r p h i c / M u t a t i o n   V i r u s ） 。 自 动 变 异 就 是 病 毒 针 对 杀 毒 软 件 的 免 杀 方 法 之 一 ， 但 是 与 免 杀 手 法 的 定 义 有 出 入 。 2 0 0 2 年 7 月 3 1 日 ： 国 内 第 一 个 真 正 意 义 上 的 变 种 病 毒 “ 中 国 黑 客 I I ” 出 现 ， 它 除 了 具 有 新 的 特 征 之 外 ， 还 实 现 了 “ 中 国 黑 客 ” 第 一 代 所 未 实 现 的 功 能 ， 可 见 这 个 变 种 也 是 病 毒 编 写 者 自 己 制 造 的 。 2 0 0 4 年 ： 在 黑 客 圈 子 内 部 ， 免 杀 技 术 是 由 黑 客 动 画 吧 在 这 一 年 首 先 公 开 提 出 ， 由 于 当 时 还 没 有 C L L 等 专 用 免 杀 工 具 ， 所 以 一 般 都 使 用 W i n H E X 逐 字 节 更 改 。 2 0 0 5 年 1 月 ： 大 名 鼎 鼎 的 免 杀 工 具 C C L 的 软 件 作 者 t a n k a i h a 在 杂 志 上 发 表 了 一 篇 文 章 ， 藉 此 推 广 了 C C L ， 从 此 国 内 黑 客 界 才 有 了 自 己 第 一 个 专 门 用 于 免 杀 的 工 具 。 2 0 0 5 年 2 月 - 7 月 ： 通 过 各 方 面 有 意 或 无 意 的 宣 传 ， 黑 客 爱 好 者 们 开 始 逐 渐 重 视 免 杀 ， 在 类 似 于 免 杀 技 术 界 的 祖 师 爷 黑 吧 安 全 网 的 浩 天 老 师 带 领 下 一 批 黑 客 开 始 有 越 来 越 多 的 讨 论 免 杀 技 术 ， 这 为 以 后 木 马 免 杀 的 火 爆 埋 下 根 基 。 引 用 来 源 ： h t t p : / / w w w . m y h a c k 5 8 . c o m / A r t i c l e / 6 4 / 2 0 1 4 / 5 2 2 0 0 . h t m
2 0 0 5 年 0 8 月 ： 第 一 个 可 查 的 关 于 免 杀 的 动 画 由 黑 吧 的 浩 天 老 师 完 成 ， 为 大 量 黑 客 爱 好 者 提 供 了 一 个 有 效 的 参 考 ， 成 功 地 对 免 杀 技 术 进 行 了 第 一 次 科 普 。 2 0 0 5 年 0 9 月 ： 免 杀 技 术 开 始 真 正 的 火 起 来 。 由 上 面 的 信 息 可 见 ， 国 内 在 1 9 9 7 年 出 现 了 第 一 个 可 以 自 动 变 异 的 千 面 人 病 毒 ， 虽 然 自 动 变 异 也 可 以 看 为 是 针 对 杀 毒 软 件 的 一 种 免 杀 方 法 ， 但 是 由 于 与 免 杀 手 法 的 定 义 有 出 入 ， 所 以 如 果 将 国 内 免 杀 技 术 起 源 定 位 1 9 9 7 年 会 显 得 比 较 牵 强 。 一 直 等 到 2 0 0 2 年 7 月 3 1 日 ， 国 内 第 一 个 真 正 意 义 上 的 变 种 病 毒 “ 中 国 黑 客 I I ” 才 迟 迟 出 现 ， 因 此 我 们 暂 且 可 以 将 国 内 免 杀 技 术 的 起 源 定 位 在 2 0 0 2 年 7 月 。 免 杀 技 术 介 绍 免 杀 技 术 介 绍 1 . 修 改 特 征 码 修 改 特 征 码 免 杀 的 最 基 本 思 想 就 是 破 坏 特 征 ， 这 个 特 征 有 可 能 是 特 征 码 ， 有 可 能 是 行 为 特 征 ， 只 要 破 坏 了 病 毒 与 木 马 所 固 有 的 特 征 ， 并 保 证 其 原 有 功 能 没 有 改 变 ， 一 次 免 杀 就 能 完 成 了 。 就 目 前 的 反 病 毒 技 术 来 讲 ， 更 改 特 征 码 从 而 达 到 免 杀 的 效 果 事 实 上 包 含 着 两 种 方 式 。 一 种 是 改 特 征 码 ， 这 也 是 免 杀 的 最 初 方 法 。 例 如 一 个 文 件 在 某 一 个 地 址 内 有 “ 灰 鸽 子 上 线 成 功 ！ ” 这 么 一 句 话 ， 表 明 它 就 是 木 马 ， 只 要 将 相 应 地 址 内 的 那 句 话 改 成 别 的 就 可 以 了 ， 如 果 是 无 关 痛 痒 的 ， 直 接 将 其 删 掉 也 未 尝 不 可 。 第 二 种 是 针 对 目 前 推 出 的 校 验 和 查 杀 技 术 提 出 的 免 杀 思 想 ， 它 的 原 理 虽 然 仍 是 特 征 码 ， 但 是 已 经 脱 离 纯 粹 意 义 上 特 征 码 的 概 念 ， 不 过 万 变 不 离 其 宗 。 其 实 校 验 和 也 是 根 据 病 毒 文 件 中 与 众 不 同 的 区 块 计 算 出 来 的 ， 如 果 一 个 文 件 某 个 特 定 区 域 的 校 验 和 符 合 病 毒 库 中 的 特 征 ， 那 么 反 病 毒 软 件 就 会 报 警 。 所 以 如 果 想 阻 止 反 病 毒 软 件 报 警 ， 只 要 对 病 毒 的 特 定 区 域 进 行 一 定 的 更 改 ， 就 会 使 这 一 区 域 的 校 验 和 改 变 ， 从 而 达 到 欺 骗 反 病 毒 软 件 的 目 的 。 修 改 特 征 码 最 重 要 的 是 定 位 特 征 码 ， 但 是 定 位 了 特 征 码 修 改 后 并 不 代 表 程 序 就 能 正 常 运 行 ， 费 时 费 力 ， 由 于 各 个 杀 软 厂 商 的 特 征 库 不 同 ， 所 以 一 般 也 只 能 对 一 类 的 杀 软 起 效 果 。 虽 然 效 果 不 好 ， 但 有 时 候 在 没 有 源 码 的 情 况 下 可 以 一 用 。 2 . 花 指 令 免 杀 花 指 令 免 杀 花 指 令 其 实 就 是 一 段 毫 无 意 义 的 指 令 ， 也 可 以 称 之 为 垃 圾 指 令 。 花 指 令 是 否 存 在 对 程 序 的 执 行 结 果 没 有 影 响 ， 所 以 它 存 在 的 唯 一 目 的 就 是 阻 止 反 汇 编 程 序 ， 或 对 反 汇 编 设 置 障 碍 。 大 多 数 反 病 毒 软 件 是 靠 特 征 码 来 判 断 文 件 是 否 有 毒 的 ， 而 为 了 提 高 精 度 ， 现 在 的 特 征 码 都 是 在 一 定 偏 移 量 限 制 之 内 的 ， 否 则 会 对 反 病 毒 软 件 的 效 率 产 生 严 重 的 影 响 ！ 而 在 黑 客 们 为 一 个 程 序 添 加 一 段 花 指 令 之 后 ， 程 序 的 部 分 偏 移 会 受 到 影 响 ， 如 果 反 病 毒 软 件 不 能 识 别 这 段 花 指 令 ， 那 么 它 检 测 特 征 码 的 偏 移 量 会 整 体 位 移 一 段 位 置 ， 自 然 也 就 无 法 正 常 检 测 木 马 了 。 3 . 加 壳 免 杀 加 壳 免 杀 说 起 软 件 加 壳 ， 简 单 地 说 ， 软 件 加 壳 其 实 也 可 以 称 为 软 件 加 密 （ 或 软 件 压 缩 ） ， 只 是 加 密 （ 或 压 缩 ） 的 方 式 与 目 的 不 一 样 罢 了 。 壳 就 是 软 件 所 增 加 的 保 护 ， 并 不 会 破 坏 里 面 的 程 序 结 构 ， 当 我 们 运 行 这 个 加 壳 的 程 序 时 ， 系 统 首 先 会 运 行 程 序 里 的 特 征 码 ： 能 识 别 一 个 程 序 是 一 个 病 毒 的 一 段 不 大 于 6 4 字 节 的 特 征 串
壳 ， 然 后 由 壳 将 加 密 的 程 序 逐 步 还 原 到 内 存 中 ， 最 后 运 行 程 序 。 当 我 们 运 行 这 个 加 壳 的 程 序 时 ， 系 统 首 先 会 运 行 程 序 的 “ 壳 ” ， 然 后 由 壳 将 加 密 的 程 序 逐 步 还 原 到 内 存 中 ， 最 后 运 行 程 序 。 这 样 一 来 ， 在 我 们 看 来 ， 似 乎 加 壳 之 后 的 程 序 并 没 有 什 么 变 化 ， 然 而 它 却 达 到 了 加 密 的 目 的 ， 这 就 是 壳 的 作 用 。 加 壳 虽 然 对 于 特 征 码 绕 过 有 非 常 好 的 效 果 ， 加 密 壳 基 本 上 可 以 把 特 征 码 全 部 掩 盖 ， 但 是 缺 点 也 非 常 的 明 显 ， 因 为 壳 自 己 也 有 特 征 。 在 某 些 比 较 流 氓 的 国 产 杀 软 的 检 测 方 式 下 ， 主 流 的 壳 如 V M P ,   T h e m i d a 等 ， 一 旦 被 检 测 到 加 壳 直 接 弹 框 告 诉 你 这 玩 意 儿 有 问 题 ， 虽 然 很 直 接 ， 但 是 还 是 挺 有 效 的 。 有 些 情 况 下 ， 有 的 常 见 版 本 的 壳 会 被 直 接 脱 掉 分 析 。 面 对 这 种 情 况 可 以 考 虑 用 一 切 冷 门 的 加 密 壳 ， 有 时 间 精 力 的 可 以 基 于 开 源 的 压 缩 壳 改 一 些 源 码 ， 效 果 可 能 会 很 不 错 。 总 得 来 说 ， 加 壳 的 方 式 来 免 杀 还 是 比 较 实 用 的 ， 特 别 是 对 于 不 开 源 的 P E 文 件 ， 通 过 加 壳 可 以 绕 过 很 多 特 征 码 识 别 。 4 . 内 存 免 杀 内 存 免 杀 C P U 不 可 能 是 为 某 一 款 加 壳 软 件 而 特 别 设 计 的 ， 因 此 某 个 软 件 被 加 壳 后 的 可 执 行 代 码 C P U 是 读 不 懂 的 。 这 就 要 求 在 执 行 外 壳 代 码 时 ， 要 先 将 原 软 件 解 密 ， 并 放 到 内 存 里 ， 然 后 再 通 知 C P U 执 行 。 因 为 杀 毒 软 件 的 内 存 扫 描 原 理 与 硬 盘 上 的 文 件 扫 描 原 理 都 是 一 样 的 ， 都 是 通 过 特 征 码 比 对 的 ， 只 不 过 为 了 制 造 迷 惑 性 ， 大 多 数 反 病 毒 公 司 的 内 存 扫 描 与 文 件 扫 描 采 用 的 不 是 同 一 套 特 征 码 ， 这 就 导 致 了 一 个 病 毒 木 马 同 时 拥 有 两 套 特 征 码 ， 必 须 要 将 它 们 全 部 破 坏 掉 才 能 躲 过 反 病 毒 软 件 的 查 杀 。 因 此 ， 除 了 加 壳 外 ， 黑 客 们 对 抗 反 病 毒 软 件 的 基 本 思 路 没 变 。 而 对 于 加 壳 ， 只 要 加 一 个 会 混 淆 程 序 原 有 代 码 的 “ 猛 ” 壳 ， 其 实 还 是 能 躲 过 杀 毒 软 件 的 查 杀 的 。 5 . 二 次 编 译 二 次 编 译 m e t a s p l o i t 的 m s f v e n o m 提 供 了 多 种 格 式 的 p a y l o a d 和 e n c o d e r ， 生 成 的 s h e l l c o d e 也 为 二 次 加 工 提 供 了 很 大 遍 历 ， 但 是 也 被 各 大 厂 商 盯 得 死 死 的 。 而 s h i k a t a _ g a _ n a i 是 m s f 中 唯 一 的 评 价 是 e x c e l l e n t 的 编 码 器 ， 这 种 多 态 编 码 技 术 使 得 每 次 生 成 的 攻 击 载 荷 文 件 是 不 一 样 的 ， 编 码 和 解 码 也 都 是 不 一 样 。 还 可 以 利 用 管 道 进 行 多 重 编 码 进 行 免 杀 。 目 前 m s f v e n o m 的 e n c o d e r 特 征 基 本 都 进 入 了 杀 软 的 漏 洞 库 ， 很 难 实 现 单 一 e n c o d e r 编 码 而 绕 过 杀 软 ， 所 以 对 s h e l l c o d e 进 行 进 一 步 修 改 编 译 成 了 m s f 免 杀 的 主 流 。 互 联 网 上 有 很 多 借 助 于 C 、 C # 、 p y t h o n 等 语 言 对 s h e l l c o d e 进 行 二 次 编 码 从 而 达 到 免 杀 的 效 果 。 6 . 分 离 免 杀 分 离 免 杀 侯 亮 大 神 和 倾 旋 大 神 都 分 别 提 到 过 p a y l o a d 分 离 免 杀 和 w e b s h e l l 分 离 免 杀 ， 采 用 分 离 法 ， 即 将 S h e l l C o d e 和 加 载 器 分 离 。 网 上 各 种 加 载 器 代 码 也 有 很 多 ， 各 种 语 言 实 现 的 都 很 容 易 找 到 ， 虽 然 看 起 来 比 较 简 单 ， 但 效 果 却 是 不 错 的 。 比 如 侯 亮 大 神 提 到 的 s h e l l c o d e _ l a u n c h e r ， 加 载 c 代 码 ， 基 本 没 有 能 查 杀 的 A V 。 7 . 资 源 修 改 资 源 修 改 有 些 杀 软 会 设 置 有 扫 描 白 名 单 ， 比 如 之 前 把 程 序 图 标 替 换 为 3 6 0 安 全 卫 士 图 标 就 能 过 3 6 0 的 查 杀 。 1 .   加 资 源
使 用 R e s H a c k e r 对 文 件 进 行 资 源 操 作 ， 找 来 多 个 正 常 软 件 ， 将 它 们 的 资 源 加 入 到 自 己 软 件 ， 如 图 片 ， 版 本 信 息 ， 对 话 框 等 。 2 .   替 换 资 源 使 用 R e s H a c k e r 替 换 无 用 的 资 源 （ V e r s i o n 等 ） 。 3 .   加 签 名 使 用 签 名 伪 造 工 具 ， 将 正 常 软 件 的 签 名 信 息 加 入 到 自 己 软 件 中 。 参 考 参 考 很 多 内 容 参 考 了 和 f r e e b u f 上 和 两 位 大 佬 的 文 章 ， 在 此 表 示 感 谢 ！ 想 深 入 了 解 的 可 在 访 问 下 面 链 接 。 免 杀 技 术 有 一 套 : M e t e r p r e t e r 免 杀 及 对 抗 分 析 : 免 杀 艺 术 : 新 书 ： 《 内 网 安 全 攻 防 ： 渗 透 测 试 实 战 指 南 》 火 爆 上 市 ！ 新 书 ： 《 内 网 安 全 攻 防 ： 渗 透 测 试 实 战 指 南 》 火 爆 上 市 ！ 购 买 链 接 ： 购 买 链 接 ： h t t p s : / / i t e m . j d . c o m / 1 2 7 4 3 2 1 0 . h t m l w i k i p e d i a G r e e n _ m A n h k g g h t t p s : / / a n h k g g . c o m / a a n t i - v i r u s / h t t p s : / / w w w . f r e e b u f . c o m / s e c t o o l / 1 5 7 1 2 2 . h t m l h t t p s : / / w w w . 4 h o u . c o m / t e c h n o l o g y / 3 8 5 3 . h t m l
M s 0 8 0 6 7 安 全 实 验 室 安 全 实 验 室 专 注 于 普 及 网 络 安 全 知 识 。 团 队 已 出 版 《 W e b 安 全 攻 防 ： 渗 透 测 试 实 战 指 南 》 ， 预 计 预 计 2 0 1 9 年 年 1 0 月 出 版 《 内 网 安 全 攻 防 ： 渗 透 测 试 月 出 版 《 内 网 安 全 攻 防 ： 渗 透 测 试 实 战 指 南 》 ， 实 战 指 南 》 ， 1 2 月 出 版 《 月 出 版 《 C T F 竞 赛 秘 笈 竞 赛 秘 笈 - 入 门 篇 》 入 门 篇 》 ， 目 前 在 编 P y t h o n 渗 透 测 试 ， J A V A 代 码 审 计 和 A P T 方 面 的 书 籍 。 团 队 公 众 号 定 期 分 享 关 于 C T F 靶 场 、 内 网 渗 透 、 A P T 方 面 技 术 干 货 ， 从 零 开 始 、 以 实 战 落 地 为 主 ， 致 力 于 做 一 个 实 用 的 干 货 分 享 型 公 众 号 。 官 方 网 站 ： w w w . m s 0 8 0 6 7 . c o m
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理