搜索

[26923] 2020-03-02_远控免杀专题(6)-Venom免杀(VT免杀率1171)

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-19
2020-03-02_远控免杀专题(6)-Venom免杀(VT免杀率1171) 远 控 免 杀 专 题 ( 6 ) - V e n o m 免 杀 ( V T 免 杀 率 1 1 / 7 1 ) M s 0 8 0 6 7 安 全 实 验 室   2 0 2 0 - 0 3 - 0 2 以 下 文 章 来 源 于 T i d e 安 全 团 队   ， 作 者 重 剑 无 锋 本 专 题 文 章 导 航 本 专 题 文 章 导 航 1 、 远 控 免 杀 专 题 ( 1 ) - 基 础 篇 ： h t t p s : / / m p . w e i x i n . q q . c o m / s / 3 L Z _ c j 2 g D C 1 b Q A T x q B f w e g 2 、 远 控 免 杀 专 题 ( 2 ) - m s f v e n o m 隐 藏 的 参 数 ： h t t p s : / / m p . w e i x i n . q q . c o m / s / 1 r 0 i a k L p n L r j C r O p 2 g T 1 0 w 3 、 远 控 免 杀 专 题 ( 3 ) - m s f 自 带 免 杀 ( V T 免 杀 率 3 5 / 6 9 ) ： h t t p s : / / m p . w e i x i n . q q . c o m / s / A 0 C Z s l L h C L O K _ H g k H G c p E A 4 、 远 控 免 杀 专 题 ( 4 ) - E v a s i o n 模 块 ( V T 免 杀 率 1 2 / 7 1 ) ： h t t p s : / / m p . w e i x i n . q q . c o m / s / Y n n C M 7 W 2 0 x S c v 5 2 k _ u b x Y Q 5 、 远 控 免 杀 专 题 ( 5 ) - V e i l 免 杀 ( V T 免 杀 率 2 3 / 7 1 ) : h t t p s : / / m p . w e i x i n . q q . c o m / s / - P H V I A Q V y U 8 Q I p H w c p N 4 y w 6 、 远 控 免 杀 专 题 ( 6 ) - V e n o m 免 杀 ( V T 免 杀 率 1 1 / 7 1 ) : 本 文 文 章 打 包 下 载 及 相 关 软 件 下 载 ： 文 章 打 包 下 载 及 相 关 软 件 下 载 ： 免 杀 能 力 一 览 表 免 杀 能 力 一 览 表 几 点 说 明 ： 几 点 说 明 ： 1 、 上 表 中 标 识 、 上 表 中 标 识   √   说 明 相 应 杀 毒 软 件 未 检 测 出 病 毒 ， 也 就 是 代 表 了 说 明 相 应 杀 毒 软 件 未 检 测 出 病 毒 ， 也 就 是 代 表 了 B y p a s s 。 。 2 、 为 了 更 好 的 对 比 效 果 ， 大 部 分 测 试 、 为 了 更 好 的 对 比 效 果 ， 大 部 分 测 试 p a y l o a d 均 使 用 均 使 用 m s f 的 的 模 块 生 成 。 模 块 生 成 。 3 、 由 于 本 机 测 试 时 只 是 安 装 了 、 由 于 本 机 测 试 时 只 是 安 装 了 3 6 0 全 家 桶 和 火 绒 ， 所 以 默 认 情 况 下 全 家 桶 和 火 绒 ， 所 以 默 认 情 况 下 3 6 0 和 火 绒 杀 毒 情 况 指 的 是 静 态 和 火 绒 杀 毒 情 况 指 的 是 静 态 + 动 态 查 杀 。 动 态 查 杀 。 3 6 0 杀 毒 版 本 杀 毒 版 本 ( 2 0 1 9 . 1 2 . 1 2 ) ， 火 绒 版 本 ， 火 绒 版 本 ( 2 0 1 9 . 1 2 . 1 2 ) ， ， 3 6 0 安 全 卫 士 安 全 卫 士 ( 2 0 1 9 . 1 2 . 1 7 ) 。 。 4 、 其 他 杀 软 的 检 测 指 标 是 在 、 其 他 杀 软 的 检 测 指 标 是 在 （ 简 称 （ 简 称 V T ） 上 在 线 查 杀 ， 所 以 可 能 只 是 代 表 了 静 态 查 杀 能 力 ， 数 据 仅 供 参 考 ， 不 足 以 作 为 免 杀 的 精 确 判 断 指 标 。 ） 上 在 线 查 杀 ， 所 以 可 能 只 是 代 表 了 静 态 查 杀 能 力 ， 数 据 仅 供 参 考 ， 不 足 以 作 为 免 杀 的 精 确 判 断 指 标 。 T i d e 安 全 团 队 安 全 团 队   . T i d e 安 全 团 队 以 信 安 技 术 研 究 为 目 标 ， 致 力 于 分 享 高 质 量 原 创 文 章 、 开 源 安 全 工 具 、 交 流 安 全 技 术 ， 研 究 方 向 覆 盖 网 络 攻 防 、 W e b 安 全 、 移 动 终 端 、 安 全 开 发 、 物 联 网 / 工 控 安 全 / A I 安 全 等 多 个 领 域 ， 对 安 全 感 兴 趣 的 小 伙 伴 可 以 关 注 我 们 。 h t t p s : / / g i t h u b . c o m / T i d e S e c / B y p a s s A n t i V i r u s w i n d o w s / m e t e r p e r t e r / r e v e r s e _ t c p 5 . 0 . 0 . 8 1 6 0 5 . 0 . 3 3 . 1 3 1 2 . 0 . 0 . 2 0 0 1 v i r u s t o t a l . c o m
前 言 前 言 V e n o m 和 V e i l 、 S h e l l t e r 是 三 大 老 牌 免 杀 工 具 ， 免 杀 主 要 依 靠 分 离 执 行 和 加 密 混 淆 等 技 术 ， 可 以 和 m s f 无 缝 对 接 。 V e n o m 利 用 m s f v e n o m （ m e t a s p l o i t ） 生 成 不 同 的 格 式 的 s h e l l c o d e ， 如 （ c   |   p y t h o n   |   r u b y   |   d l l   |   m s i   |   h t a - p s h ） 等 ， 然 后 将 生 成 的 s h e l l c o d e 注 入 一 个 模 板 （ 例 如 ： p y t h o n ） ， 并 使 用 类 似 g c c 、 m i n g w 3 2 或 p y i n s t a l l e r 之 类 的 编 译 器 生 成 可 执 行 文 件 。 V e n o m 的 一 些 功 能 还 会 直 接 调 用 ， ， 等 来 直 接 创 建 免 杀 程 序 ， 避 免 重 复 造 轮 子 。 安 装 安 装 v e n o m v e n o m 安 装 和 运 行 必 须 是 在 图 形 界 面 下 ， 如 果 是 s s h 终 端 连 接 到 k a l i 进 行 连 接 是 不 行 的 ， 我 安 装 v e n o m 是 用 的 p a r r o t   4 . 4 系 统 。 v e n o m 依 赖 的 软 件 比 较 多 , 所 以 安 装 出 现 问 题 是 很 正 常 的 。 。 请 做 好 心 里 准 备 ~ 1 、 从 g i t h u b 上 拖 到 本 地 2 、 修 改 文 件 执 行 权 限 3 、 安 装 依 赖 库 和 软 件 4 、 运 行 v e n o m 我 在 执 行 安 装 中 ， 遇 到 了 几 个 坑 ， 其 中 遇 到 z e n i t y 报 错 信 息 ， 翻 遍 了 官 方 G i t h u b 也 没 找 到 解 决 办 法 ， 报 错 信 息 如 下 ： 后 来 经 分 析 ， 发 现 系 统 中 存 在 多 个 l i b x m l 2 . s o . 2 文 件 ， 使 用 l o c a t e 可 定 位 。 将 系 统 中 目 录 下 的 l i b x m l 2 . s o . 2 从 l i b x m l 2 . s o . 2 . 7 . 8 更 换 为 l i b x m l 2 . s o . 2 . 9 . 4 之 后 可 正 常 安 装 。 V e i l - E v a s i o n . p y u n i c o r n . p y p o w e r s p l o i t . p y Z e n i t y   |   M e t a s p l o i t   |   G C C   ( c o m p i l e r )   |   P y i n s t a l l e r   ( c o m p i l e r ) m i n g w 3 2   ( c o m p i l e r )   |   p y h e r i o n . p y   ( c r y p t e r )   |   w i n e   ( e m u l a t o r ) P E S c r a m b l e r . e x e   ( P E   o b f u s c a t o r )   |   a p a c h e 2   ( w e b s e r v e r ) |   w i n r a r   ( w i n e ) v b s - o b f u s c a t o r   ( o b f u s c a t o r )   |   a v e t   ( D a n i e l   S a u d e r )   |   s h e l l t e r   ( K y R e c o n ) e t t e r c a p   ( M i t M   +   D N S _ S p o o f i n g )   |   e n c r y p t _ P o l a r S S L   ( A E S   c r y p t e r ) g i t   c l o n e   h t t p s : / / g i t h u b . c o m / r 0 0 t - 3 x p 1 0 i t / v e n o m . g i t ` c d   v e n o m s u d o   c h m o d   - R   + x   * . s h s u d o   c h m o d   - R   + x   * . p y ` c d   a u x s u d o   . / s e t u p . s h s u d o   . / v e n o m . s h z e n i t y :   r e l o c a t i o n   e r r o r :   / u s r / l i b / x 8 6 _ 6 4 - l i n u x - g n u / l i b x s l t . s o . 1 :   s y m b o l   x m l B u f C o n t e n t   v e r s i o n   L I B X M L 2 _ 2 . 9 . 0   n o t   d e f i n e d   i n   f i l e   l i b x m l 2 . s o . 2   w i t h   l i n k   t i m e   r e f e r e n c e / u s r / l o c a l / l i b / m v   / u s r / l o c a l / l i b / l i b x m l 2 . s o . 2 . 7 . 8   / u s r / l o c a l / l i b / l i b x m l 2 . s o . 2 . 7 . 8 _ b a k m v   / u s r / l o c a l / l i b / l i b x m l 2 . s o . 2   / u s r / l o c a l / l i b / l i b x m l 2 . s o . 2 _ b a k l n   - s   / u s r / l i b / x 8 6 _ 6 4 - l i n u x - g n u / l i b x m l 2 . s o . 2 . 9 . 4   / u s r / l o c a l / l i b / l i b x m l 2 . s o . 2
另 外 注 意 ， 在 p a r r o t 系 统 中 ， r o o t 用 户 无 法 直 接 使 用 开 启 a p a c h e 等 服 务 ， 必 须 普 通 用 户 才 行 。 否 则 会 提 示 v e n o m 生 成 生 成 e x e ( V T 查 杀 率 查 杀 率 2 3 / 7 1 ) 启 动 v e n o m : 然 后 选 择 w i n d o w s , 也 就 是 2 s y s t e m c t l   s t a r t   a p a c h e 2 . s e r v i c e # s y s t e m c t l   r e s t a r t   a p a c h e 2 . s e r v i c e F a i l e d   t o   r e s t a r t   a p a c h e 2 . s e r v i c e :   A c c e s s   d e n i e d S e e   s y s t e m   l o g s   a n d   ' s y s t e m c t l   s t a t u s   a p a c h e 2 . s e r v i c e '   f o r   d e t a i l s . s u d o   . / v e n o m . s h
然 后 会 列 出 所 有 w i n d o w s 可 用 的 2 0 个 a g e n t 支 持 的 种 类 还 是 比 较 全 面 的 ， s h e l l t e r 、 a v e t 等 免 杀 工 具 都 内 置 在 里 面 了 ， 而 且 支 持 很 多 种 类 似 的 p a y l o a d 格 式 我 们 先 生 成 一 个 最 简 单 直 接 的 ， 第 4 个 模 块 ， 通 过 C 编 译 E X E 程 序
在 输 入 4 之 后 ， 会 弹 出 一 个 框 让 你 输 入 i p 地 址 ， 这 个 就 是 你 m s f 监 听 主 机 的 地 址 ， 我 的 就 是 了 ， 不 要 看 着 上 面 那 个 e x a m p l e 还 有 子 网 掩 码 什 么 的 就 照 着 输 。 然 后 输 入 端 口 号 之 后 ， 选 择 p a y l o a d ， 我 还 是 选 择 最 常 规 的 再 输 入 一 个 文 件 名 然 后 在 编 译 和 生 成 e x e 的 过 程 中 ， 会 弹 出 来 两 个 选 项 框 ， 一 般 默 认 就 行 1 0 . 2 1 1 . 5 5 . 2 w i n d o w s / m e t e r p e r t e r / r e v e r s e _ t c p
之 后 会 提 示 已 经 生 成 ， 并 询 问 你 如 何 分 发 p a y l o a d ， 我 就 直 接 在 测 试 机 上 执 行 就 行 了 。 在 测 试 机 执 行 后 ， 发 现 3 6 0 安 全 卫 士 和 3 6 0 杀 毒 静 态 检 测 没 问 题 ， 但 行 为 检 测 都 能 查 杀 出 为 病 毒 火 绒 则 静 态 + 动 态 都 没 有 检 测 到
v i r u s t o t a l . c o m 中 1 9 / 7 1 个 报 毒 v e n o m 生 成 生 成 d l l ( V T 查 杀 率 查 杀 率 1 1 / 7 0 ) 我 们 再 试 一 下 其 他 模 块 的 免 杀 效 果 ， 选 择 w i n d o w s 之 后 ， 在 a g e n t 中 选 择 第 1 个 ， 生 成 d l l 后 面 的 操 作 和 上 面 那 个 差 不 多 ， 然 后 就 能 看 到 生 成 了 文 件 讲 文 件 拷 贝 到 测 试 机 上 ， 命 令 行 中 执 行 ， 可 动 静 态 免 杀 过 3 6 0 和 火 绒 d l l _ m s f . d l l r u n d l l 3 2 . e x e   d l l _ m s f . d l l , m a i n
m s f 正 常 上 线 v i r u s t o t a l . c o m 中 1 1 / 7 0 个 报 毒 ， 过 了 微 软 和 卡 巴 了 ~ 小 结 小 结 v e n o m 是 一 个 综 合 性 非 常 强 大 的 工 具 ， 而 且 支 持 生 成 多 平 台 p a y l o a d ， 比 如 a n d r o i d 、 i o s 、 l i n u x / u n i x 、 o f f i c e 等 等 ， 我 这 里 也 只 是 简 单 演 示 了 w i n d o w s 下 的 两 个 a g e n t ， 其 他 还 有 很 多 a g e n t 模 块 免 杀 能 力 很 强 ， 比 如 1 8   s h e l l t e r 模 块 等 等 。 在 v e n o m 生 成 编 译 的 过 程 中 可 以 看 到 他 生 成 的 s h e l l c o d e 其 实 是 直 接 调 用 的 m s f v e n o m ， 而 且 在 最 后 也 可 以 和 m s f 联 动 进 行 监 听 ， 还 支 持 a p a c h e 的 w e b 分 发 ， 很 多 模 块 都 能 和 m s f 无 缝 对 接 ， 虽 然 被 杀 软 盯 的 紧 但 免 杀 体 验 还 是 不 错 的 。 参 考 整 理 参 考 整 理 利 用 m e t e r p r e t e r 下 的 V e n o m 免 杀 后 门 : 免 杀 后 门 v e n o m   : 扫 描 下 方 二 维 码 学 习 更 多 扫 描 下 方 二 维 码 学 习 更 多 W E B 安 全 知 识 ： 安 全 知 识 ： h t t p s : / / w w w . c n b l o g s . c o m / w h 4 a m 1 / p / 7 4 6 9 6 2 5 . h t m l h t t p s : / / w w w . g g s e c . c n / v e n o m . h t m l
M s 0 8 0 6 7 安 全 实 验 室 安 全 实 验 室 专 注 于 普 及 网 络 安 全 知 识 。 团 队 已 出 版 《 W e b 安 全 攻 防 ： 渗 透 测 试 实 战 指 南 》 ， 《 内 网 安 全 攻 防 ： 《 内 网 安 全 攻 防 ： 渗 透 测 试 实 战 指 南 》 渗 透 测 试 实 战 指 南 》 ， 目 前 在 编 P y t h o n 渗 透 测 试 ， J A V A 代 码 审 计 和 二 进 制 逆 向 方 面 的 书 籍 。 团 队 公 众 号 定 期 分 享 关 于 C T F 靶 场 、 内 网 渗 透 、 A P T 方 面 技 术 干 货 ， 从 零 开 始 、 以 实 战 落 地 为 主 ， 致 力 于 做 一 个 实 用 的 干 货 分 享 型 公 众 号 。 官 方 网 站 ： w w w . m s 0 8 0 6 7 . c o m
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理