搜索

[22278] 2021-08-22_Kali渗透-MSF木马免杀技术

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2021-08-22_Kali渗透-MSF木马免杀技术 K a l i 渗 透 - M S F 木 马 免 杀 技 术 L e m o n S e c   2 0 2 1 - 0 8 - 2 2 前 言 前 言               免 杀 技 术 全 称 为 反 杀 毒 技 术   A n t i - V i r u s   简 称 “ 免 杀 ” ， 它 指 的 是 一 种 能 使 病 毒 木 马 免 于 被 杀 毒 软 件 查 杀 的 技 术 。 由 于 免 杀 技 术 的 涉 猎 面 非 常 广 ， 其 中 包 含 反 汇 编 、 逆 向 工 程 、 系 统 漏 洞 等 技 术 ， 内 容 基 本 上 都 是 修 改 病 毒 、 木 马 的 内 容 改 变 特 征 码 ， 从 而 躲 避 了 杀 毒 软 件 的 查 杀 。 裸 奔 木 马 裸 奔 木 马         1 、 在   K a l i   中 直 接 使 用   M s f v e n o m   生 成 木 马 文 件 ， 不 做 任 何 免 杀 处 理 ， 如 下 图 所 示 ：         2 、 在   K a l i   开 启   A p a c h e   服 务 ， 同 一 局 域 网 内 的   W i n   1 0   物 理 主 机 访 问 木 马 文 件 ， 尝 试 下 载 ：         3 、 结 果   W i n   1 0   物 理 主 机 的 火 绒 安 全 软 件 自 动 识 别 木 马 ， 并 自 动 将 其 移 除 至 病 毒 隔 离 区 ：
        4 、 手 动 从 病 毒 隔 离 区 移 出 木 马 Q Q . e x e ， 上 传 至 腾 讯 哈 勃 分 析 系 统 进 行 在 线 病 毒 识 别 分 析 ， 结 果 只 是 “ 轻 度 风 险 ” ( E m m m … … 我 只 能 说 腾 讯 你 跟 病 毒 是 亲 家 么 ) 如 下 ：         5 、 此 时 再 用 火 绒 安 全 对 木 马 文 件 进 行 杀 毒 扫 描 ， 来 看 看 其 扫 描 分 析 结 果 ：
        显 然 ， 单 纯 依 靠 单 独 一 个 病 毒 引 擎 对 风 险 文 件 进 行 识 别 不 太 可 靠 ， 下 面 介 绍 一 款 在 线 的 多 引 擎 病 毒 识 别 工 具 。 在 线 杀 毒 在 线 杀 毒         V i r u s T o t a l ， 是 一 个 提 供 免 费 的 可 疑 文 件 分 析 服 务 的 网 站 。 2 0 0 4 年 6 月 由 创 始 人 H i s p a s e c   S i s t e m a s 创 立 。 它 与 传 统 杀 毒 软 件 的 不 同 之 处 是 它 通 过 多 种 反 病 毒 引 擎 ( 包 含 3 6 0 、 腾 讯 、 微 软 、 赛 门 铁 克 等 ) 扫 描 文 件 ， 使 用 多 种 反 病 毒 引 擎 对 您 所 上 传 的 文 件 进 行 检 测 ,   以 判 断 文 件 是 否 被 病 毒 ,   蠕 虫 ,   木 马 ,   以 及 各 类 恶 意 软 件 感 染 。 这 样 大 大 减 少 了 杀 毒 软 件 误 杀 或 未 检 出 病 毒 的 几 率 ， 其 检 测 率 优 于 使 用 单 一 产 品 。 1 、 V i r u s T o t a l   的 扫 描 页 面 如 下 所 示 ：
2 、 来 看 看   V i r u s T o t a l   对 以 上 未 经 免 杀 处 理 的 木 马 的 扫 描 结 果 ， 多 个 病 毒 引 擎 一 致 将 其 识 别 为 病 毒 文 件 ， 高 达 5 6 / 7 0 的 病 毒 引 擎 识 别 比 例 ： 3 、 同 时 还 可 以 进 一 步 查 看 该 病 毒 文 件 的 行 为 分 析 结 果 ：
        V i r u s T o t a l 的 反 病 毒 引 擎 已 经 多 达 4 0 种 以 上 ， 但 是 也 不 能 保 证 该 网 站 扫 描 通 过 的 文 件 就 彻 底 无 害 ， 毕 竟 道 高 一 尺 ， 魔 高 一 丈 。 事 实 上 ， 没 有 任 何 一 款 软 件 可 以 提 供 1 0 0 % 的 病 毒 和 恶 意 软 件 检 测 率 ， 杀 毒 软 件 所 做 的 就 是 最 大 限 度 的 避 免 用 户 受 到 侵 害 。 该 网 站 支 持 电 子 邮 件 或 直 接 上 传 的 两 种 方 式 分 析 文 件 。 此 外 ， V i r u s T o t a l 每 1 5 分 钟 更 新 一 次 病 毒 资 料 库 ， 可 以 实 时 提 供 最 新 的 反 病 毒 引 擎 以 检 测 出 大 部 分 可 能 的 威 胁 。 M S F 编 码 编 码         在   M e a t s p l o i t   框 架 下 免 杀 的 方 式 之 一 就 是 使 用 M S F 编 码 器 。 其 功 能 是 对 攻 击 载 荷 文 件 进 行 重 新 的 排 列 编 码 ， 改 变 可 执 行 文 件 中 的 代 码 形 状 ， 避 免 被 杀 软 认 出 。 M S F   编 码 器 可 以 将 原 可 执 行 程 序 重 新 编 码 ， 生 成 一 个 新 的 二 进 制 文 件 ， 这 个 文 件 运 行 以 后 ， M S F   编 码 器 会 将 原 始 程 序 解 码 到 内 存 中 并 执 行 。 1 、 在 k a l i 终 端 输 入 m s f v e n o m   - l   e n c o d e r s 列 出 所 有 可 用 编 码 格 式 ：
2 、 在   K a l i   中 下 载   N o t e p a d   软 件 的 安 装 包 ， 用 于 后 面 将 木 马 程 序 捆 绑 到 该 程 序 上 面 ， 以 便 于 木 马 的 感 染 和 传 播 ：         【 注 意 】 M e a t s p l o i t   自 带 了 用 于 捆 绑 木 马 的 程 序 模 板 ， 其 位 置 在 d a t a / t e m p l a t e s / t e m p l a t e . e x e ， 虽 然 这 个 模 板 经 常 会 更 新 ， 但 是 其 仍 是 各 大 反 病 毒 木 马 厂 商 的 关 注 重 点 。 为 了 更 好 地 实 现 免 杀 ， 此 处 自 主 选 择 一 个 待 捆 绑 程 序 。 3 、 使 用 以 下 命 令 生 成   W i n d o w s 环 境 下 的 木 马 、 并 捆 绑 到 n p p . 7 . 8 . 5 . i n s t a l l e r . e x e 文 件 上 ， 同 时 对 木 马 文 件 进 行 x 8 6 / s h i k a t a _ g a _ n a i 编 码 方 式 的 免 杀 处 理 ：
解 释 下 其 中 的 部 分 参 数 的 含 义 ： 参 数 备 注 - e 指 定 编 码 方 式 对 攻 击 载 荷 进 行 重 新 编 码 - x 指 定 木 马 捆 绑 在 哪 个 可 执 行 程 序 模 版 上 - i 指 定 对 目 标 进 行 编 码 的 次 数 ， 多 次 编 码 理 论 上 来 讲 有 助 于 免 杀 - f 指 定 M S F 编 码 器 输 出 的 程 序 的 格 式 - o 指 定 处 理 完 毕 后 的 文 件 输 出 路 径 4 、 将 木 马 文 件 传 输 给   W i n   7 虚 拟 机 ：
5 、 在   K a l i   攻 击 机 运 行   M S F   进 入 木 马 监 听 状 态 ， 然 后 运 行   W i n   7 中 的 木 马 文 件 ( 原 安 装 程 序 已 损 坏 ， 无 法 正 常 安 装 ) ， 即 可 成 功 获 得   S h e l l   ， 如 下 图 所 示 ： 6 、 此 时 在 线 对 该 木 马 文 件 进 行 查 杀 ， V i r u s T o t a l   的 检 测 结 果 如 下 ：
4 2 / 7 1 的 病 毒 引 擎 识 别 比 例 ， 比 原 生 的 裸 奔 木 马 5 6 / 7 0 的 识 别 比 例 要 低 一 些 ， 其 中 可 以 看 到   腾 讯 、 赛 门 铁 克 、 百 度 等 知 名 杀 毒 引 擎 也 未 将 其 识 别 ： U P X 加 壳 加 壳         u p x   打 包 器 的 原 理 非 常 简 单 ， 就 是 将 可 执 行 文 件 中 的 代 码 和 数 据 进 行 压 缩 ， 然 后 将 解 压 缩 用 的 代 码 附 加 在 前 面 ， 运 行 的 时 候 先 将 原 本 的 可 执 行 数 据 解 压 出 来 ， 然 后 再 运 行 解 压 缩 后 的 数 据 。 打 包 器 的 本 质 目 的 是 反 调 试 ， 防 止 逆 向 工 程 ， 而 这 里 使 用 打 包 器 的 目 的 是 为 了 改 变 后 门 程 序 的 特 征 码 。 1 、 K a l i   内 置 了   u p x   工 具 ， 执 行   u p x   命 令 可 查 看 简 略 的 参 数 介 绍 ：
2 、 执 行 以 下 命 令 ， 对 刚 才 生 成 的 木 马 文 件 进 行 加 壳 处 理 ： 3 、 将 加 壳 后 的 木 马 传 输 给   W i n   7 主 机 后 执 行 ， K a l i 可 进 行 正 常 的 连 接 和 监 听 ：
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理