搜索

[15043] 2020-02-21_远控免杀从入门到实践——工具总结篇

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2020-02-21_远控免杀从入门到实践——工具总结篇 远 控 免 杀 从 入 门 到 实 践 — — 工 具 总 结 篇 重 剑 无 锋   F r e e B u f   2 0 2 0 - 0 2 - 2 1 一 、 前 言 一 、 前 言 在 了 解 了 免 杀 的 一 些 基 础 知 识 和   M e t a s p l o i t   自 带 的 一 些 免 杀 方 式 之 后 ， 我 开 始 学 习 和 研 究 市 面 上 知 名 度 比 较 高 的 免 杀 工 具 ， 从 互 联 网 上 找 到 了 大 约   3 0   多 个 免 杀 工 具 ， 从 中 筛 选 出 来 了   2 1   个 工 具 进 行 免 杀 测 试 和 学 习 ， 耗 时 一 个 多 月 时 间 。 这 些 工 具 有 的 免 杀 效 果 也 算 一 般 ， 但 可 能 只 是 因 为 发 布 时 间 长 了 一 些 ， 生 成 的   p a y l o a d   都 被 杀 软 都 加 入 了 特 征 库 ， 有 几 款 工 具 都 是 在   b l a c k h a t   大 会 上 发 布 的 ， 甚 至 在 免 杀 史 上 具 有 一 些 里 程 碑 意 义 ， 但 目 前 来 看 免 杀 效 果 也 比 较 一 般 了 。 我 们 主 要 是 学 习 他 们 的 免 杀 原 理 和 技 巧 ， 进 而 能 打 造 自 己 的 免 杀 秘 术 。 已 完 成 的 免 杀 文 章 及 相 关 软 件 下 载 ： h t t p s : / / g i t h u b . c o m / T i d e S e c / B y p a s s A n t i V i r u s 二 、 免 杀 效 果 概 览 二 、 免 杀 效 果 概 览 本 文 工 具 篇 涉 及 的 工 具 ： V e i l 、 V e n o m 、 S h e l l t e r 、 B a c k D o o r - F a c t o r y 、 A v e t 、 T h e F a t R a t 、 A v o i d z 、 G r e e n - H a t - S u i t e 、 z i r i k a t u 、 A V I a t o r 、 D K M C 、 U n i c o r n 、 P y t h o n - R o o t k i t 、 D K M C 、 U n i c o r n 、 P y t h o n - R o o t k i t 、 A S W C r y p t e r 、 n p s _ p a y l o a d 、 G r e a t S C T 、 H E R C U L E S 、 S p o o k F l a r e 、 S h a r p S h o o t e r 、 C A C T U S T O R C H 、 W i n p a y l o a d   等 。 免 杀 测 试 主 要 是 使 用 了   m e t a s p l o i t   或   c o b a l t s t r i k e   生 成 的 代 码 或 程 序 进 行 免 杀 处 理 ， 在 实 验 机   ( w i n 7   x 6 4 )   上 安 装 了   3 6 0 全 家 桶 和 火 绒 进 行 本 地 测 试 ， 在   h t t p s : / / w w w . v i r u s t o t a l . c o m / 上 进 行 在 线 查 杀 （ 如 果 是 自 己 做 免 杀 ， 建 议 测 试 机 不 要 联 互 联 网 ， 更 不 要 上 传 到   v i r u s t o t a l . c o m   类 似 的 平 台 上 ） 。 我 从   v i r u s t o t a l . c o m   中 选 择 了 几 款 常 见 的 杀 软 拿 出 来 做 个 对 比 。 几 点 说 明 ： 1 、 上 表 中 标 识   √   说 明 相 应 杀 毒 软 件 未 检 测 出 病 毒 ， 也 就 是 代 表 了   B y p a s s 。 2 、 为 了 更 好 的 对 比 效 果 ， 大 部 分 测 试   p a y l o a d   均 使 用   m s f   的   w i n d o w s / m e t e r p e r t e r / r e v e r s e _ t c p   模 块 生 成 。 3 、 由 于 本 机 测 试 时 只 是 安 装 了   3 6 0   全 家 桶 和 火 绒 ， 所 以 默 认 情 况 下   3 6 0   和 火 绒 杀 毒 情 况 指 的 是 静 态 + 动 态 查 杀 。 3 6 0   杀 毒 版 本   5 . 0 . 0 . 8 1 6 0 ( 2 0 2 0 . 0 1 . 0 1 ) ， 火 绒 版 本   5 . 0 . 3 4 . 1 6 ( 2 0 2 0 . 0 1 . 0 1 ) ， 3 6 0   安 全 卫 士 1 2 . 0 . 0 . 2 0 0 2 ( 2 0 2 0 . 0 1 . 0 1 ) 。 4 、 其 他 杀 软 的 检 测 指 标 是 在   v i r u s t o t a l . c o m （ 简 称   V T ） 上 在 线 查 杀 ， 所 以 可 能 只 是 代 表 了 静 态 查 杀 能 力 ， 数 据 仅 供 参 考 ， 不 足 以 作 为 杀 软 查 杀 能 力 或 免 杀 能 力 的 判 断 指 标 。 5 、 完 全 不 必 要 苛 求 一 种 免 杀 技 术 能   b y p a s s   所 有 杀 软 ， 这 样 的 技 术 肯 定 是 有 的 ， 只 是 没 被 公 开 ， 一 旦 公 开 第 二 天 就 能 被 杀 了 ， 其 实 我 们 只 要 能   b y p a s s   目 标 主 机 上 的 杀 软 就 足 够 了 。
由 于 每 种 免 杀 方 法 和 工 具 之 前 都 发 过 文 章 一 一 介 绍 了 ， 这 里 只 是 做 一 个 总 结 和 索 引 ， 所 以 本 文 中 尽 量 只 是 简 要 文 字 描 述 ， 不 然 的 话 这 一 篇 文 章 可 能 会 太 超 长 了 。 三 、 工 具 免 杀 三 、 工 具 免 杀 3 . 1   V e i l   免 杀 免 杀   ( V T   免 杀 率 免 杀 率   2 3 / 7 1 ) 操 作 便 利 ★ ★ 免 杀 效 果 ★ ★ ★ 推 荐 指 数 ★ ★ ★ 详 细 文 章 链 接 ： h t t p s : / / m p . w e i x i n . q q . c o m / s / - P H V I A Q V y U 8 Q I p H w c p N 4 y w
V e i l 、 V e n o m   和   S h e l l t e r   是 三 大 老 牌 免 杀 工 具 ， 虽 然 说 人 怕 出 名 猪 怕 壮 ， 但 目 前 这 几 款 免 杀 工 具 在 扩 展 性 和 免 杀 能 力 方 面 依 然 有 着 不 错 的 表 现 。 V e i l   可 以 生 成 基 于   c 、 g o 、 r u b y 、 p y t h o n 、 c # 、 p e r l 、 p o w e r s h e l l   等 格 式 的   p a y l o a d ， 这 点 来 说 绝 对 强 于 其 他 绝 大 部 分 免 杀 工 具 。 V e i l   是 一 个 用   p y t h o n   写 的 免 杀 框 架 ， 可 以 将 任 意 脚 本 或 一 段   s h e l l c o d e   转 换 成   W i n d o w s   可 执 行 文 件 ， 还 能 利 用 M e t a s p l o i t   框 架 生 成 相 兼 容 的   P a y l o a d   工 具 ， 从 而 逃 避 了 常 见 防 病 毒 产 品 的 检 测 。 V e i l   的 手 工 安 装 比 较 费 劲 ， 好 在 有   d o c k e r   镜 像 ， 可 以 直 接   p u l l   回 本 地 安 装 使 用 。 3 . 1 . 1   使 用 使 用   v e i l   直 接 生 成 直 接 生 成   e x e ( V T   查 杀 率 查 杀 率   4 4 / 7 0 ) v e i l   可 以 直 接 生 成 支 持   m s f   的   p a y l o a d 。 测 试 时 使 用   g o   语 言 生 成   m s f   的   p a y l o a d 。 在 测 试 主 机 执 行   g o _ m s f . e x e ， m s f   中 可 上 线 。 v i r u s t o t a l . c o m   中   4 4 / 7 1   个 报 毒 虽 然 查 杀 率 还 比 较 高 ， 不 过 火 绒 和   3 6 0   都 能 静 态 + 动 态 免 杀 。 比 较 遗 憾 的 是 生 成 的   e x e   文 件 比 较 大 ， g o   语 言 生 成 的 e x e   大 约   2 M , p y t h o n   生 成 的   e x e   大 约   4 M ， r u b y   生 成 的   e x e   大 约   7 0 0 K ， 相 比   m s f   原 生 态 的   e x e   大 打 多 了 。 3 . 1 . 2   使 用 使 用   v e i l + m i n g w - w 6 4 ( V T   查 杀 率 查 杀 率   2 3 / 7 1 ) 先 用   v e i l   生 成 一 个 可 以 被   m s f   利 用 的   c _ m s f . c   然 后 用   m i n g w - w 6 4   来 编 译
全 程 开 启   3 6 0   卫 士 和 杀 毒 以 及 火 绒 ， 编 译 、 运 行 、 上 线 都 没 有 问 题 。 v i r u s t o t a l . c o m   中   2 3 / 7 1   个 报 毒 3 . 2   V e n o m   免 杀 免 杀   ( V T   免 杀 率 免 杀 率   1 1 / 7 1 ) 操 作 便 利 ★ ★ 免 杀 效 果 ★ ★ ★ ★ 推 荐 指 数 ★ ★ ★ ★ 详 细 文 章 链 接 ： h t t p s : / / m p . w e i x i n . q q . c o m / s / C b f x u p S W E P B 8 6 t B Z s m x N C Q V e n o m   利 用   m s f v e n o m （ m e t a s p l o i t ） 生 成 不 同 的 格 式 的   s h e l l c o d e ， 如 （ c   |   p y t h o n   |   r u b y   |   d l l   |   m s i   |   h t a - p s h ） 等 ， 然 后 将 生 成 的   s h e l l c o d e   注 入 一 个 模 板 （ 例 如 ： p y t h o n ） ， 并 使 用 类 似   g c c 、 m i n g w 3 2   或   p y i n s t a l l e r   之 类 的 编 译 器 生 成 可 执 行 文 件 。 V e n o m   的 一 些 功 能 还 会 直 接 调 用   V e i l - E v a s i o n . p y ， u n i c o r n . p y ， p o w e r s p l o i t . p y   等 来 直 接 创 建 免 杀 程 序 ， 避 免 重 复 造 轮 子 。 经 测 试 ， 使 用   v e n o m   生 成   e x e   后 门 ， v i r u s t o t a l . c o m   中   1 9 / 7 1   个 报 毒
使 用   v e n o m   生 成   d l l   后 门 ， v i r u s t o t a l . c o m   中   1 1 / 7 0   个 报 毒 ， 而 且 能 过 微 软 和 卡 巴 。 在   v e n o m   生 成 编 译 的 过 程 中 可 以 看 到 他 生 成 的   s h e l l c o d e   其 实 是 直 接 调 用 的   m s f v e n o m ， 而 且 在 最 后 也 可 以 和   m s f   联 动 进 行 监 听 ， 还 支 持   a p a c h e   的   w e b   分 发 ， 很 多 模 块 都 能 和   m s f   无 缝 对 接 ， 虽 然 被 杀 软 盯 的 紧 但 免 杀 体 验 还 是 不 错 的 。 3 . 3   S h e l l t e r   免 杀 免 杀   ( V T   免 杀 率 免 杀 率   7 / 6 9 ) 操 作 便 利 ★ ★ ★ ★ ★ 免 杀 效 果 ★ ★ ★ ★ ★ 推 荐 指 数 ★ ★ ★ ★ ★ 详 细 文 章 链 接 ： h t t p s : / / m p . w e i x i n . q q . c o m / s / A S n l d n 6 n k 6 8 D 4 b w k f Y m 3 G g S h e l l t e r   是 一 个 开 源 的 免 杀 工 具 ， 利 用 动 态   S h e l l c o d e   注 入 或 者 命 令 来 实 现 免 杀 的 效 果 。 S h e l l t e r   安 装 非 常 简 单 ， 使 用 也 非 常 便 捷 ， 而 且 生 成 的   p a y l o a d   免 杀 效 果 也 都 比 较 好 ， w i n d o w s   和   l i n u x   下 都 可 以 使 用 ， 实 在 是 居 家 旅 行 必 备 良 药 。 我 是 用 的 自 动 模 式 进 行 生 产   p a y l o a d ,   你 可 以 根 据 自 己 的 需 要 进 行 手 动 配 置 ， 这 样 生 成 的   p a y l o a d   免 杀 效 果 会 更 好 。 因 为   S h e l l t e r   生 成 的   s h e l l c o d e   是 动 态 的 ， 所 以 被 查 杀 的 几 率 也 有 所 不 同 ， 测 试 过 几 次 自 动 化 生 成 的   p a y l o a d ， 最 好 的 秒 杀 效 果 是   4 / 7 1 ， 最 差 的   1 5 / 7 0 ， 整 体 来 说 也 算 不 错 了 。 我 就 直 接 用   k a l i   自 带 的   s h e l l t e r   进 行 演 示 ， 需 要 提 前 准 备 一 个   p e   文 件 作 为 被 注 入 程 序 。
还 是 选 择   w i n d o w s / m e t e r p r e t e r / r e v e r s e _ t c p   作 为   p a y l o a d 全 程 自 动 化 生 成 ， 最 终 的 生 成 文 件 会 替 换 原 来 的   p u t t y . e x e 。 在 测 试 机 中 执 行 生 成 的   p u t t y . e x e ， 3 6 0   和 火 绒 均 可 免 杀
m s f   正 常 上 线 ， v i r u s t o t a l . c o m   中   7 / 6 9   个 报 毒 ， 卡 巴 、 瑞 星 、 微 软 三 个 都 没   b y p a s s 。 。 3 . 4   B a c k D o o r - F a c t o r y   免 杀 免 杀   ( V T   免 杀 率 免 杀 率   1 3 / 7 1 ) 操 作 便 利 ★ ★ 免 杀 效 果 ★ ★ ★ ★ ★ 推 荐 指 数 ★ ★ ★ ★ ★ 详 细 文 章 链 接 ： h t t p s : / / m p . w e i x i n . q q . c o m / s / A 3 0 J H h X h w e 4 5 x V 7 h v 8 j v V Q B a c k D o o r - f a c t o r y ， 又 称 后 门 工 厂   ( B D F ) ， B D F   是 也 是 一 款 老 牌 的 免 杀 神 器 ， 其 作 者 曾 经 在   2 0 1 5   年 的   b l a c k h a t   大 会 上 介 绍 过 该 工 具 。 该 工 具 还 有 很 强 大 的 一 些 其 他 功 能 ， 比 如 加 私 钥 证 书 、 C P T   等 等 。 但 是 作 者 已 经 于   2 0 1 7   年 停 止 更 新 ， 免 杀 效 果 就 算 现 在 来 看 也 还 算 不 错 的 。 利 用   b a c k d o o r - f a c t o r y ， 用 户 可 以 在 不 破 坏 原 有 可 执 行 文 件 的 功 能 的 前 提 下 ， 在 文 件 的 代 码 裂 隙 中 插 入 恶 意 代 码 S h e l l c o d e 。 当 可 执 行 文 件 被 执 行 后 ， 就 可 以 触 发 恶 意 代 码 。 B a c k d o o r   F a c t o r y   不 仅 提 供 常 用 的 脚 本 ， 还 允 许 嵌 入 其 他 工 具 生 成 的   S h e l l c o d e ， 如   M e t a s p l o i t 。 原 理 ： 可 执 行 二 进 制 文 件 中 有 大 量 的   0 0 ,   这 些   0 0   是 不 包 含 数 据 的 ,   将 这 些 数 据 替 换 成   p a y l o a d ,   并 且 在 程 序 执 行 的 时
候 , j m p   到 代 码 段 ,   来 触 发   p a y l o a d 。 b a c k d o o r - f a c t o r y   是 把   s h e l l c o d e   插 入 到 一 个 正 常 的   e x e   文 件 的 代 码 ” 缝 隙 ” 中 ， 类 似 于 捆 绑 但 不 是 捆 绑 ， 所 以 需 要 提 前 准 备 一 个 被 捆 绑 的 宿 主   e x e   文 件 。 当 使 用   B a c k D o o r - F a c t o r y   直 接 生 成 免 杀 后 门 时 ， v i r u s t o t a l . c o m   中   1 3 / 6 9   个 报 毒 。 还 可 以 使 用 自 己 定 义 的   s h e l l c o d e ， v i r u s t o t a l . c o m   中   1 4 / 7 1   个 报 毒 3 . 5   A v e t   免 杀 免 杀   ( V T   免 杀 率 免 杀 率   1 7 / 7 1 ) 操 作 方 便 ★ ★ 免 杀 效 果 ★ ★ ★ ★ 推 荐 指 数 ★ ★ ★ ★ 详 细 文 章 链 接 ： h t t p s : / / m p . w e i x i n . q q . c o m / s / E I f q A b M C 8 H o C 6 x c Z P 9 S X p A A v e t   全 称   A n t i V i r u s   E v a s i o n   T o o l ， 2 0 1 7   年 在   b l a c k h a t   大 会 上 公 开 演 示 ， 可 对   s h e l l c o d e ， e x e   和   d l l   等 多 种 载 荷 进 行 免 杀 处 理 ， 使 用 了 多 种 不 同 的 免 杀 技 术 ， 具 有 较 好 的 免 杀 效 果 ， 据 说 在   b l a c k h a t   大 会 上 演 示 时 免 杀 效 果 震 撼 全 场 。 生 成 的   p a y l o a d   在   v i r u s t o t a l . c o m   中   1 7 / 7 1   个 报 毒
可 能 是 因 为 知 名 度 太 高 ， 默 认 输 出 的   p a y l o a d   免 杀 能 力 只 能 算 是 一 般 ， 测 试 了 几 个 模 块 ， 最 好 的 免 杀 是   1 3 / 7 1 ， 最 差 的 是   3 6 / 7 1 ， 不 过 相 比   m s f   原 生 的 免 杀 已 经 好 很 多 了 。 而 且   A v e t   提 供 了 强 大 的 自 定 义 功 能 ， 在   b u i l d   文 件 夹 下 可 以 看 到 所 有 的   p a y l o a d   生 成 脚 本 ， 很 多 参 数 都 可 以 自 己 设 定 。 A v e t   框 架 也 是 比 较 成 熟 的 ， 可 以 轻 松 的 进 行 二 次 开 发 ， 很 容 易 能 开 发 出 来 自 己 的 专 用 免 杀 工 具 。 3 . 6   T h e F a t R a t   免 杀 免 杀   ( V T   免 杀 率 免 杀 率   2 2 / 7 0 ) 操 作 便 利 ★ ★ 免 杀 效 果 ★ ★ ★ ★ 推 荐 指 数 ★ ★ ★ ★ 详 细 文 章 链 接 ： h t t p s : / / m p . w e i x i n . q q . c o m / s / z O v w f m E t b k p G W W B n 6 4 2 I C A T h e F a t R a t   创 建 的 后 门 或 者   p a y l o a d ， 可 以 在   L i n u x ， W i n d o w s ， M a c   和   A n d r o i d   上 等 多 种 平 台 上 执 行 ， 可 生 成   e x e 、 a p k 、 s h 、 b a t 、 p y   等 多 种 格 式 。 T h e F a t R a t   可 以 和   m s f   无 缝 对 接 ， 并 且 集 成 内 置 了   F u d w i n 、 A v o i d 、 b a c k d o o r - f a c t o r y 等 多 个 免 杀 工 具 ， 对   p o w e r s h e l l   的 免 杀 姿 势 尤 其 多 样 。 T h e F a t R a t   创 建 的 后 门 格 式 和 支 持 的 平 台 比 较 多 样 化 ， 而 且 还 支 持 生 成   C D R O M / U   盘 中 能 自 动 运 行   ( 生 成   A u t o R u n 文 件 )   的 后 门 文 件 ， 并 且 可 以 对   p a y l o a d   更 改 图 标 ， 具 有 一 定 伪 装 效 果 。 使 用   T h e F a t R a t   生 成   p s 1 - e x e ， v i r u s t o t a l . c o m   中   2 2 / 7 0   个 报 毒
使 用   T h e F a t R a t   生 成 加 壳   e x e ， v i r u s t o t a l . c o m   中   1 2 / 7 0   个 报 毒 使 用   T h e F a t R a t   编 译   C # + p o w e r s h e l l   生 成   e x e ， v i r u s t o t a l . c o m   中   3 7 / 7 1   个 报 毒 T h e F a t R a t   的 很 多 免 杀 方 式 是 借 助 于   m s f v e n o m   编 码 、 u p x   等 加 壳 压 缩 、 c / c #   编 译 等 将   p o w e r s h e l l   混 淆 后 编 译 成   e x e 或   b a t   文 件 ， 但 有 些 在 执 行 时 还 是 会 调 用   p o w e r s h e l l ， 而   p o w e r s h e l l   的 调 用 已 经 被 各 大 杀 软 盯 的 很 紧 了 ， 所 以 查 杀 效 果 只 能 算 是 一 般 了 。 3 . 7   A v o i d z   免 杀 免 杀   ( V T   免 杀 率 免 杀 率   2 3 / 7 1 ) 操 作 便 利 ★ ★ 免 杀 效 果 ★ ★ ★ 推 荐 指 数 ★ ★ ★ 详 细 文 章 链 接 ： h t t p s : / / m p . w e i x i n . q q . c o m / s / T n f T X i h l y v 6 9 6 u C i v 3 a W f g a v o i d z   是 一 个 比 较 使 用 比 较 简 单 的 小 工 具 ， 利 用   m s f   生 成   p o w e r s h e l l   的   s h e l l o c d e ， 然 后 利 用   c # 、 p y t h o n 、 g o 、 r u b y 等 语 言 对   s h e l l c o d e   进 行 编 译 生 成   e x e   而 达 到 免 杀 的 效 果 ， 套 路 比 较 简 单 ， 静 态 检 测 查 杀 率 还 算 可 以 ， 但 行 为 检 测 就
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理