目录
步骤七:测试payload.exe、payload02.exe和payload03.exe能不能正常连接到主控端
步骤四:PowerSploit功能一:检测被控端的特征码(使用AntivirusBypass)
步骤五:PowerSploit功能二:实现将DLL注入进程(使用CodeExecution)
6.6远程控制被控端与杀毒软件的博弈
1、杀毒软件主要使用以下3种技术:
1)基于文件扫描的反病毒技术
2)基本内存扫描的反病毒技术
3)基于行为监控的反病毒技术
2、黑客主要使用的免杀手段:
1)修改特征码
2)添加花指令
3)程序加密(加壳)
6.6.0简介
为了防止黑客偷偷在计算机上安装远程控制被控端,我们通常会在计算机上安装杀毒软件,如我们都很熟悉的 360 卫等。试图将远程控制被控端植目标系统时,常常会被这些杀毒软件发现并阻止。
长期以来,杀毒软件厂商和黑客一直处于博弈的状态,杀毒软件厂商研究了各种检测和清除远程控制被控端的方法,而黑客也一直致力于研究避开检测的方法(简称为免杀技)术)。双方“各显神通”,一直在“魔高一尺,道高一丈,魔再高一丈”地发展着。
6.6.1 msfvenom提供的免杀方法
步骤一:生成一个普通的payload
(输入命令、结果截图并进行必要说明)
步骤二 :到安装了火绒杀毒软件的虚拟机下载攻击载荷。
(下载被控端,火绒杀毒软件是否弹出警告?)
步骤三:生成一个免杀的payload
1.查看msfvenom中可用的编码方式
2、使用评级为low的编码方式/x86/nonalpha生成一个免杀的payload
(执行2次,2次生成的Shellcode相同吗?)
3、使用评级为excellent的编码方式生成一个免杀的payload
(1)执行第1次(采用默认的1次编码):
(2)执行第2次(采用默认的1次编码):
(结果:执行2次,2次生成的Shellcode相同吗?)
(3)执行第3次(使用多次编码、多重编码)
步骤四:到安装了火绒杀毒软件的虚拟机下载攻击载荷。
(下载被控端,火绒杀毒软件是否弹出警告?)
(输入命令、结果截图并进行必要说明)