20145313免杀原理与实践

问题回答

• 杀软是如何检测出恶意代码的？
  • 使用特征码检测。特征码就是一类恶意程序中很大概率会有的代码部分，通过检测程序中是否有这部分即可判定是否是恶意程序。
  • 通过行为检测，测试其是否有可疑行为。
  • 通过恶意程序一般有的特征去判断。
• 免杀是做什么？
  • 免杀即使用不同方法使得恶意程序不被杀软和防火墙发觉。
• 免杀的基本方法有哪些？
  • 利用加壳、多次编码等方式改变掩盖特征码。
  • 改变自身可疑行为。如进行反弹式连接。
  • 集成在盗版软件中，诱使使用者使用时关闭杀软防火墙。

实践过程

• 首先使用上次实验的backdoor程序为基准，测试免杀效果。
  

可知39款杀软中有20款检出。

• 使用编码器编码1次及8次。
  

只减少了一款。没有实际用处。

• 使用Veil-Evasion生成
  
  减少到了10款检出。
• 使用C语言自己编写程序，成功获得后门权限

检查报告

只有3款检出

• 利用UPX压缩壳
  
  检出率不降反升，大概是因为对UPX软件采取了特殊“待遇”。对其本身进行了特征码检测。

• 利用加密壳Hyperion
  
  ？
  11款报毒。。。。。大概这个软件更有名？？？

免杀结果

微点杀毒未检出（真的菜）

360杀毒检出4个恶意代码，分别是原始后门代码、8次编码代码、利用UPX压缩壳生成代码以及C语言生成代码。还有3个恶意代码未检出。在其检测报告中注意到，360把软件流行程度也作为考虑是否是恶意代码的条件之一。一部分过去课堂做的C语言程序也被检出是病毒。这个实在无法避免。另外，360会将不能确认的文件；联网上传检测，更为安全。

转载于:https://www.cnblogs.com/entropy/p/6596349.html