Veil—绕过杀毒软件的payload生成器 -[中国寒龙荣誉出品]

最新推荐文章于 2022-03-31 19:59:34 发布

weixin_30721077

最新推荐文章于 2022-03-31 19:59:34 发布

阅读量172

点赞数

文章标签： python 运维

原文链接：http://www.cnblogs.com/hackerschina/p/4788714.html

版权

程序截图：

注意：请不要作坏事，不要向VirusTotal提交任何payload

在几乎所有的评估中，渗透测试人员必须与杀毒软件做斗争。每次斗争的水准依赖于杀毒软件的解决方案以及其定义等。在过去的半年中，我着手于研究如何绕过杀毒软件。两月前，仔细回顾了一下自己最近的研究，以使其更加有用。下面是我设定的一些目标：

·绕过在大多数网络环境下能遇到的杀毒软件

·利用Metasploit兼容的payload，在后期版本中进行扩展

·尽可能的使每个payload文件随机化

设定这些目标后，就继续研究绕过杀毒软件的方法。因为主要想兼容Metasploit,所以使用的是metasploit尤其是msfvenom生成的shellcode。为了做到这点，我开始查找别人的研究成果，发现了一些有趣的技术，已经被一些诸如Dave Kennedy 和Debasish Mandal的人发展。从他们的研究成果中，发现了通过pyhton向内存中注入shellcode的非常有趣的方法。这些方法是接下来研究的基础。

因为我们主要的评估是在windows环境下的，所以这个工具需要在windows下可靠的工作。由于这个工具是用Python写的，就要搞明白如何打包包含有混淆shellcode的python输出文件，从而使得目标机器上不需要安装python。一种方法是使用Py2Exe。一些其他软件正是使用这种方法来把他们的python脚本转成windows上的可执行程序，同样我也这么做。使用我写的payload来测试Py2Exe ，最终在不同版本上的windows成功运行，所以我就采用了这种方法。最后一步就是发展自动化的payload生成程序，很高兴能够发布Veil。

目前Veil支持使用7种不同的方式生成21种不同的payload，这与具体的命令有关。Veil提供给用户两种不同的方式将 pythonpayload转为可执行程序，一种是Pyinstaller ，另外一种就是Py2Exe 。使用Pyinstaller ，Veil用户只需使用Kali将他们的文件转成可执行程序而不需要虚拟机。使用Py2Exe，Veil将会生成三个文件，在生成最终的可执行程序的时候将会用到他们。这三个文件分别是：一个payload文件（Python写的），一个Py2Exe运行时需要的指令文件，一个用于将payload转换为可执行程序的批处理脚本。要生成最终的payload，把这三个文件拷到安装有Python, Py2Exe和PyCrypto的Windows主机上，然后运行批处理脚本。就会生成最终要传到目标机器上的可执行程序。这个可执行程序能够放在任何 windows系统上,其需要的库都已经放在了可执行文件中。一旦放在了一个系统上并且执行，payload就会产生一个没有被杀毒软件检测到的 meterpeter 回执。