杀毒与免杀技术详解---白嫖党福音

简介

不管是社工钓鱼，还是一句话木马getshell，远控，亦或者是反弹shell，都会遇到杀软waf这些大敌，当然主要还是杀软，因此我们不得不考虑免杀进而实现我们渗透测试目的。

概念

1.1 免杀类别

简单总结下我知道的免杀类别：

一句话木马绕狗（我觉得他不应该出现在这里，但为了致敬我学习的第一个免杀，把他放了出来）

文件不落地
shellcode加密
修改源码增加花指令
DLL加载
自定义加载器
指定特定的运行方式
加壳

当然还可以按照大的类别划分

静态扫描免杀
内存扫描免杀
流量分析免杀
行为分析免杀
逆向分析免杀
机器学习免杀

由于弟弟水平有限，知道的东西很少（流量分析，逆向分析一点不懂，机器学习更是一脸懵逼），望哥哥们见谅，当然最好能留下些建议或者私下能和弟弟交流下。

1.2 免杀工具

推荐一些公开流传的k8工具：

文字：

sc加载器（具体下面有介绍）
K8免杀系统自带捆绑器加强版V2.0
K8数字签名添加器
K8随机免杀花指令生成器V2.0（只是生成花指令）

图片：

大概的总结下k8工具过免杀思路吧：

1.sc加载器实现绕过，原理在于加密
2.利用其他安全软件的数字签名，进行绕过
3.捆绑正常的软件，进行绕过
4.增加没有实用效果的花指令进行绕过（花指令需要自己加然后编译）

既然是免杀，当然不能忘记cs：
cs（Cobalt Strike）的话我只有三个版本，v3的两个版本,还有v4.0的，cs是一个强大的免杀工具，并且支持c2在线团队使用。对于很多大佬来说肯定是十分熟悉的，弟弟我只能简单的介绍下其简介：

cs拥有多种协议主机上线方式，集成了提权，凭据导出，端口转发，socket代理，office攻击，文件捆绑，钓鱼等功能。同时，cs还可以调用Mimikatz等其他知名工具。

实践

说的再多也不如拿真实情况来说话，实践主要对上述的六种工具做下简单的使用，并利用线上沙箱进行简单的查杀检测。

2.1：Cobalt Strike-3.12

因为是浅谈，再有就是我实在是太懒了，能缩水就缩水，求饶过别打我。

2.1.1：安装sever

我用的啊某云的云当的sever，这里需要注意的是只能用linux的，并且安装好java，3.12的有不同的包，而4.0的只有一个包。接下来主要以3.12为主。