免杀原理与实践

基础问题回答

Q1：杀软是如何检测出恶意代码的？

（1）基于特征码的检测

• 特征码是一段或多段数据，如果一个可执行文件（或其他运行的库、脚本等）包含这样的数据则被认为是恶意代码。
• AV软件厂商要做的就是尽量搜集最全的、最新的特征码库。所以杀毒软件的更新很重要。过时的特征码库就是没有用的库。
• 恶意软件的检测，并不是比对整个文件，而只能只其中一个或几个片断作为识别依据。
• 特征库举例——SNORT

（2）启发式恶意软件检测

• 根据片面特征去推断（看起来像），通常缺乏精确判断依据
• 不需要及时更新，具有通用型；但实时监控系统行为开销稍大，没有基于特征码的精确度高

（3）基于行为的恶意软件检测

• 基于行为的检测相当于启发式的一种，或者是加入了行为监控的启发式
• 让软件运行，记录其行为并分析（杀软的工作原理）

Q2： 免杀是做什么？

• 使用一些手段，免杀就是让安插在被控机器的恶意代码不被杀毒软件软件发现。

Q3：免杀的基本方法有哪些？

（1）改变特征码（改变机器指令）

• 有EXE——加壳：压缩壳、加密壳
• 有shellcode（像Meterpreter）——用encode进行编码、基于playload重新编译生成可执行文件
• 有源代码——用其他语言进行重写再编译（veil-evasion）

（2）改变行为

• 通讯方式：尽量使用反弹式连接、使用隧道技术、加密通讯数据
• 操作模式：基于内存操作、减少对系统的修改、加入混淆作用的正常功能代码

实验过程

任务一：正确使用msf编码器、msfvenom生成如jar之类的其他文件

（一）免杀检测
在实验二中使用msf生成了后门程序20201229_backdoor.exe，可以使用https://www.virustotal.com对生成的后门程序进行扫描。