一、渗透案例始末
某日，我接到一个授权测试任务，目标是一家企业的内部网络。我们的任务是通过外部的Web应用入口进行渗透，最终获取企业内网敏感数据。在这种情况下，我们面临的主要挑战便是绕过目标的安全防护措施，尤其是EDR（Endpoint Detection and Response）和杀毒软件。这时，Shellcode加密免杀技术成为了我们的关键工具。
这个案例的故事从一次成功的钓鱼攻击开始。通过社工手段，我们成功让目标员工下载并执行了一个我们精心设计的初始Payload。然而，深入内网的道路并不平坦。EDR实时监控，病毒扫描器虎视眈眈，让我们的Payload频频遭遇拦截和查杀。如何让我们的Shellcode成功在目标系统上运行，成为了攻克这次任务的核心。
二、Payload构造的艺术
在构造Payload时，我首先考虑的是如何在不触动安全软件警报的情况下，成功注入恶意代码。常规的Shellcode在编译后，往往会被安全软件特征码识别出。因此，Shellcode加密成了一种有效的免杀策略。
Shellcode加密技巧
- 自定义加密算法：使用简单的XOR加密是一个不错的起点，但为了增加难度，我倾向于设计自己的加密算法。由于常见的加密方式可能已经被安全软件识别，我们需要在加密和解密过程中加入更多的随机性。
- 分段式加密：将完整的Shellcode分割成多个段，每段使用不同的密钥加密。这样，即便某段被检测出，其他段仍旧可以保留其隐秘性。
- 编码策略调整：对加密后的Shellcode进行编码，例如Base64编码，以减少直接被识别的几率。
<pre><code class="language-ruby"># Ruby加密示例 def encrypt_shellcode(shellcode, key) encrypted = shellcode.bytes.map.with_index { |byte, i| byte ^ key[i % key.size].ord } encrypted.pack('C').unpack('H').first end
shellcode = "\x31\xc0\x50\x68\x2f\x2f\x73\x68" key = "randomkey" encoded_shellcode = encrypt_shellcode(shellcode, key) puts "加密后的Shellcode: #{encoded_shellcode}"</code></pre>
解密与执行
在目标机器上，我们需要解密并执行Shellcode，这就需要一个解密Stub。
<pre><code class="language-shell"># Shell解密示例 key="randomkey" shellcode="\x31\xc0\x50\x68\x2f\x2f\x73\x68"
function decrypt { local encrypted="$1" local key="$2" local decrypted="" local encrypted_bytes=$(echo -n "$encrypted" | xxd -p -r) for ((i=0; i<${#encrypted_bytes}; i++)); do byte=$(printf "%d" "'${encrypted_bytes:$i:1}") key_byte=$(printf "%d" "'${key:$(($i % ${#key})):1}") decrypted+=$(printf "\\x$(printf "%x" $(($byte ^ $key_byte)))") done echo -n "$decrypted" }
decrypt "$shellcode" "$key"</code></pre>
三、渗透环境搭设
为了确保我们的Payload在真实环境中能够发挥作用，我们搭建了一个模拟目标网络的测试环境。这个环境包括：
- 带有EDR和杀毒软件的虚拟机：帮助我们测试Payload在目标机器上的行为。
- 受控的攻击机：用于发送和接收Payload，观察其运行效果。
- 网络监控设备：用于捕获Payload的流量，并分析是否能够被检测。
环境搭建步骤
- 设置虚拟机：安装常见的EDR和杀毒软件，确保它们的特征库是最新的。
- 配置攻击机：安装必要的渗透测试工具，如Metasploit、Cobalt Strike等。
- 网络监控：使用Wireshark或tcpdump等工具监控流量，观察Payload发送和返回的每一步。
通过在受控环境中反复测试，我们逐步调整Shellcode的加密策略，直到成功绕过所有防护措施。
四、绕过检查的策略
成功的渗透不仅需要攻破目标的外部防线，还需要在内部避免被检测。在这个案例中，我们采用了一些额外的策略来增强免杀效果。
动态加密策略
除了静态加密外，我们在Shellcode执行前后动态修改其内容：
- 动态生成密钥：根据执行环境的特定参数（如时间戳、机器名等）生成独特的解密密钥，避免被分析人员轻易复现。
- 多层加密：在不同的执行阶段应用不同层的加密，增加逆向分析的难度。
隐藏通信流量
为了隐藏Payload的通信流量，我们采用了流量伪装技术：
- 协议混淆：使用合法的协议头部包裹数据，使其看似正常流量。
- 流量分片：将数据分成多个小包，混入正常流量中传输，避免单一流量暴露。
五、检测与防御
尽管我们在渗透测试中成功使用了这些技术，但为了提升整体的网络安全，分享一些检测和防御经验是至关重要的。
检测技术
- 行为分析：结合静态和动态分析，识别异常行为而非仅依赖特征码。
- 流量分析：实时监控网络流量，检测异常的流量模式或协议使用。
防御建议
- 定期更新安全策略：及时更新防护软件的特征库和规则，防御已知和未知威胁。
- 增强员工安全意识：通过培训和演练，提高对钓鱼攻击和社工攻击的防范意识。
- 多层防御体系：采用多种防护措施，从不同层面抵御攻击，如使用WAF和IDS/IPS。
六、攻防经验总结
通过这次渗透测试，我深刻体会到加密和伪装技术在攻防对抗中的重要性。成功的攻击不仅依赖技术手段，更需要缜密的策略和反复的测试。未来的安全研究将继续围绕如何提升攻击和防御的对抗能力展开。
在合法授权的前提下进行安全测试，是提升网络安全水平的重要途径。希望本文的分享能够为红队和安全研究人员提供一些实用的技巧和思路。记住，任何攻击技术都应服务于更安全的防御体系的建立。