0x01 渗透中的隐匿大师
在一次针对某公司的红队渗透测试中，我们发现目标网络的防御系统异常强大，几乎所有常规的攻击载荷都被EDR和防病毒软件拦截。然而，正是在这种环境下，免杀技术展示了它的非凡价值。通过一系列的技术手段，我们成功绕过了目标的安全检测，获取了关键数据并安全撤离。
免杀技术，顾名思义就是让恶意代码在目标环境中“隐身”，从而实现持久的控制。在这篇文章中，我们将深入探讨免杀技术的原理以及如何在实战中加以实施。
流量捕获实战
在开始免杀技术之前，我们需要一个稳定的攻击环境。在本次实战中，我们选择使用Go语言结合Shell脚本来构建免杀载荷，因为Go编译后的二进制文件具有优异的跨平台性和高效的性能。
环境搭建
为了测试我们的免杀技术，我们需要搭建一个包含以下组件的实验环境：
- 攻击者机器：运行Kali Linux，安装Go语言环境
- 目标机器：Windows 10，安装了主流的EDR和防病毒软件
- C2服务器：用于接收和发送指令
在攻击者机器上，安装Go语言环境可以通过以下命令完成：
<pre><code class="language-shell">sudo apt update sudo apt install golang-go</code></pre>
接下来，我们需要设置一个C2服务器，这里选择Metasploit框架：
<pre><code class="language-shell">sudo apt install metasploit-framework</code></pre>
实战演练
一旦环境搭建完成，我们开始准备免杀载荷。我们的目标是创建一个恶意载荷，它能在目标机器上执行但不会被检测到。
Payload构造的艺术
在构造免杀Payload时，我们需要考虑的关键是如何让我们的代码逃避静态和动态分析。Go语言的强大之处在于它可以通过多种方式实现代码混淆和内存加载。
混淆技术
混淆技术在免杀中起到了至关重要的作用。通过改变代码结构和降低可读性，我们可以有效地提高检测难度。以下是一个简单的Go语言代码混淆示例：
<pre><code class="language-go">package main
import ( "fmt" "os" "syscall" )
func main() { // Original code: fmt.Println("Hello, World!") fmt.Printf("H%sllo, %s!\n", "e", "World")
// Using syscall to execute shell command cmd := "cmd.exe /C whoami" syscall.Syscall(syscall.SYS_EXECVE, uintptr(unsafe.Pointer(&cmd)), 0, 0) }</code></pre>
内存加载
内存加载技术使得我们的恶意代码不需要在磁盘上留下痕迹，从而减少被检测的风险。以下是一个使用Go语言实现内存加载的示例：
<pre><code class="language-go">package main
import ( "io/ioutil" "os" "syscall" )
func main() { // Load payload into memory payload, err := ioutil.ReadFile("payload.bin") if err != nil { fmt.Println("Error reading payload:", err) return }
// Execute payload directly from memory syscall.Syscall(syscall.SYS_EXECVE, uintptr(unsafe.Pointer(&payload)), 0, 0) }</code></pre>
隐匿与逃避策略
成功构造免杀Payload后，我们需要确保它在目标环境中能够长期隐匿。为了实现这一目标，我们可以采用以下策略：
环境识别
在执行载荷之前，我们可以检测目标环境的特征，例如操作系统版本、已安装的软件等。根据这些信息，调整载荷行为以降低检测概率。
动态行为调整
通过实现动态行为调整，载荷可以在发现自身处于高风险环境时自动修改行为。例如，降低网络活动频率或进入休眠状态。
痕迹清除与反检测
在完成任务后，清除痕迹不仅能防止被检测，还能确保后续攻击的成功率。
活动日志清理
大多数操作系统都会记录系统活动，通过访问这些日志，我们可以找到载荷执行的痕迹。以下是一个清理Windows事件日志的示例：
<pre><code class="language-shell">wevtutil cl Application wevtutil cl System wevtutil cl Security</code></pre>
注册表清理
恶意代码可能会在注册表中留下痕迹，通过以下命令可以清理这些记录：
<pre><code class="language-shell">reg delete HKCU\Software\Microsoft\Windows\CurrentVersion\Run /f</code></pre>
战斗经验分享
经过多次实战测试，我们总结出了一些关键经验：
- 不同环境对免杀载荷的检测能力差异明显，应根据具体环境调整载荷。
- 避免在主流反病毒软件检测敏感区域执行恶意操作。
- 定期更新免杀技术，保持对抗防御系统的优势。
在这篇文章中，我们展示了从环境搭建到免杀技术实施的完整过程。希望这些内容能为安全研究人员在实际渗透测试中提供有价值的参考。记住，所有技术仅限用于合法授权的安全测试。