【干货】CS免杀之信手拈来

  • A+
所属分类:安全文章

  点击蓝字关注我哦


前言

最近搞了一个cs免杀的东西出来,主流的杀毒软件,某绒,某0,windows defender都轻松过掉,但是把在测试卡巴全方位版时,成功上线之后就死掉了,我怀疑不是内存查杀,如果是内存查杀,我把shellcode写进去内存的时候,就应该爆肚了,我觉得还是cs上线之后的行为触发卡巴的杀毒机制,就哦豁了。

然后我就在github上面找点项目来参考一下,果然找到一个很不错的项目,这里分享给大家。



免杀实践

项目地址:

https://github.com/ORCA666/EVA2

根据作者描述,这个项目是用来过windows defender的,但是windows defender都能过,那国内的杀软基本是都查杀不出来。

采用的技术有:

- 反调试技术

- 编码的shellcode

- shellode的解密和注入发生在内存中[逐字节],因此被检测到的机会更少

- 使用系统调用

项目还细心配置了**.profile**文件,真不错嗷

1.首先cs生成shellcode,直接生成c文件格式的,64位的(32位不支持)

把生成的shellcode放入encoder.py 文件

【干货】CS免杀之信手拈来

python2 运行,获得加密后的shellcode

【干货】CS免杀之信手拈来

2.把加密好的shellcode,直接填入项目中

【干货】CS免杀之信手拈来


然后编译x64

3.运行效果

轻轻松松上线

【干货】CS免杀之信手拈来

4.测试免杀效果

【干货】CS免杀之信手拈来

【干货】CS免杀之信手拈来

卡巴全方位还是过不了

【干货】CS免杀之信手拈来

果然,还是cs的内存特征太明显了,卡巴已经杀烂了,卡巴牛逼,这坚定了我自己写马的决心了。






总结

在绝对的内存查杀,行为查杀面前,变化,加密,都是没有用的,治标不治本,cs的内存特征已经被杀烂了。

但是还是可以,除了卡巴过不了,大多数还是可以顶顶。

重复作者的一句话,第一件事,不要上传云沙箱!!!!!!!!!

反正我无所谓的,我一般都是用我自己的写的马,我也不会分享出来,因为分享出来,几天就没了,感谢大家理解,当然我觉得一些可以分享出来的,我还是毫不保留的分享出来嗷。


【干货】CS免杀之信手拈来

END

【干货】CS免杀之信手拈来


【干货】CS免杀之信手拈来


看完记得点赞,关注哟,爱您!


【往期推荐】

【内网渗透】内网信息收集命令汇总

【内网渗透】域内信息收集命令汇总

【超详细 | Python】CS免杀-Shellcode Loader原理(python)

【超详细 | Python】CS免杀-分离+混淆免杀思路

【超详细 | 钟馗之眼】ZoomEye-python命令行的使用

【超详细】CVE-2020-14882 | Weblogic未授权命令执行漏洞复现

【超详细 | 附PoC】CVE-2021-2109 | Weblogic Server远程代码执行漏洞复现

【漏洞分析 | 附EXP】CVE-2021-21985 VMware vCenter Server 远程代码执行漏洞

【CNVD-2021-30167 | 附PoC】用友NC BeanShell远程代码执行漏洞复现

【奇淫巧技】如何成为一个合格的“FOFA”工程师

记一次HW实战笔记 | 艰难的提权爬坑

【超详细】Microsoft Exchange 远程代码执行漏洞复现【CVE-2020-17144】

【超详细】Fastjson1.2.24反序列化漏洞复现

走过路过的大佬们留个关注再走呗【干货】CS免杀之信手拈来

往期文章有彩蛋哦【干货】CS免杀之信手拈来

【干货】CS免杀之信手拈来

一如既往的学习,一如既往的整理,一如即往的分享。【干货】CS免杀之信手拈来

如侵权请私聊公众号删文


本文始发于微信公众号(渗透Xiao白帽):【干货】CS免杀之信手拈来

发表评论

:?: :razz: :sad: :evil: :!: :smile: :oops: :grin: :eek: :shock: :???: :cool: :lol: :mad: :twisted: :roll: :wink: :idea: :arrow: :neutral: :cry: :mrgreen: