—-网易云热评 一、简介 快速生成免杀exe可执行文件，目前拥有三种免杀的方法 二、下载及安装 1、下载到本地 git clone https://github.com/lengjibo/FourEye.git...r requirements.txt 三、使用方法 1、打开该软件 python3 BypassFramework.py 2、显示可生成的软件，list 3、选择shellcode，显示可选择的免杀方式...4、选择fibers免杀方式，加密方式选择xor，输入shellcode，选择平台的位数，execute运行 注意：如果报错请安装mingw环境 apt-get install gcc-mingw-w64
免杀是同所有的检测手段的对抗，目前免杀的思路比较多。本篇介绍了一个独特的思路，通过内存解密恶意代码执行，解决了内存中恶意代码特征的检测。...原文链接：https://forum.butian.net/share/2669 0x00 前言 免杀是同所有的检测手段的对抗，目前免杀的思路比较多。...0x02 流程 通过双重 xor 对shellcode进行加密 申请内存执行指定命令 通过计算地址执行解密函数指令后执行shellcode 效果： 0x03 免杀制作思路 1、静态免杀 杀软是通过标记特征进行木马查杀的...(int i = 5;i<sizeof(shellcode);i++) { ((char*)p)[i] = ((char*)p)[i]^184^6; } } 2、动态免杀..." 在经过加密后的shellcode之前插入一条call指令，可以是直接call e8或间接call ff15，当然使用jmp或jcc等其他的方式也可以，目的是跳转到我们的解密函数
文章打包下载及相关软件下载：https://github.com/TideSec/BypassAntiVirus ---- 免杀能力一览表 ?...4、其他杀软的检测指标是在virustotal.com（简称VT）上在线查杀，所以可能只是代表了静态查杀能力，数据仅供参考，不足以作为免杀的精确判断指标。...5、完全不必要苛求一种免杀技术能bypass所有杀软，这样的技术肯定是有的，只是没被公开，一旦公开第二天就能被杀了，其实我们只要能bypass目标主机上的杀软就足够了。...virustotal.com中39/71个报毒,以为能过360和火绒，免杀应该不错的... ?...参考 Msf&zirikatu免杀结合利用：http://www.secist.com/archives/3113.html
本文分为几个部分： 1、shellcode加载器实现； 2、代码混淆； 3、寻找免杀api 4、分离免杀，分离加载器与shellcode； 5、python打包成exe 6、组合，免杀效果分析 0x01...首先我们要明白，Shellcode是一串可执行的二进制代码，那么我们想利用它就可以先通过其他的方法来开辟一段具有读写和执行权限的区域；然后将我们的Shellcode放进去，之后跳转到Shellcode的首地址去执行就可以了...但是现在并没有任何免杀效果。...当然，作为开源软件，veil的特征已经被杀软标记了，它的免杀效果已经不怎么样了，不适合拿来直接用。 我们只是用来对shellcode进行混淆，以及获取一些反沙箱的代码。...，这只是免杀技术的冰山一角角。
免杀实战—小马免杀 引用免杀 因为D盾、安全狗、护卫神会对关键字eval中的执行变量进行溯源，当追溯到要执行的变量为一个通过POST接收的可疑数据时就会显示可疑木马，为了躲避这种溯源方式，可以通过多次使用...幸好今天"反引号"大哥来串门，不妨让他来帮个忙： 发现成功免杀，之后我们再使用安全狗查杀一下看看————成功免杀 护卫神————成功免杀 至此，成功免杀安全狗、护卫神、D盾，之后我们试试可用性：...之后使用安全狗查杀————成功免杀 之后使用护卫神查杀————成功免杀 至此，成功免杀D盾、安全狗、护卫神，之后我们使用菜刀连接试试看是否可以正常使用： 免杀实战—大马免杀 加密&混淆 在免杀处理的众多方法中...对上面的大马程序进行一次base64加密处理，encode.php代码如下： 之后我们在浏览器中访问encode.php即可实现对shell.php大马程序的加密处理： PS:因为木马程序源代码中含有很多敏感的操作...之后使用安全狗查杀————成功免杀 之后使用护卫神查杀————成功免杀 至此，成功免杀D盾、安全狗、护卫神，之后我们试试可用性： 文末小结 这篇免杀文章最初写作与2019年10月份左右，文中涉及到的免杀技巧大多数是较为成熟的技巧
别人的静态免杀 在Github上看到一个c++的免杀，在4月6号的时候，还是bypass 很多的，但是一个月过去了，我执行之后发现了只能过火绒： 项目地址：https://github.com/G73st...复现其他师傅的免杀 2.1 c++部分 其实他这部分代码的逻辑就是一个利用自己的密钥进行解密，解密之后再申请内存，执行shellcode，在这里先将别人的代码下载下来，在本地跑一下： 先把项目下载，然后把...免杀Windows Defender 对于作者一个月以前的更新，可以过Windows Defender，但是现在只能免杀火绒，在这里对此做一个小小的改动，就可以达到以前的那种效果，但是依旧无法过360（...因为免杀一直会被标记，此处的tips暂不提供，希望师傅能够理解） 此时最新版的Windows Defender 上线成功： 但是！！！...当然，在这个免杀中，均属于静态免杀，有些属于乱杀，就像碰到易语言一样，大家都杀！
0x03 为什么使用python python语言入门门槛低，上手快，且两三年前就出现了这种免杀方式，但是很多人说网上公开的代码已经不免杀了。事实真的如此吗？...av分析（早些年的花指令免杀思维） 5、：CobaltStrike生成的shellcode是一段下载者，主要功能是下载becon.dll，然后加载进内存，很多功能都在bencon里面，所以说cs的shellcode...答案是否定的：CobaltStrike的管道通信模式加上将花指令免杀思维运用在高级语言层面上一样有效，人话就是在shellcode loader的代码层面加一些正常的代码，让exe本身拥有正常的动作，扰乱...总结：本文所阐述的粗略且浅显的免杀方法都是站在CobaltStrike强大的肩膀上实现的。...0x09 总结 此种方式的缺点：单文件体积过大，go语言比较小，veil里面有使用go进行免杀的，单文件体积在800kb左右，如果你学过go的语法，建议你利用go语言来免杀，具体操作，你可以在使用veil
本专题文章导航 1、远控免杀专题(1)-基础篇：https://mp.weixin.qq.com/s/3LZ_cj2gDC1bQATxqBfweg 2、远控免杀专题(2)-msfvenom隐藏的参数：https...://mp.weixin.qq.com/s/1r0iakLpnLrjCrOp2gT10w 3、远控免杀专题(3)-msf自带免杀(VT免杀率35/69)：https://mp.weixin.qq.com...5、远控免杀专题(5)-Veil免杀(VT免杀率23/71):本文 文章打包下载及相关软件下载：https://github.com/TideSec/BypassAntiVirus ---- 免杀能力一览表...---- 前言 Veil、Venom和Shellter是三大老牌免杀工具，虽然说人怕出名猪怕壮，但目前这几款免杀工具在扩展性和免杀能力方面依然有着不错的表现。...团队已出版《Web安全攻防：渗透测试实战指南》，《内网安全攻防：渗透测试实战指南》，目前在编Python渗透测试，JAVA代码审计和二进制逆向方面的书籍。
://mp.weixin.qq.com/s/1r0iakLpnLrjCrOp2gT10w 3、远控免杀专题(3)-msf自带免杀(VT免杀率35/69)：https://mp.weixin.qq.com...5、远控免杀专题(5)-Veil免杀(VT免杀率23/71): https://mp.weixin.qq.com/s/-PHVIAQVyU8QIpHwcpN4yw 6、远控免杀专题(6)-Venom免杀...(VT免杀率11/71):本文 文章打包下载及相关软件下载：https://github.com/TideSec/BypassAntiVirus ---- 免杀能力一览表 ?...---- 前言 Venom和Veil、Shellter是三大老牌免杀工具，免杀主要依靠分离执行和加密混淆等技术，可以和msf无缝对接。...团队已出版《Web安全攻防：渗透测试实战指南》，《内网安全攻防：渗透测试实战指南》，目前在编Python渗透测试，JAVA代码审计和二进制逆向方面的书籍。
spm_id_from=333.999.0.0&vd_source=4652172a15b97e23a4fc522adb2ef705 使用纤程免杀 纤程Fiber的概念：纤程是比线程的更小的一个运行单位...但是纤程是通过用户模式的代码来实现的，是程序员自己写的算法，内核不知道纤程的实现方式，而是你自己定义的调度算法，因此纤程是“非抢占”的调度方式 https://docs.microsoft.com/en-us...，异或次数按照刚刚设置的进行修改 5、gcc xc2.c -mwindows编译生成exe 免杀效果：火绒✔ def✔ eset✔ 360✔（需要迅速注入其他进程）卡巴斯基❌ 反模拟运行检测 本质上就是将恶意程序放入沙箱中...但是这是杀软自己模拟出的一个环境。...fibersapi.h DWORD result = FlsAlloc(NULL); if (result == FLS_OUT_OF_INDEXES) { return 0; } 使用求反免杀
://mp.weixin.qq.com/s/1r0iakLpnLrjCrOp2gT10w 3、远控免杀专题(3)-msf自带免杀(VT免杀率35/69)：https://mp.weixin.qq.com...5、远控免杀专题(5)-Veil免杀(VT免杀率23/71):https://mp.weixin.qq.com/s/-PHVIAQVyU8QIpHwcpN4yw 6、远控免杀专题(6)-Venom免杀...(VT免杀率11/71):https://mp.weixin.qq.com/s/CbfxupSWEPB86tBZsmxNCQ 7、远控免杀专题(7)-Shellter免杀(VT免杀率7/69)：本文 文章打包下载及相关软件下载...---- 前言 Shellter和Venom、Veil是三大老牌免杀工具，Shellter是一个开源的免杀工具，利用动态Shellcode注入或者命令来实现免杀的效果。...团队已出版《Web安全攻防：渗透测试实战指南》，《内网安全攻防：渗透测试实战指南》，目前在编Python渗透测试，JAVA代码审计和二进制逆向方面的书籍。
准确来说入职新公司一年多 从红队转开发已经感觉很久没有聊过免杀的内容了。...在职期间也遇到不少朋友问免杀的事情和入门的事情 所以今天就浅谈一下免杀 给有基础的人简单入个门以下仅个人观点大佬勿喷 1.概述 本文的杀软不针对国内杀软，360、火绒、电脑管家没测试； 本文的原始马全是...免杀不是小白能懂的，切记免杀绝对不是一件很简单的事情，如果有人告诉你免杀和玩一样这种的人 这种大概率是割韭菜（360的大佬都不敢这么说）。...c->c++->windows核心编程-> 恶意代码分析、windows操作系统原理 8. 自研c2 首先我不认为一个人能够完全的实现一套完整的商业c2链，真正的顶级c2是需要各层面的人来实现的。...看雪上有很多好的文章可以学习，大部分所谓的免杀课程真的能教你一些核心或者未公开的技术吗？
本专题文章导航 1、远控免杀专题文章(1)-基础篇：https://mp.weixin.qq.com/s/3LZ_cj2gDC1bQATxqBfweg 2、远控免杀专题文章(2)-msfvenom隐藏的参数...：https://mp.weixin.qq.com/s/1r0iakLpnLrjCrOp2gT10w 3、远控免杀专题文章(3)-msf自带免杀(VT免杀率35/69)：https://mp.weixin.qq.com.../s/A0CZslLhCLOK_HgkHGcpEA 4、远控免杀专题文章(4)-Evasion模块(VT免杀率12/71)：本文 文章打包下载及相关软件下载：https://github.com/TideSec.../BypassAntiVirus ---- 免杀能力一览表 ?...小结 在evasion中共提供了6个免杀模块，大家都可以进行尝试。上文中第三个免杀利用csc白名单加载payload的方式还有很多种，网上也有很多介绍，侯亮大神也提到了很多类似的白名单软件。
一 前言 尝试对Mimikatz进行免杀，提取Mimikatz的shellcode，然后使用免杀的加载器进行加载，用加载器在加载cs shellcode时免杀效果挺好，但在加载Mimikatz的shellcode...发现直接被360、defender等静态查杀了，VT上报毒也很高，于是尝试找出问题并进行免杀。...图像法减少熵值 在网上没有找到将shellcode封装进图片的代码，自己写又太麻烦，而且不知道免杀效果如何，如果花费大力气写出来发现免杀效果不好不是白忙活了吗？...部分加密代码如下： 加密后的shellcode如下面这样： 可以看到还是很乱，其中还有del字符存在，应该是我写的代码出了bug，但是没有关系，这在杀软眼中已经是属于熵值很低的了。...四 最后 前面讲的熵减法Mimikatz免杀的内容是十几天之前做的，基于intel c++编译器到达的VT全免杀效果，加了一点动态免杀，以过defender动态查杀，第二项的效果图是最近的，此时的intel
前言 最近在研究shellcode的免杀技术，因本人以前主要是搞逆向的，shellcode免杀方面还是个小白，所以就想着去看一看我老师任晓珲写的《黑客免杀攻防》想从中寻找一些思路，但是也没有找到比较好实际运用的例子来进行实践...所以说我们可以借鉴别人分享思路，发散思维打造自己的免杀方法。...shellcode免杀基本上就失灵了，工具就变得很容易过时，所以我们需要来自己制作免杀。...二、加密shellcode后生成可执行文件 但是这种直接生成可执行文件的免杀效果有时候还是不太够，我们可以把shellcode进行加密存储，然后在执行的时候再解密出来执行，免杀效果会好一些。...我这里把shellcode和0x97异或加密过后解密执行 免杀的手段千变万化，没有哪一种免杀是最好的，我们要学会搭配运用，根据对方的防护情况来布置自己的免杀方式，再次感谢卿先生博客和拿破轮胎提供的免杀思路
直接上代码： #include "windows.h" int main(int argc,char * argv[]) { ::ShowWindow(::GetConsoleWindow(
（这些方面也是基本涵盖了常见的免杀需求） 从需求方面 木马免杀 权限维持免杀 工具免杀 其他免杀 从免杀阶段方面 静态免杀 动态免杀「 执行免杀 内存免杀 行为免杀 」 3.流量免杀 从payload加载方面...无论是工具的免杀还是做木马的免杀，不过大部分也就是： 本体的免杀，一个可执行程序，直接进行运行。payload就直接在程序里写死了。 分离免杀，制作加载器等。通过加载器和载荷分开的方式。...不过对于远线程注入的方式也可以做成分离免杀的形式。 webshell免杀：对于上传的webshell进行免杀，主要还是各种变形，加密，混淆。老生常谈，但也是很多在用。...而且近半年也能看见很多github和公众号出现了这种免杀方法，研究免杀的师傅也是越来越多了。 其他的对于工具的免杀，核心点也是混淆，编码等。...关于免杀大概就说到这里吧，看了很多的免杀思路，主要还是分离免杀吧，去做加载器，再加上点编码混淆，就拿来用了。
免杀能力一览表 ? 几点说明： 1、上表中标识 √ 说明相应杀毒软件未检测出病毒，也就是代表了Bypass。...4、其他杀软的检测指标是在virustotal.com（简称VT）上在线查杀，所以可能只是代表了静态查杀能力，数据仅供参考，不足以作为免杀或杀软查杀能力的判断指标。...5、完全不必要苛求一种免杀技术能bypass所有杀软，这样的技术肯定是有的，只是没被公开，一旦公开第二天就能被杀了，其实我们只要能bypass目标主机上的杀软就足够了。...经分析，整个工具的核心代码就一句，下载Invoke-Shellcode.ps1，反弹shell。...免杀效果整体感觉一般，还是python生成exe，执行后调用powershell下载Invoke-Shellcode.ps1，然后反弹shell，应该很容易触发杀软的行为检测。
本专题文章导航 1、远控免杀专题文章(1)-基础篇：https://mp.weixin.qq.com/s/3LZ_cj2gDC1bQATxqBfweg 2、远控免杀专题文章(2)-msfvenom隐藏的参数...4、其他杀软的检测指标是在virustotal.com（简称VT）上在线查杀，所以可能只是代表了静态查杀能力，数据仅供参考，不足以作为免杀的精确判断指标。...---- 1.前言 本节主要是对msf自身提供的免杀机制（编码+捆绑）进行尝试，由于msf被各大安全厂商盯的比较紧，所以这些常规的方法免杀效果肯定是比较差的，但有时把一两种常规方法稍微结合一下就能达到比较好的免杀效果...另外，能否免杀也和你选的被捆绑exe有一定关系，可以选微软的一些工具作为模板exe程序。...后面会介绍更多的免杀方法，自己可以尝试多种免杀进行组合，垒积木一样的感觉... 6.msfvenom多重编码(VT查杀率45/70) msfvenom的encoder编码器可以对payload进行一定程度免杀
领取专属 10元无门槛券
手把手带您无忧上云
云服务器
ICP备案
实时音视频
云直播
对象存储
