一个能够Bypass大部分杀软的工具：avoidz-master

来源：互联网发布：计价软件编辑：程序博客网时间：2024/06/02 00:04

为“古典的黑客精神万岁“点赞

项目地址：(https://github.com/M4sc3r4n0/avoidz)
演示视频：https://www.youtube.com/watch?v=ZilOByKkrVk

安装部署：

下载：git clone https://github.com/M4sc3r4n0/avoidz.git
解压，进入avoidz目录，赋予setup.sh权限：

运行./setup.sh，安装相关的依赖:

（若遇Mingw32 Compiler报错：E: 无法定位软件包 mingw32，需在网上找存在Mingw32 Compiler的kali更新源，添加到kali的/etc/apt/sources.list 里）（分享一个更新源：http://packages.ubuntu.com/trusty/amd64/mingw32/download)

运行avoid.rb,生成免杀后门。查看使用方法：

简简单单，四个参数，生成ByPass后门：

然后根据提示输入‘Y’开始监听，会跳出msf的窗口，自动监听：

（若遇到报错：“xterm: Selected font has no non-zero width for ISO-8859-1 encoding”，修改avoidz.rb源码中的字体，修改为其他字体，总共四处，如下图：）

输入"Y"监听后，自动跳出msf的窗口：

后门上传到靶机，运行，成功弹回：

总结avoidz生成的后门通过杀软测试：

iswin1楼•4 天前

感谢楼主分享，简单看了下，这个根本还是利用powershell编码来执行shellcode，目前国内杀软不知道是怎么检测powershell这块的东西的，这里请@1024@tinklestar 两位二进制大牛来解答下！

bear2楼•3 天前

安装的时候setup.sh会检查/root/.wine/drive_c/Python27/python27.dll，如果文件不存在，可以从https://www.dllme.com/dll/download/14091/python27.dll下载

另外gem的依赖gem install artii我是手动安装的avoidz生成exe的时候，我是手动在根目录下创建一个临时文件 touch raw_shellcode_temp，不然会失败

然而到最后我运行exe没收到反弹。。。

10243楼•3 天前

@iswin 因为powershell属于脚本语言，杀软对待他就像对待之前的vbscript脚本一样，powershell脚本只要没有什么敏感的行为（写启动项，写服务等），一般不会被杀软报；现在powershell的表面免杀比普通PE的表面免杀好做，因为现在杀软对PE文件的恶意代码的查杀积累了很多的经验，引擎已经很成熟，对脚本的查杀力度比较小，主要是怕担心误报，而且powershell最后还是要调用shellcode去执行恶意代码的，而且shellcode等恶意代码不会落地，所以表面免杀做着很容易。我的愚见，抛砖引玉，希望大家一块讨论和实验。

tinklestar4楼•3 天前

@1024 1024大牛说的对（这id总有某社区的既视感）～钻了杀软空子，而且脚本的混淆姿势很多，对抗静态特征相对容易，微软在推禁用分配E属性页，如果推到了Poewrshell上这种可操作性就会小很多

raul175楼•3 天前作者

@bear avoid生成exe的是不是有问题、建议多测试下～不同的操作系统环境测试下。谢谢表哥分享安装过程遇的坎～

raul176楼•3 天前作者

@1024 谢谢表哥，学习了

darkray7楼•2 天前

@1024@tinklestar巨硬提供一个新的接口 AMSI ，不过国内杀软厂商跟进的好像比较少https://msdn.microsoft.com/en-us/library/windows/desktop/dn889587(v=vs.85).aspx这块是专门针对脚本类做的，Powershell 5.0 之后审计策略可以开启 ScriptBlock 这也是一项不错的用来回溯脚本类Loader不错的选择针对内存属性更改这块 Github 上有个开源项目做了一些小的尝试，地址我忘记了 = =

bigdick8楼•2 天前

貌似挺多杀软开始拦截powershell的高危动作，看来以后也会有越来越多的杀软会对powrshell进行检测

sharecast9楼•15 小时前

测试了一下，企业版卡巴斯基秒杀

阅读全文

0 0

计价软件

原创粉丝点击