远控免杀专题6---Venom免杀

0x01 免杀能力一览表

在这里插入图片描述
几点说明：

1、上表中标识 √ 说明相应杀毒软件未检测出病毒，也就是代表了Bypass。

2、为了更好的对比效果，大部分测试payload均使用msf的windows/meterperter/reverse_tcp模块生成。

3、由于本机测试时只是安装了360全家桶和火绒，所以默认情况下360和火绒杀毒情况指的是静态+动态查杀。360杀毒版本5.0.0.8160(2019.12.12)，火绒版本5.0.33.13(2019.12.12)，360安全卫士12.0.0.2001(2019.12.17)。

4、其他杀软的检测指标是在virustotal.com（简称VT）上在线查杀，所以可能只是代表了静态查杀能力，数据仅供参考，不足以作为免杀的精确判断指标。

0x02 前言

Venom和Veil、Shellter是三大老牌免杀工具，免杀主要依靠分离执行和加密混淆等技术，可以和msf无缝对接。

Venom的一些功能还会直接调用Veil-Evasion.py，unicorn.py，powersploit.py等来直接创建免杀程序，避免重复造轮子。

0x03 安装venom

venom依赖的软件比较多,所以安装出现问题是很正常的。。请做好心里准备~


Zenity | Metasploit | GCC (compiler) | Pyinstaller (compiler)
mingw32 (compiler) | pyherion.py (crypter) | wine (emulator)
PEScrambler.exe (PE obfuscator) | apache2 (webserver)| winrar (wine)
vbs-obfuscator (obfuscator) | avet (Daniel Sauder) | shellter (KyRecon)
ettercap (MitM + DNS_Spoofing) | encrypt_PolarSSL (AES crypter)

1、从github上拖到本地

git clone https://github.com/r00t-3xp10it/venom.git

在这里插入图片描述
2、修改文件执行权限

cd venom
sudo chmod -R +x *.sh
sudo chmod -R +x *.py`

3、安装依赖库和软件


cd aux
sudo ./setup.sh

在这里插入图片描述

我在执行安装中，遇到了几个坑，其中遇到zenity报错信息，翻遍了官方Github也没找到解决办法，报错信息如下：

zenity: relocation error: /usr/lib/x86_64-linux-gnu/libxslt.so.1: symbol xmlBufContent version LIBXML2_2.9.0 not defined in file libxml2.so.2 with link time reference

将系统中/usr/local/lib/目录下的libxml2.so.2从libxml2.so.2.7.8更换为libxml2.so.2.9.4


mv /usr/local/lib/libxml2.so.2.7.8 /usr/local/lib/libxml2.so.2.7.8_bak
mv /usr/local/lib/libxml2.so.2 /usr/local/lib/libxml2.so.2_bak
ln -s /usr/lib/x86_64-linux-gnu/libxml2.so.2.9.4 /usr/local/lib/libxml2.so.2

之后可正常安装。
运行venom

sudo ./venom.sh

venom.sh文件在venom文件夹下
在这里插入图片描述
另外注意，在parrot系统中，root用户无法直接使用systemctl start apache2.service开启apache等服务，必须普通用户才行。否则会提示


#systemctl restart apache2.service
Failed to restart apache2.service: Access denied
See system logs and 'systemctl status apache2.service' for details.

0x04 生成载荷

1、venom生成exe

到venom文件夹下，启动venom:sudo ./venom.sh
在这里插入图片描述
然后选择windows,也就是2

然后会列出所有windows可用的20个agent

支持的种类还是比较全面的，shellter、avet等免杀工具都内置在里面了，而且支持很多种类似的payload格式

我们先生成一个最简单直接的，第4个模块，通过C编译EXE程序
在输入4之后，会弹出一个框让你输入ip地址，这个就是你msf监听主机的地址，我的就是10.211.55.2了，不要看着上面那个example还有子网掩码什么的就照着输。接着输入监听端口，我输入的是5555
在这里插入图片描述
然后输入端口号之后，选择payload，我还是选择最常规的windows/meterperter/reverse_tcp
再输入一个文件名：

然后在编译和生成exe的过程中，会弹出来两个选项框，一般默认就行

如果没有成功生成exe文件，看下提示，是不是没有成功安装mingw32，如果没有装，就安装，安装步骤：

1º - edit /etc/apt/sources.list
2º - comment (#) default repositories
3º - add the follow repositorie to your source.listdeb http://old.kali.org/kali sana main non-free contrib
deb-src http://old.kali.org/kali sana main non-free contrib4º - save source.list file
5º - apt-get update
6º - apt-get install mingw32 (OR mingw64)

在这里插入图片描述
成功安装显示如下：

在换成原来的源：

7º - edit /etc/apt/sources.list
8º - remove follow lines from source.listdeb http://old.kali.org/kali sana main non-free contrib
deb-src http://old.kali.org/kali sana main non-free contrib9º - un-comment the default repositories
10º - save source.list file
11º - apt-get update