工具解析 | 殺毒引擎慘遭打臉，黑帽大會爆驚天免殺工具

*本文原創作者：2cat，本文屬FreeBuf原創獎勵計劃，未經許可禁止轉載

今年的黑帽大會上，可謂是精彩不斷。與往屆大會對比看來，當屬2017這屆最有看頭。各種推陳出新的技術暫且不論，光是爆出的新免殺工具AVET就足以驚艷全場。

該工具具有極強的病毒逃避功能，可以使原本弱小的病毒成為強力殺手，同時還可以使它們變為查殺工具的噩夢。

今天就來和大家一起分享下有關這款AVET免殺工具的測試情況。

首先，測試該工具前我們最好先部署一個基礎的安全環境，以便應用於對它的測試，避免自己興奮過頭而中招，那樣就很尷尬了。

安全環境設置好後，我們還需要確認機器中是否安裝了Wine。

確認工作完畢後，我們開始下載測試所需的編譯器TDM-GCC。

說起來tdm-gcc編輯器功能還是很強大的，既可以編譯64位系統所需的binary，也可以支持編譯32位系統的binary。當然如果你不喜歡它的風格，還可以考慮使用MinGW、MinGW-64這類編譯器。

整個安裝過程比較簡單，一路默認下一步即可完成。

既然編譯器已經安裝完畢了，接下來我們就要進入正題了，下載AVET免殺工具。

下載後大家可以通過Build來查看其中可被自己所利用的腳本文件。

從圖中我們可以發現綠色字體顯示的內容為我們目前可使用的文件，且支持系統位數也標記的十分清晰。

既然了解了它裡面可供選擇的文件內容，我們也不要再耽誤時間了，繼續向下進發。

很快，我們看到了可以對攻擊機IP地址進行配置及生成免殺文件的信息。

由於我測試時使用的是64位系統腳本，為了能夠使後門反彈回攻擊機的信息準確到位，便對LHOST和LPORT參數進行調整並設置接收時使用的IP地址（圖中紅框標記處），具體命令命令如下:

在此補充說明，無論是64位還是32位系統腳本，攻擊端的LHOST和LPORT都需要重新調整配置，從而確保你接收信息時不會出現意外情況。

成功修改後，大家還會碰到一個比較尷尬的問題，這就是編譯環境會出現異常。

可能這個編譯環境出現異常的問題算是一個坑吧，如果大家也碰到同類情況，只需要重新對內容進行編輯即可。

PS：此前在關注此類內容時，經常發現被刪減的環節，致使有興趣的朋友在測試時碰到各種無奈。

既然編譯的異常被我們解決掉了，那麼就開工幹活，創建Windows X64系統下可執行的文件。

很快pwn.exe文件被成功創建生成，為我們節省了不少操作時間。

拿到生成好的pwn.exe文件不用猶豫，直接上傳到遠程被攻擊的目標客戶端主機中並開始運行。

這時我們之前已創建好的監聽端會成功接收到被攻擊目標客戶端所反饋的信息，並輕鬆獲取系統的shell。

既然目標客戶端已經被我們使用的AVET生成文件所感染，就趕快驗證下它的免殺效果吧。誰知，掃描的結果讓我感到有些意外，因為測試時所使用的各種殺毒引擎居然無法查出它，掃描結果顯示竟然是0%。由此可以證明AVET真的實現了完美的免殺結果。

最後，在這舉國歡慶的特殊節日里，慶祝祖國建軍90周年活動成功，並預祝祖國繁榮昌盛、國強民富。

*本文原創作者：2cat，本文屬FreeBuf原創獎勵計劃，未經許可禁止轉載

喜歡這篇文章嗎？立刻分享出去讓更多人知道吧！