反病毒逃避工具

AVET 因技术发展和时间限制不再继续开发。

AVET 是一款反病毒逃避工具，旨在让渗透测试人员的工作更轻松，并用于实验反病毒逃避技术以及恶意软件使用的其他方法。关于 v2.4 的新功能以及过往版本更新的概览，请查看 CHANGELOG 文件。

当运行由 msfpayload 等工具生成的 .exe 文件时，该文件通常会被杀毒软件识别
AVET 是一个针对 Windows 机器可执行文件的反病毒逃避工具
现在可以使用不同类型的输入载荷：shellcode、exe 和 dll
更多可用技术：shellcode/dll 注入、进程空洞化等
灵活的载荷、解密密钥等检索方法
可用作投递器
链式调用多个 AVET 迭代，可在必要时增加多层逃逸
技术组合：通过 powershell 下载加密载荷，同时在运行时通过命令行参数提供解密密钥，最后从多种技术中选择一种将载荷注入另一个进程
基本沙箱检查
生成针对基于机器学习的静态检测器的对抗样本
使用 build_script_tester.py 执行所有可用的构建脚本，对研究人员构建一组采用不同逃逸和注入技术的“恶意”样本也可能有用

重要提示

并非所有技术都能绕过每个反病毒引擎。如果某个技术或构建脚本无效，请测试其他方法。请大胆尝试！毕竟这是一个工具箱——但你自己也得会用锤子。

安装

安装说明适用于 Kali 64bit 和 tdm-gcc！

你可以使用设置脚本：```bash ./setup.sh

这将通过安装/配置 wine 和安装 tdm-gcc 自动让你上手。  
不过你需要短暂地点击 tdm-gcc 安装程序界面——标准设置即可。  
脚本还会询问你是否要安装 AVET 的依赖项，这些依赖项用于使用部分构建脚本。获取的依赖项会被放置到 avet 文件夹旁的独立文件夹中。  

依赖项将获取以下工具的最新版本：  
- [pe_to_shellcode](https://github.com/hasherezade/pe_to_shellcode)  
- [mimikatz](https://github.com/gentilkiwi/mimikatz)  
- [DKMC](https://github.com/Mr-Un1k0d3r/DKMC)  

如果出于某种原因你想手动安装 wine 和 tdm-gcc：  
- [如何用 wine 安装 tdm-gcc](https://govolution.wordpress.com/2017/02/04/using-tdm-gcc-with-kali-2/)  

## Docker  

如果你不使用 Kali，或者不想在系统上安装 Metasploit，可以改用 Docker 容器。  
该容器封装了 Metasploit 和 avet，生成的样本会存放在你当前的目录中。  
也可以使用像 gedit 这样的图形文本编辑器。  

构建容器：```bash
sudo docker build -t avet:v0.1 .

用法：```bash sudo docker run -it --net=host --env="DISPLAY" --volume="$HOME/.Xauthority:/root/.Xauthority:rw" -v $(pwd):/tools/avet/output avet:v0.1 /bin/bash

为了获得更好的体验，建议为此设置别名。```bash
# In your .bash_profile, .bashrc or .bash_aliases

alias avet='sudo docker run -it --net=host --env="DISPLAY" --volume="$HOME/.Xauthority:/root/.Xauthority:rw" -v $(pwd):/tools/avet/output avet /bin/bash'

轻松使用 AVET

avet.py 是一个小型 Python 实用程序，旨在协助你使用该工具。

它会列出当前存在于 build 文件夹中的所有脚本。选定一个脚本后，你可以逐行浏览该脚本，并有机会动态修改其内容。

后者尤其有用，因为每次通过 fabric 运行构建脚本时，你都可以为 msfvenom 定义新的 LHOST 和 LPORT 变量。你可以在 /build/global_connect_config.sh 文件中定义默认的 LHOST 和 LPORT 值；如果你不重新定义，就会使用这些默认值。

这些修改是临时的，意味着你所作的任何更改都不会持久保存到磁盘上的构建脚本中。修改后的版本只会被执行一次，然后你的可执行文件便构建完成。

以下是一个快速示例（点击展开）：

``` python3 avet.py

                   .|        ,       +
         *         | |      ((             *
                   |'|       `    ._____
     +     ___    |  |   *        |.   |' .---"|
   _    .-'   '-. |  |     .--'|  ||   | _|    |
.-'|  _.|  |    ||   '-__  |   |  |    ||      |
|' | |.    |    ||       | |   |  |    ||      |

| '-' ' "" '-' '-.' '` |_ jgs~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~

Welcome to the avet Assistant!

0 : build_40xshikata_revhttpsunstaged_win32.sh 1 : build_50xshikata_quiet_revhttps_win32.sh 2 : build_50xshikata_revhttps_win32.sh 3 : build_asciimsf_fromcmd_revhttps_win32.sh 4 : build_asciimsf_revhttps_win32.sh 5 : build_avetenc_dynamicfromfile_revhttps_win32.sh 6 : build_avetenc_fopen_revhttps_win32.sh 7 : build_avetenc_mtrprtrxor_revhttps_win64.sh 8 : build_calcfromcmd_50xshikata_revhttps_win32.sh 9 : build_calcfrompowersh_50xshikata_revhttps_win32.sh 10 : build_checkdomain_rc4_mimikatz.sh 11 : build_cpucores_revhttps_win32.sh 12 : build_disablewindefpsh_xorfromcmd_revhttps_win64.sh 13 : build_dkmc_downloadexecshc_revhttps_win32.sh 14 : build_downloadbitsadmin_mtrprtrxor_revhttps_win64.sh 15 : build_downloadbitsadmin_revhttps_win32.sh 16 : build_downloadcertutil_revhttps_win32.sh 17 : build_downloadcurl_mtrprtrxor_revhttps_win64.sh 18 : build_downloadiexplorer_revhttps_win32.sh 19 : build_downloadpsh_revhttps_win32.sh 20 : build_downloadsocket_mtrprtrxor_revhttps_win64.sh 21 : build_downloadsocket_revhttps_win32.sh 22 : build_dynamicfromfile_revhttps_win32.sh 23 : build_fibonacci_rc4_mimikatz.sh 24 : build_fopen_mtrprtrxor_revhttps_win64.sh 25 : build_fopen_quiet_revhttps_win32.sh 26 : build_fopen_revhttps_win32.sh 27 : build_getchar_rc4_mimikatz.sh 28 : build_gethostbyname_revhttps_win32.sh 29 : build_hasvmkey_revhttps_win32.sh 30 : build_hasvmmac_revtcp_win32.sh 31 : build_hollowing_targetfromcmd_doubleenc_doubleev_revhttps_win64.sh 32 : build_hollowing_targetfromcmd_doubleenc_doubleev_revtcp_win32.sh 33 : build_injectdll_targetfromcmd_execcalc_downloadpsh_fopen_gethostbyname_win32.sh 34 : build_injectdll_targetfromcmd_execcalc_downloadpsh_fopen_gethostbyname_win64.sh 35 : build_injectshc_targetfromcmd_fopen_gethostbyname_xor_revhttps_win64.sh 36 : build_injectshc_targetfromcmd_fopen_gethostbyname_xor_revtcp_win32.sh 37 : build_kaspersky_fopen_shellrevtcp_win32.sh 38 : build_mimikatz_pe2shc_xorfromcmd_win64.sh 39 : build_pause_rc4_mimikatz.sh 40 : build_rc4_interactive_pwsh_mimikatz_win64.sh 41 : build_rc4_interactive_with_arithmetic_pwsh_mimikatz_win64.sh 42 : build_rc4enc_mimikatz_win64.sh 43 : build_sleep_rc4_mimikatz.sh 44 : build_sleepbyping_rc4_mimikatz.sh 45 : build_timedfibonacci_rc4_mimikatz.sh 46 : buildsvc_20xshikata_bindtcp_win32.sh

Which Script would you like to configure and build? Enter the corresponding number -> 43

DESCRIPTION :

RC4-encrypt the payload with a static, preset key.

Here, the mimikatz executable is used as payload, converted into shellcode format by pe_to_shellcode.

pe_to_shellcode is written by Hasherezade:

https://github.com/hasherezade/pe_to_shellcode

This script expects the Mimikatz executable to be at input/mimikatz.exe

and the pe_to_shellcode executable to reside in a folder parallel to avet: ../pe_to_shellcode/pe2shc.exe

Configure the Build Script

enable debug output

-> enable_debug_print

generate key file with preset key

-> generate_key preset aabbccdd1122

Do you want to add sandbox evasions? [y/N] -> N

Executable will be created Shortly please wait.

*** ============================================= ***

     .==,_                                          
    .===,_`\\                                        
  .====,_ ` \\      .====,__

--- .==-,~. \\ :.__, --- ~~=-. \ /^^^ MEEP MEEP
--- ~~=. \\ / ~. \ /
~. \____./
`.=====)
_.--~~~--.
__\.--~~~ ~~~---..|/
~~~\" /

|\ __ |\ \ / /|\ \ |_ \ \ \ |\ \ \ \ / / | \ _ |__|\ _| \ \ __ \ \ / / / \ \ \ \ \ \
\ \ \ \ \ \ / / \ \ _ \ \ \ \ _\ _\ _/ / \ _\ \ __
||||||/ |___| ||