⚠️ คำเตือนสำคัญ: บทความนี้มีวัตถุประสงค์เพื่อ การศึกษาและการวิจัยด้านความปลอดภัยไซเบอร์ (Cybersecurity Research) เท่านั้น การใช้เครื่องมือเพื่อหลีกเลี่ยง antivirus เพื่อวัตถุประสงค์ที่ผิดกฎหมายหรือทำลายระบบของผู้อื่น เป็นสิ่งผิดกฎหมายและ違反จริยธรรม กรุณาใช้ความรู้นี้อย่างรับผิดชอบในสภาพแวดล้อมที่ได้รับอนุญาต (authorized penetration testing)
Veil Framework คืออะไร?
Veil Framework เป็นชุดเครื่องมือ (toolkit) ออกแบบมาเพื่อใช้ใน Penetration Testing (การทดสอบเจาะระบบ) โดยเฉพาะการสร้าง payload ที่หลีกเลี่ยงการตรวจจับของ Antivirus ประกอบด้วยโมดูลหลัก 4 ตัว:
| โมดูล | หน้าที่ |
|---|---|
| Veil-Evasion | สร้าง payload หลีกเลี่ยง AV ด้วยเทคนิคและภาษาหลายอย่าง |
| Veil-Catapult | ระบบส่ง payload แบบ psexec ที่รวมกับ Veil-Evasion |
| Veil-PowerView | เครื่องมือ PowerShell สำหรับสำรวจเครือข่าย Windows Domain |
| Veil-Pillage | Post-exploitation framework แบบโมดูลาร์ |
ข้อกำหนดก่อนติดตั้ง (Requirements)
- Python (latest version) และ pip
- Git
- รันบน Linux (แนะนำ Kali Linux) หรือ WSL บน Windows
- สิทธิ์ root/sudo
วิธีติดตั้ง (Installation)
# Clone repository
git clone https://github.com/Veil-Framework/Veil.git
cd Veil/
# รันสคริปต์ติดตั้ง (ต้องใช้ sudo)
sudo ./config/setup.sh --force --silent
หมายเหตุ: การติดตั้งอาจใช้เวลานาน และต้องมีการเชื่อมต่ออินเทอร์เน็ตเพื่อดาวน์โหลด dependencies
การสร้าง Payload (Generate Payload) - ขั้นตอนพื้นฐาน
- รัน
veilเข้าเมนูหลัก - เลือก Evasion
- พิมพ์
listเพื่อดู payload ทั้งหมดที่มี - เลือก payload ด้วยคำสั่ง
use <payload_number/name> - ตั้งค่าตัวเลือก (options) เช่น LHOST, LPORT
- เลือก compiler (เช่น
py2exe,pyinstaller) - พิมพ์
generateเพื่อสร้าง payload
Payload ที่สร้างจะเก็บอยู่ที่ /usr/share/veil-output/ (source และ compiled)
หลักการทำงานเบื้องหลัง (Evasion Techniques)
- Obfuscation: เข้ารหัส/ทำให้โค้ดสับสน (encoding, encryption, polymorphism)
- Memory Injection: รัน payload ในหน่วยความจำโดยไม่ต้องเขียนดิสก์ (fileless)
- Living off the Land: ใช้ binary ที่มีอยู่ในระบบ (LOLBins) เช่น PowerShell, MSBuild, Regsvr32
- Signature Evasion: เปลี่ยน signature ที่ AV ใช้ตรวจจับ
มุมมองทางป้องกัน (Defensive Perspective)
身为防守者 (Blue Team) ควรเข้าใจเทคนิคเหล่านี้เพื่อ:
- ตั้งค่า AV/EDR ให้ตรวจจับพฤติกรรม (behavior-based) ไม่ใช่แค่ signature
- Monitor การใช้ PowerShell, WMI, การ inject memory
- Application Whitelisting / Applocker
- Network segmentation และ least privilege
สรุป
Veil Framework เป็นเครื่องมือมาตรฐานในวงการ Penetesting สำหรับทดสอบประสิทธิภาพ Antivirus/EDR การเข้าใจวิธีการทำงานช่วยให้เราสร้างระบบป้องกันที่ดีขึ้น ใช้เพื่อการป้องกันและการศึกษาเท่านั้นครับ
Disclaimer: ผู้เขียนไม่รับผิดชอบต่อการใช้งานผิดกฎหมาย โปรดปฏิบัติตามกฎหมายและจริยธรรมครับ
