[原创文章] 木马免杀之免杀输入表篇

木马, 输入

最近和一位木马免杀牛人交流，感觉新增进不少，

特拿来分享给大家。0 P; |4 n0 O# E
. J# [9 M: ]0 i8 i+ \1 b7 C
今天我们不提我们国产的那些杀软，真的垃圾的要死，5 ~7 z: D' e4 r: g1 ]
9 k$ j0 d/ Y0 e- n2 i9 n
上次有位朋友叫我帮忙做上兴免杀过瑞星，说内存特征码定位在输入表
% [  Y/ _" p; Z5 H- e  ]& e
我简单的重建了输入表就把瑞星搞定了，# v( m9 M. V$ s& V' A" C
, y0 w$ E7 f; M) D2 E+ i7 [
失去信心了。我曰

今天我们说的是免杀输入表，以下是我的经验，也有牛人传授的免杀方法。9 H( M7 Q. h" ~  |

首先，大家要知道一点，国产的都没有高启发式扫描，瑞星，金山等都没有。
# ]+ _& n" ~) b% g
外国的，如nod32，卡巴，小红伞都有启发式扫描，尤其以卡巴的高启发式和他的2009主动防御难过。/ P2 u- W3 n! P' d
& s+ _8 _. |: e" V* O7 Y* A
高启发式扫描必然导致特殊的特征码，我建议新手朋友做卡巴等免杀的时候，先把启发式调到最低( g7 x# ?2 L; B7 |! U- p0 E: o

过了以后再调到最高，再做免杀。
( h: N* f! l0 A% I. O" E
以上是废话，
3 K7 d- b2 K; @
好了，下面我们来说下常见的免杀输入表方法。5 ^, c0 S" s* i
, f+ K  F7 {' M0 C6 C# b
一。移位法7 e7 |3 q, u+ X( u4 q

这个已经过时了，我们的国产杀软及时的跟上了时代，4 r, c9 f: Z- q7 o. v
$ M) t5 r9 ~8 h0 \" w4 ^: k" j) Y
移位法在去年过金山和瑞星，还有江民都是可以过的，

现在的杀软智能化了，移位么？呵呵，追杀你。- |" \, N  C- \# T2 f# R. v

如果你想了解怎么个移位法，去百度搜吧，大堆的老教程等你看。

二，重建输入表6 b/ C8 j8 I8 D
* }  V$ v% w& n% ]$ Q% w
效果不错，这里说下，简单的重建输入表，还是可以过我们的国产杀软的，外国的就不行啦。哈哈& i9 R  n2 M4 ~  g) u
8 u( m* c, J3 Z0 }
这里我介绍下，4 [' A( H# j/ L

用到工具：
importrec1.6
od2 F! O7 ~. e- e  Q( c+ h
c32asm
loaderpe( S9 G7 v  j% F
这里我们简单的介绍下，如何重建输入表- X2 r& M; Q" J7 k$ v+ [$ Q

首先吧文件拖入od，打开inportrec1.6

如图选择拖入od的程序，

# F7 q- \8 c  |2 B' M. b
) W, c  G3 s% b/ u2 K  ]
这个时候，我们打开loaderpe，
" u) n! X$ @  h
拖入我们的木马
0 q' k9 q0 V+ V0 I+ m: |7 V. W
选择目录，

我们看到导入表这里。。。$ ^3 u% i2 Y8 h3 z" ~/ S
5 l- u% U: T- O! ~7 ~- x
如图：# S- l) A, A( X8 _; e

4 g. H2 M; Q4 I8 k: m
RVA地址是0001D000  大小是0000154C
" e  s/ @; @6 C7 ~( I
好的，我们把这两个输入到import1.6里去" g; V( |  d5 i6 j* L2 |; K5 W4 F$ H
! ?) u$ `, `' u; T4 A  t& u0 m2 h
就是在“加载树文件”那上面一点 ' T. W2 s; g% {0 d

输入RVA的地址和大小。
+ W. \2 O' g' K3 T# G+ D6 W6 S* H
点击“获得输入表”

然后点击“显示无效的”
4 {' }( Q* H+ z
接着importrec会自动列出! a0 L/ J( r! D

我们把深蓝色的字体  右键剪切无效的指针
1 M) c1 @' F3 d. D1 G

最后，我们点“修理dump”: B& t) t: m- c! m4 b( |
3 X3 w3 E9 B: m0 E4 p
选中我们的木马就可以了

最后我们要用到c32asm* s$ c; _5 T2 V! m9 n
" {2 N$ A. s% R2 ?$ X
我们会看到两个输入表，我们只要把原先的输入表全部填充为00就可以了。* x: a, M2 u* A; R' Z" R

这样做，只能过国产的杀软，外国的如卡巴就免杀不了（如果他的特征码在输入表的话）
. q% Z% j8 W, P7 _$ A
这里，我教大家一个方法，也是重建输入表，可以过卡巴，不过加了个小步骤，4 ]3 I8 S- c. y" K- y  E5 a
0 j' k4 P% o: e9 c+ K
我们把马子拖入od的以后，打开了importrec1.6

在选项那里，选择根据序数建造输入表和创建新的IAT

如图

$ |( @$ B7 H* Z; r6 G' k
以后的步骤照上面的方法继续就可以了

不过此方法有个弊端就是，如果你在sp3下作的免杀生成的服务端会在sp2的系统下运行不了
+ Y* f; c4 I: f
因为kernel32.dll的大小不一样。2 U7 o. V) ~( X9 m
^, U9 f% m$ t( k# I+ C
3.修改originalfirstthunk
2 V6 X$ N. J5 K- m: `
如图所示

5 }- Q9 \. b! o9 k$ L( \$ y6 A
我们打开loaderpe，依次点  目录--导入表（后面那个横线）
, Q- l& Z, N0 x9 {
我们可以看到所有的dll，如图，我们假设杀软杀的是wininet.dll9 n) v& h2 O) m
& B+ y3 I1 p" v2 w/ |" _+ {1 E$ O
我们右键--编辑--把函数后两个00修改为FF( L6 l( V! f: @- [

这样可以过小红伞查杀。  虽然会出现错误提示
# w2 m5 H* L9 h9 _  x% d4 e
但是不影响木马的功能，不影响上线。

4.dll后面加20 90法过卡巴查杀

需要的只是一个c32asm而已，非常简单但却非常有效% @" m2 t; o. N0 b! x: [+ o
9 u& T8 P, A. T$ b, {+ R
如图

: L6 a9 R0 t0 l/ q5 c# ]: W# s# ?6 ~
我们可以看到，9 h! I# P& q; y# s2 c6 E
3 B0 N- M7 {- R7 b4 E
在ntdll.dll后面有一个空格和一个问号对应的ascII码是20 90

这里假设卡巴杀的是ntdll。dll下的函数ZwUnmapViewOfSection$ A6 h% H, W! X+ O+ t& U
9 e4 r# l; T5 _3 F3 f3 I% D& x
我们只需要在他的所属dll后面加个20 90就可以了
6 ]* x7 ~, p- k( A
卡巴目前还不查杀此免杀方法
; h+ F/ y9 a) Q
5 \0 h% c9 F5 F1 Q. N' ~5 E1 c
唧唧歪歪这么多，打字有点累了4 w+ t+ v- z0 h E! H4 F! `0 ~) k

以后有新的免杀的方法我会继续公布的。暂时先写这么多吧。3 Q! A* L5 W! _8 {4 \; X
) X) g0 c9 U" b5 `" u( W3 Z
[ 本帖最后由 1335csy 于 2009-3-31 11:35 编辑 ]

返回列表

[原创文章] 木马免杀之免杀输入表篇

[收藏此主题] [关注此主题的新回复]

[通过 QQ、MSN 分享给朋友]