[原创文章] 木马免杀之免杀输入表篇

木马, 输入

最近和一位木马免杀牛人交流，感觉新增进不少，: x2 r) |( W9 b; y; ~, r( q% e
& E8 Z+ j# o% n0 ~2 k
特拿来分享给大家。

今天我们不提我们国产的那些杀软，真的垃圾的要死，8 _) E8 p. h' c9 H; H
' L, i6 {  k* D+ m3 Q. a/ s
上次有位朋友叫我帮忙做上兴免杀过瑞星，说内存特征码定位在输入表7 r; u5 }) k' s8 F& O: u& A. \+ X
' O, F8 x6 E1 \3 O! {
我简单的重建了输入表就把瑞星搞定了，8 Q. `  U! v9 e# ~- B
2 B% @8 z; c/ L
失去信心了。我曰2 n) y+ |& P0 S  }/ z/ C: T

今天我们说的是免杀输入表，以下是我的经验，也有牛人传授的免杀方法。

首先，大家要知道一点，国产的都没有高启发式扫描，瑞星，金山等都没有。! j! x1 L: X. F& @+ {' I( H$ u1 P

外国的，如nod32，卡巴，小红伞都有启发式扫描，尤其以卡巴的高启发式和他的2009主动防御难过。

高启发式扫描必然导致特殊的特征码，我建议新手朋友做卡巴等免杀的时候，先把启发式调到最低9 w  X/ }7 f& H
/ N( x2 @- `/ v( P( z
过了以后再调到最高，再做免杀。

以上是废话，
. ~, Q" |. T# k, k3 {
好了，下面我们来说下常见的免杀输入表方法。1 L3 q- G7 l0 v& N
+ c( p( H) I6 F% z
一。移位法
6 E% w! b: y: q  n" c
这个已经过时了，我们的国产杀软及时的跟上了时代，0 K. ^' k; m( `1 l. q/ j3 [0 k* S

移位法在去年过金山和瑞星，还有江民都是可以过的，: i- E+ X; w0 E% D# Z: F
3 d# E7 }$ u9 `: `
现在的杀软智能化了，移位么？呵呵，追杀你。3 S" G' H! W* F! U0 c1 i
! O1 t  ^  Y1 L2 L' n# u9 A3 P
如果你想了解怎么个移位法，去百度搜吧，大堆的老教程等你看。& M" e  ]- n" c9 O; T5 z
  z/ p% O3 K$ S4 }1 D! k& R
二，重建输入表5 l( b% [9 g3 u! M, n

效果不错，这里说下，简单的重建输入表，还是可以过我们的国产杀软的，外国的就不行啦。哈哈  v& j2 L, t# ^) n, C
1 f1 ?" i9 K3 y9 }( g2 T" h$ W- I
这里我介绍下，
3 C7 v& x/ g0 ^. }+ n/ A; [& Z
用到工具：
importrec1.6* ?4 Z- T2 X- n5 n
od
c32asm
loaderpe2 o$ k6 ?' K- A$ j, b
这里我们简单的介绍下，如何重建输入表  Y# m  v; C  t2 O3 |# c2 k

首先吧文件拖入od，打开inportrec1.6
; r7 }8 \- L- z- X
如图选择拖入od的程序，

这个时候，我们打开loaderpe，0 d% f8 S3 u# x! v$ r
0 H) g" y& c; g& c) y
拖入我们的木马
/ h2 ~4 I7 b5 a# s7 _5 @* I$ C! g! x
选择目录，4 q; ]; Z* D6 ]8 L6 g+ C
5 m$ J& u& }- D" f3 ?. d
我们看到导入表这里。。。

如图：

2 l# T& J5 ]+ |# z; a! U

RVA地址是0001D000  大小是0000154C* V! I" E; l( n* ?
- m/ E5 e0 t% X8 O5 [. v" i, i
好的，我们把这两个输入到import1.6里去, O. K  S. }: F5 ^, Q5 E* H. p  r

就是在“加载树文件”那上面一点
( U; C1 z# z# E. {
输入RVA的地址和大小。
. T* W, a- U! o
点击“获得输入表”

然后点击“显示无效的”7 b7 R8 }* m: r) F
! E2 W; L% L2 x; N/ X7 L
接着importrec会自动列出0 r2 n+ a+ ~/ _3 E( P# x
5 F0 d: G2 H+ T8 m% f- E6 {
我们把深蓝色的字体  右键剪切无效的指针
5 Z/ {8 g: r+ ]+ r$ a) N

最后，我们点“修理dump”2 Y" o% e( ]1 }, r& d; {0 t
8 O5 x1 p+ z* B' U
选中我们的木马就可以了
- L$ g8 e" \/ \
最后我们要用到c32asm

我们会看到两个输入表，我们只要把原先的输入表全部填充为00就可以了。

这样做，只能过国产的杀软，外国的如卡巴就免杀不了（如果他的特征码在输入表的话）
0 X: B. e# ]( Y' s' r& m- T8 R
这里，我教大家一个方法，也是重建输入表，可以过卡巴，不过加了个小步骤，  D# u- b+ h8 Y' V' H7 h& h! Q
3 p# Y( O# G* r4 A; E% m4 s
我们把马子拖入od的以后，打开了importrec1.6
" b6 V, B% z8 w$ B4 w$ W- v
在选项那里，选择根据序数建造输入表和创建新的IAT$ }* J# F: c* o& ^* u

如图4 D0 M) j1 W) X6 S- ~& K% j7 s

以后的步骤照上面的方法继续就可以了
) s6 H5 X" w5 A2 f/ S# G2 f' t
不过此方法有个弊端就是，如果你在sp3下作的免杀生成的服务端会在sp2的系统下运行不了

因为kernel32.dll的大小不一样。3 \, E- U! K- G/ Q( g! ?

3.修改originalfirstthunk9 F* n c' z0 u

如图所示- N* i7 |" c: n. N

% S- h8 v1 Z; m! A: {) W0 A5 @" H

我们打开loaderpe，依次点  目录--导入表（后面那个横线）" a! ?  h3 l" a3 \  _! M- m2 I

我们可以看到所有的dll，如图，我们假设杀软杀的是wininet.dll7 l! _' k0 ?3 T/ S
/ Y$ I5 `5 m: ^8 _$ R
我们右键--编辑--把函数后两个00修改为FF3 u3 M8 O5 Y( R. y8 X

这样可以过小红伞查杀。  虽然会出现错误提示
8 W# n! S% |9 L, m- J' F5 O
但是不影响木马的功能，不影响上线。

4.dll后面加20 90法过卡巴查杀
7 l) F# y1 K9 `- g- A. l1 _3 ]
需要的只是一个c32asm而已，非常简单但却非常有效
, h) x* l3 f( _7 r
如图* d  A  O" a7 }3 i0 R5 i

我们可以看到，8 O6 i$ w  o( r

在ntdll.dll后面有一个空格和一个问号对应的ascII码是20 90- W3 c  @+ P$ R/ f1 O
4 {9 i; _, f) Z" q" e7 _/ B, b  t
这里假设卡巴杀的是ntdll。dll下的函数ZwUnmapViewOfSection5 P, U3 l9 n/ u% }8 \
- W, S+ H5 e0 [
我们只需要在他的所属dll后面加个20 90就可以了
+ H% U; f5 T1 y+ A9 S
卡巴目前还不查杀此免杀方法( z1 R4 x( @, g: G
7 @7 x# B, @$ Q8 V, D  V1 K4 o6 c$ i

唧唧歪歪这么多，打字有点累了

以后有新的免杀的方法我会继续公布的。暂时先写这么多吧。

[ 本帖最后由 1335csy 于 2009-3-31 11:35 编辑 ]

返回列表

[原创文章] 木马免杀之免杀输入表篇

[收藏此主题] [关注此主题的新回复]

[通过 QQ、MSN 分享给朋友]