[原创文章] 木马免杀之免杀输入表篇

木马, 输入

最近和一位木马免杀牛人交流，感觉新增进不少，( j" W1 ^  |- \, ]+ x! t& H2 N2 V( }) m

特拿来分享给大家。- ]- L0 W9 w* P# d
4 B' S6 k2 v( T+ d4 D
今天我们不提我们国产的那些杀软，真的垃圾的要死，
* x0 v) O7 o* t  I2 v. n7 ^9 n
上次有位朋友叫我帮忙做上兴免杀过瑞星，说内存特征码定位在输入表

我简单的重建了输入表就把瑞星搞定了，

失去信心了。我曰

今天我们说的是免杀输入表，以下是我的经验，也有牛人传授的免杀方法。

首先，大家要知道一点，国产的都没有高启发式扫描，瑞星，金山等都没有。, u' I' ]/ w1 d

外国的，如nod32，卡巴，小红伞都有启发式扫描，尤其以卡巴的高启发式和他的2009主动防御难过。& }( ~3 Q" M4 g9 r
+ [. ~  p0 V' i5 a' e" e
高启发式扫描必然导致特殊的特征码，我建议新手朋友做卡巴等免杀的时候，先把启发式调到最低
5 T: z: ~% m7 e9 i
过了以后再调到最高，再做免杀。, a. d; H  ]6 f$ r/ H: G

以上是废话，4 @2 j2 H7 ~, Y5 T  P
8 P, M5 |1 `6 u) P! c
好了，下面我们来说下常见的免杀输入表方法。9 t. ?+ L1 X  s6 l1 V

一。移位法

这个已经过时了，我们的国产杀软及时的跟上了时代，5 }" q! ?: i6 \# r8 u7 j" `  y
7 J) g6 W  g: ^2 q
移位法在去年过金山和瑞星，还有江民都是可以过的，

现在的杀软智能化了，移位么？呵呵，追杀你。* {# y; F4 U* S4 Z) }

如果你想了解怎么个移位法，去百度搜吧，大堆的老教程等你看。
2 j. P1 E1 {8 t' t; Q% N
二，重建输入表$ `2 J- A2 v$ O2 T" c( q8 Z2 ^
. |! T0 o& n( a6 }$ U9 P5 k
效果不错，这里说下，简单的重建输入表，还是可以过我们的国产杀软的，外国的就不行啦。哈哈
% ~( l5 ]( R& `$ Q7 K
这里我介绍下，+ [% Q- A9 g7 q9 m4 ^3 y! ~- Z
" ]+ r" T# u6 W. D! V) N: m2 j
用到工具：
importrec1.6
od
c32asm
loaderpe4 v( Y/ J5 {: Y% I: e
这里我们简单的介绍下，如何重建输入表, b2 T' Z' @% P, P8 R/ X1 h" ?+ r
4 Y7 ^/ w8 |# Q' F2 \0 d
首先吧文件拖入od，打开inportrec1.6, V* v' x/ P  b/ h

如图选择拖入od的程序，" l7 P4 G% {8 a  s, [& @; A

2 K# J8 c0 F7 D; x+ E

这个时候，我们打开loaderpe，

拖入我们的木马
9 D: W4 n, Y. G `! h F, b
选择目录，

我们看到导入表这里。。。

如图：

& Y" ~. O6 S# D/ ~: }& q" S
RVA地址是0001D000  大小是0000154C1 o# g# L  ?6 U) S

好的，我们把这两个输入到import1.6里去
  o. R2 e" g) {4 |- m! S, x+ y
就是在“加载树文件”那上面一点
+ T  j, N5 P# z7 `
输入RVA的地址和大小。% B! O  d3 E/ v! U

点击“获得输入表”% O; F" ?3 F, D1 c5 r* b/ |

然后点击“显示无效的”: y+ ^' Y& ~* ]' }7 ]' N5 f5 I2 i
6 ]+ Y2 F* D, R  F9 s
接着importrec会自动列出( d, M) K( l: b% _+ X! M1 e
# N$ J9 c# I( u+ [! y( p" `/ f
我们把深蓝色的字体  右键剪切无效的指针% i& s6 D4 n, ^& S+ ^* K

; j- ]( K$ J$ G- D4 {
最后，我们点“修理dump”
, U8 I$ _7 q& I* I
选中我们的木马就可以了" ^* k, V7 F4 k; I2 O3 o

最后我们要用到c32asm* l! D: q: O' z" \- c: g  K9 _
# p' B4 f" g2 Q7 @* C3 X$ ?% f% }
我们会看到两个输入表，我们只要把原先的输入表全部填充为00就可以了。

这样做，只能过国产的杀软，外国的如卡巴就免杀不了（如果他的特征码在输入表的话）
) E5 A/ t6 K0 I  U; e# i4 z
这里，我教大家一个方法，也是重建输入表，可以过卡巴，不过加了个小步骤，3 H/ ^# p( I8 E0 ^$ X8 b

我们把马子拖入od的以后，打开了importrec1.6& p& c& w' b) w( B) k; H

在选项那里，选择根据序数建造输入表和创建新的IAT

如图# S' r! p' O: w" q1 N9 i/ N

以后的步骤照上面的方法继续就可以了

不过此方法有个弊端就是，如果你在sp3下作的免杀生成的服务端会在sp2的系统下运行不了9 H! `& y* z7 P/ a( q

因为kernel32.dll的大小不一样。
7 \ s( Y+ \& q& z3 @" c8 ]% P
3.修改originalfirstthunk
" G! A+ v( g% T2 J
如图所示9 b8 P" q% @' g& ~+ u" X. C+ ^1 W+ L

, ?0 h1 V) x$ h% B9 e
% b/ @0 W( T& q. d$ N7 m
我们打开loaderpe，依次点  目录--导入表（后面那个横线）$ j* Y& n3 R2 m; u0 W
* L, A6 u) y$ k/ V% |  t, C" T( a7 u
我们可以看到所有的dll，如图，我们假设杀软杀的是wininet.dll
) M, e6 y1 Q* n$ ]  V) j5 B5 y
我们右键--编辑--把函数后两个00修改为FF

这样可以过小红伞查杀。  虽然会出现错误提示% Q: t# ?) G; v; \8 C! k
' [+ y- p- E: p# ?3 J! l6 m
但是不影响木马的功能，不影响上线。
. V+ y# o6 \" ~9 p$ o$ W
4.dll后面加20 90法过卡巴查杀

需要的只是一个c32asm而已，非常简单但却非常有效& M' t4 s( u# N8 s/ k/ d7 ^" x
) g+ e' ~+ f, m, _1 ~& O# q) J4 z
如图

我们可以看到，

在ntdll.dll后面有一个空格和一个问号对应的ascII码是20 90
8 ~7 T4 C" e) E: R
这里假设卡巴杀的是ntdll。dll下的函数ZwUnmapViewOfSection, ~! n/ J9 y) L+ w: e! m1 J5 ?6 c& p

我们只需要在他的所属dll后面加个20 90就可以了+ k, a3 |2 I( t+ f& v7 m8 [- ]
K" u8 l+ ]+ h% P+ {( ^+ N# K
卡巴目前还不查杀此免杀方法

2 V: W8 f7 V% Z" U# F7 P8 C) j$ ~9 u
唧唧歪歪这么多，打字有点累了* d9 q1 h8 }- V9 O0 `+ e

以后有新的免杀的方法我会继续公布的。暂时先写这么多吧。
+ a; D. q6 {. V2 f. X/ W- P! D3 \
[ 本帖最后由 1335csy 于 2009-3-31 11:35 编辑 ]

返回列表

[原创文章] 木马免杀之免杀输入表篇

[收藏此主题] [关注此主题的新回复]

[通过 QQ、MSN 分享给朋友]