[原创文章] 木马免杀之免杀输入表篇

木马, 输入

最近和一位木马免杀牛人交流，感觉新增进不少，
# r; x6 B6 U& ^) W9 e7 s
特拿来分享给大家。
6 i7 j$ [2 V+ w
今天我们不提我们国产的那些杀软，真的垃圾的要死，9 P( C6 P) Y3 w' [" N

上次有位朋友叫我帮忙做上兴免杀过瑞星，说内存特征码定位在输入表
9 q; M3 l7 N6 e" e5 R
我简单的重建了输入表就把瑞星搞定了，
* h" q- N1 m# n- C, v- G- n
失去信心了。我曰* \- g  S9 g1 u+ E
0 S9 g* ?. m/ ]2 ^+ V: z
今天我们说的是免杀输入表，以下是我的经验，也有牛人传授的免杀方法。& z9 H# a9 ^7 J
9 Q  g, \! J, q8 G2 L" N
首先，大家要知道一点，国产的都没有高启发式扫描，瑞星，金山等都没有。4 Y7 m& c! E/ @2 b' n! J
& l& F8 q- R6 q
外国的，如nod32，卡巴，小红伞都有启发式扫描，尤其以卡巴的高启发式和他的2009主动防御难过。8 i) n8 I  r7 d* E, O8 g
8 S$ z% U5 O) }* b4 Z) W5 f6 B
高启发式扫描必然导致特殊的特征码，我建议新手朋友做卡巴等免杀的时候，先把启发式调到最低# V) y) A0 c5 c3 x. h
0 Y# S& _, y& |# O9 t/ |" O( o' G
过了以后再调到最高，再做免杀。

以上是废话，

好了，下面我们来说下常见的免杀输入表方法。) J; T9 s' @% S/ G
6 L  q1 G, S  e$ U, ~
一。移位法
, A0 P- k$ ^5 Z; T, R) K
这个已经过时了，我们的国产杀软及时的跟上了时代，/ I- `7 O1 U' B6 O

移位法在去年过金山和瑞星，还有江民都是可以过的，# e( `- h( Y2 R0 v& I
* \( M# l% w& x; ?
现在的杀软智能化了，移位么？呵呵，追杀你。
2 Q" X) G7 N% R! t9 Z
如果你想了解怎么个移位法，去百度搜吧，大堆的老教程等你看。( B6 T' D6 M) ]' k: J9 q- O
$ h& a( [- ^8 W  s- i
二，重建输入表

效果不错，这里说下，简单的重建输入表，还是可以过我们的国产杀软的，外国的就不行啦。哈哈  y. @& X  t3 r$ W2 a  S

这里我介绍下，" n1 r* v2 Y8 T; U5 d( O

用到工具：2 G. E- L- b' i% S: a
importrec1.6
od
c32asm
loaderpe9 F4 o5 y4 _2 M8 M' M: g8 f
这里我们简单的介绍下，如何重建输入表
, _9 Y! R" M3 F
首先吧文件拖入od，打开inportrec1.6

如图选择拖入od的程序，

这个时候，我们打开loaderpe， e5 `& f3 P3 p I1 h" z8 D

拖入我们的木马

选择目录，

我们看到导入表这里。。。

如图：, ~: q6 {( |5 q0 N

+ p4 c( n4 w( L9 I' L( G9 ~$ `
3 {2 A9 |+ [$ @% w/ O+ g& t
RVA地址是0001D000  大小是0000154C

好的，我们把这两个输入到import1.6里去8 G. C. {- p8 h' Q/ B8 t0 i' G# Z. d1 R

就是在“加载树文件”那上面一点 ' H* _  O/ K0 F3 t% o

输入RVA的地址和大小。
- |6 t* I4 [5 y
点击“获得输入表”) E+ @2 [  T* Q4 y. L. X
- q- m3 x' z: E; ~0 ]0 ~: e# x
然后点击“显示无效的”1 o0 _2 e) s/ w3 \5 O
  J! y# V7 I3 c( Z5 Q! o+ }1 w
接着importrec会自动列出( |8 C' ?2 ?) H5 B: M
$ j/ j, a1 N1 P) h) p9 u
我们把深蓝色的字体  右键剪切无效的指针" L' Q7 A7 F# e
! }' ?) L/ M3 a

最后，我们点“修理dump”

选中我们的木马就可以了" q( Q- l0 g7 p: e- w! }

最后我们要用到c32asm+ S( M. `1 P9 f
' j6 h7 _% I+ z7 D2 h1 N% P
我们会看到两个输入表，我们只要把原先的输入表全部填充为00就可以了。4 s7 o  X7 R. P) o* U9 y5 Z+ H

这样做，只能过国产的杀软，外国的如卡巴就免杀不了（如果他的特征码在输入表的话）8 h5 p) m4 Y' {' e2 Z

这里，我教大家一个方法，也是重建输入表，可以过卡巴，不过加了个小步骤，
# A1 C0 z4 `% s* R( z9 T
我们把马子拖入od的以后，打开了importrec1.67 u5 s& w2 b3 U9 j: w  e
& q, c' v) _: K* @" X7 C+ n
在选项那里，选择根据序数建造输入表和创建新的IAT

如图

以后的步骤照上面的方法继续就可以了

不过此方法有个弊端就是，如果你在sp3下作的免杀生成的服务端会在sp2的系统下运行不了

因为kernel32.dll的大小不一样。1 Z+ x. A6 |2 B6 k

3.修改originalfirstthunk
1 S1 S1 W) O% K% Q* D$ @6 s
如图所示* }# L5 g3 H, m$ z2 j

我们打开loaderpe，依次点  目录--导入表（后面那个横线）
& o# d8 z2 O3 d4 v! }% @
我们可以看到所有的dll，如图，我们假设杀软杀的是wininet.dll& {8 E( l% m4 Y8 C; x7 n( j7 p

我们右键--编辑--把函数后两个00修改为FF

这样可以过小红伞查杀。  虽然会出现错误提示
3 u3 i& L8 K* \, X9 k' Z* b8 R
但是不影响木马的功能，不影响上线。
) c# ]  l& V- `
4.dll后面加20 90法过卡巴查杀
/ {2 b; C8 N$ a4 a3 g$ }
需要的只是一个c32asm而已，非常简单但却非常有效. X* @6 r/ @' {
5 R$ H( Z# ^9 x4 Y
如图

& }# _+ X$ Q# w9 p& E  u8 I3 i% B
) M- \3 Y) v5 [8 i
我们可以看到，

在ntdll.dll后面有一个空格和一个问号对应的ascII码是20 90
& O4 h4 ~9 Z; h  A. N
这里假设卡巴杀的是ntdll。dll下的函数ZwUnmapViewOfSection  c% C9 j9 T/ M5 L7 ^' Z0 X

我们只需要在他的所属dll后面加个20 90就可以了9 c2 l) J/ `) G1 ?

卡巴目前还不查杀此免杀方法6 T0 s& u! o9 C/ @' c

唧唧歪歪这么多，打字有点累了

以后有新的免杀的方法我会继续公布的。暂时先写这么多吧。

[ 本帖最后由 1335csy 于 2009-3-31 11:35 编辑 ]

返回列表

[原创文章] 木马免杀之免杀输入表篇

[收藏此主题] [关注此主题的新回复]

[通过 QQ、MSN 分享给朋友]