[原创文章] 木马免杀之免杀输入表篇

木马, 输入

最近和一位木马免杀牛人交流，感觉新增进不少，
: v2 m! D, P5 _3 Y) ]8 f
特拿来分享给大家。

今天我们不提我们国产的那些杀软，真的垃圾的要死，

上次有位朋友叫我帮忙做上兴免杀过瑞星，说内存特征码定位在输入表

我简单的重建了输入表就把瑞星搞定了，
& k. d  W7 \8 t# U! I! `5 Q, q
失去信心了。我曰

今天我们说的是免杀输入表，以下是我的经验，也有牛人传授的免杀方法。

首先，大家要知道一点，国产的都没有高启发式扫描，瑞星，金山等都没有。
. Y; e+ L) e# Y( I! f
外国的，如nod32，卡巴，小红伞都有启发式扫描，尤其以卡巴的高启发式和他的2009主动防御难过。( f) o- z8 u# `9 I8 [. S

高启发式扫描必然导致特殊的特征码，我建议新手朋友做卡巴等免杀的时候，先把启发式调到最低4 H0 i* B* n$ {4 `
! a2 i3 y- E: a+ J+ k
过了以后再调到最高，再做免杀。+ r- H! Y1 [' ?; |

以上是废话，

好了，下面我们来说下常见的免杀输入表方法。3 b: u5 |) B3 ~

一。移位法1 R3 Z9 \9 H" G# l5 H5 J5 z8 V
# W0 {% G' ?/ p6 y
这个已经过时了，我们的国产杀软及时的跟上了时代，
' _% V5 N) H. m9 C
移位法在去年过金山和瑞星，还有江民都是可以过的，

现在的杀软智能化了，移位么？呵呵，追杀你。5 T: h* p1 P( q: _

如果你想了解怎么个移位法，去百度搜吧，大堆的老教程等你看。5 {  f4 d. A+ R+ M6 A, v

二，重建输入表
) K* ?1 H1 b* o& C
效果不错，这里说下，简单的重建输入表，还是可以过我们的国产杀软的，外国的就不行啦。哈哈

这里我介绍下，. q0 u6 O5 {" w. L8 N' V

用到工具：8 w8 u4 f9 X! t# p  x8 p
importrec1.6
od
c32asm
loaderpe3 G/ _: \3 g+ ^; o4 u# H3 h
这里我们简单的介绍下，如何重建输入表

首先吧文件拖入od，打开inportrec1.6
& `7 t# z1 C/ _6 O  a6 ^
如图选择拖入od的程序，

" z! u+ a7 P0 V: Q, }3 s& b5 s7 O! V

这个时候，我们打开loaderpe，
3 Z: Y! D5 W' w/ }" h
拖入我们的木马
7 P) k0 h4 D3 r' A! _2 l$ d
选择目录，
2 K+ k# X* U& a7 @7 t8 o
我们看到导入表这里。。。
! ]! N& ^/ K% P, u! V9 i
如图：

0 \- `5 \! u) L5 G3 f
RVA地址是0001D000  大小是0000154C% z8 U# U+ ?  O

好的，我们把这两个输入到import1.6里去# ~1 h4 T( |" n! ~/ v" ^/ r
% x5 a3 K/ N8 T9 A/ v" C
就是在“加载树文件”那上面一点

输入RVA的地址和大小。0 X6 c2 R* d! K( g
; v: n$ a; n+ ]3 d
点击“获得输入表”* `& H$ G5 |8 j9 i0 F, m  _

然后点击“显示无效的”* z5 G5 k- E' c/ C. b# E

接着importrec会自动列出

我们把深蓝色的字体  右键剪切无效的指针
( N: p& W* z, Q0 X2 L
" A8 r7 z; x* Q" d7 W8 w8 i4 q
最后，我们点“修理dump”
# ~$ J: K) T. j. F$ |/ q3 w  {
选中我们的木马就可以了
2 y6 M3 L+ U# Z- K8 k2 O
最后我们要用到c32asm

我们会看到两个输入表，我们只要把原先的输入表全部填充为00就可以了。

这样做，只能过国产的杀软，外国的如卡巴就免杀不了（如果他的特征码在输入表的话）

这里，我教大家一个方法，也是重建输入表，可以过卡巴，不过加了个小步骤，
$ t7 j/ D6 ~, k, s+ V
我们把马子拖入od的以后，打开了importrec1.63 b8 Y0 z/ @% ~$ G
  H0 e% c4 c* X5 j: {, |8 \; p
在选项那里，选择根据序数建造输入表和创建新的IAT. f' k- q" b) w8 }* u! m; c

如图5 t  P" K- e7 L$ w4 i) N" n/ A0 i0 Z

以后的步骤照上面的方法继续就可以了$ V, d& \+ a7 n  D- K" \
+ `, ~9 v  ^2 Z# Y
不过此方法有个弊端就是，如果你在sp3下作的免杀  生成的服务端会在sp2的系统下运行不了5 K- a* C( k1 Q4 G6 `

因为kernel32.dll的大小不一样。
2 r6 `& T2 H1 p& y7 m9 ?: B
3.修改originalfirstthunk

如图所示2 ^0 m0 A+ u. Y0 f4 c

9 f6 D, _9 Q- H5 ^+ m, [4 V3 {: U
我们打开loaderpe，依次点目录--导入表（后面那个横线）
; D: M2 Z; \0 s4 s5 f% z
我们可以看到所有的dll，如图，我们假设杀软杀的是wininet.dll
' T& }$ T4 S! y/ ?7 _0 i
我们右键--编辑--把函数后两个00修改为FF

这样可以过小红伞查杀。虽然会出现错误提示
$ O$ I; D$ }0 M* C1 ~+ V7 {: s
但是不影响木马的功能，不影响上线。

4.dll后面加20 90法过卡巴查杀

需要的只是一个c32asm而已，非常简单但却非常有效
# B* X( l0 u( Q; g' V& _' E
如图) r* v# K1 e! A* l
" j7 u' n( w1 l6 G

我们可以看到，

在ntdll.dll后面有一个空格和一个问号对应的ascII码是20 90' k7 Q. ]. Q' V6 X/ }" y: t; [
- h# B0 [" w% |5 W9 G
这里假设卡巴杀的是ntdll。dll下的函数ZwUnmapViewOfSection7 F8 e9 y( ?& Q1 }# ^

我们只需要在他的所属dll后面加个20 90就可以了

卡巴目前还不查杀此免杀方法- }0 T R5 l; y5 |8 t4 l

: Y% l0 T4 e, y& i
唧唧歪歪这么多，打字有点累了

以后有新的免杀的方法我会继续公布的。暂时先写这么多吧。 m- z( D) a' H3 _1 ]5 c4 N
( }) s2 V* h2 t- `
[ 本帖最后由 1335csy 于 2009-3-31 11:35 编辑 ]

返回列表

[原创文章] 木马免杀之免杀输入表篇

[收藏此主题] [关注此主题的新回复]

[通过 QQ、MSN 分享给朋友]