[原创文章] 木马免杀之免杀输入表篇

木马, 输入

最近和一位木马免杀牛人交流，感觉新增进不少，/ k- }. Y! ~5 L% \+ @
- _- J0 w6 b* L6 k! U0 ^
特拿来分享给大家。

今天我们不提我们国产的那些杀软，真的垃圾的要死，! p: ~+ x* R: \  p! e& q! Z$ \" M
: s! v7 u! b1 z$ I5 P( S+ ~
上次有位朋友叫我帮忙做上兴免杀过瑞星，说内存特征码定位在输入表( h; [1 i) `& x0 q. S

我简单的重建了输入表就把瑞星搞定了，! ]2 W/ j2 @! K/ p8 Q
* s9 J4 X& k9 g$ Y& d5 u) h% y* P
失去信心了。我曰
4 V4 T1 I9 C- O/ d7 X9 c
今天我们说的是免杀输入表，以下是我的经验，也有牛人传授的免杀方法。4 D, }: i* x; [% J! Y
* s; Y# C/ ^. d" k4 ~+ d+ q
首先，大家要知道一点，国产的都没有高启发式扫描，瑞星，金山等都没有。

外国的，如nod32，卡巴，小红伞都有启发式扫描，尤其以卡巴的高启发式和他的2009主动防御难过。

高启发式扫描必然导致特殊的特征码，我建议新手朋友做卡巴等免杀的时候，先把启发式调到最低
8 ?0 P1 v2 C, j/ i
过了以后再调到最高，再做免杀。

以上是废话，
! A1 s  G/ V2 K) t5 a( V
好了，下面我们来说下常见的免杀输入表方法。
& k) e- H' Y! r. F
一。移位法

这个已经过时了，我们的国产杀软及时的跟上了时代，

移位法在去年过金山和瑞星，还有江民都是可以过的，
' v6 L. g' n& R) J: R4 X6 b9 Z
现在的杀软智能化了，移位么？呵呵，追杀你。$ V: K0 ~7 }$ m# s2 M4 s! K

如果你想了解怎么个移位法，去百度搜吧，大堆的老教程等你看。
0 h8 j  M2 K/ W4 q/ P, H& y
二，重建输入表

效果不错，这里说下，简单的重建输入表，还是可以过我们的国产杀软的，外国的就不行啦。哈哈. U& y. [+ u7 z1 {9 ]: y5 t- T( c
& m# D5 V; a7 w* J! b
这里我介绍下，2 x2 c' i, g6 R7 k6 y9 [
' Z& ?5 j. ?; v- C3 n. t
用到工具：
importrec1.6- p: d* {* ^5 v  a
od/ L# h, w5 ^1 {9 T! l. `& u' V
c32asm
loaderpe
这里我们简单的介绍下，如何重建输入表& _2 u  E* p4 C4 x2 [' y

首先吧文件拖入od，打开inportrec1.6

如图选择拖入od的程序，: r/ N. q+ ^0 U) t  t2 e. t4 [

( k* {0 l2 u; B
这个时候，我们打开loaderpe，$ y" {- L/ }. l8 M2 \7 T
& {0 Z5 k& P2 R. P0 g1 ~8 @
拖入我们的木马

选择目录，
/ l: [. W4 b* }1 f, s
我们看到导入表这里。。。. O) k* c8 r) v, B& c
2 `) W! ^6 ?3 Z, e* H7 A
如图：& L2 Z e, P- y6 B% [* O1 v

0 l6 E4 }# [8 W1 d5 @4 r

RVA地址是0001D000  大小是0000154C
. S7 g/ x4 ^6 w* W5 C) o$ I
好的，我们把这两个输入到import1.6里去

就是在“加载树文件”那上面一点
0 P8 X2 W/ ~; x( g
输入RVA的地址和大小。  L( t( T3 ]9 U5 J
( k. O0 e- _' H( s  Z
点击“获得输入表”! x6 z9 S$ u# k

然后点击“显示无效的”
& T! d/ \- V6 i1 M& ^5 \' Y
接着importrec会自动列出- `$ c# l. }. M* W4 @  U

我们把深蓝色的字体  右键剪切无效的指针' g9 P/ _+ y/ Q
5 O4 F0 T7 {0 U, H; m
, P6 U4 q4 L7 N1 c
最后，我们点“修理dump”( J4 Y* t0 c- r& v
  u6 p2 y8 o2 b( C
选中我们的木马就可以了4 A0 ]2 u1 C' d$ N8 w. u6 @9 i
7 z8 R8 I% |  e$ }5 m
最后我们要用到c32asm

我们会看到两个输入表，我们只要把原先的输入表全部填充为00就可以了。# n' x* ]6 j$ U) ?# N+ K) I

这样做，只能过国产的杀软，外国的如卡巴就免杀不了（如果他的特征码在输入表的话）; j' f' b8 n7 C! H9 |  q% h' k4 F& A( j

这里，我教大家一个方法，也是重建输入表，可以过卡巴，不过加了个小步骤，

我们把马子拖入od的以后，打开了importrec1.6
, Y4 C% B- x) O/ b
在选项那里，选择根据序数建造输入表和创建新的IAT
1 h- D0 e/ h5 D- R& c
如图; h, o  v% i7 i& S

. B, y2 _  t% q" ~0 h

以后的步骤照上面的方法继续就可以了
& p; }$ k% W) [
不过此方法有个弊端就是，如果你在sp3下作的免杀  生成的服务端会在sp2的系统下运行不了

因为kernel32.dll的大小不一样。

3.修改originalfirstthunk
+ H, ^  y0 h7 s9 n
如图所示9 ?" f) f4 H1 N

我们打开loaderpe，依次点  目录--导入表（后面那个横线）
2 z7 C9 M- d0 B+ u
我们可以看到所有的dll，如图，我们假设杀软杀的是wininet.dll

我们右键--编辑--把函数后两个00修改为FF
3 g9 I7 g9 p, X
这样可以过小红伞查杀。  虽然会出现错误提示

但是不影响木马的功能，不影响上线。

4.dll后面加20 90法过卡巴查杀

需要的只是一个c32asm而已，非常简单但却非常有效: r# A5 ~7 j/ P  T+ y' ]; S# G

如图

7 o# l3 i3 ^; I  O+ x5 F" v

我们可以看到，

在ntdll.dll后面有一个空格和一个问号对应的ascII码是20 90. y0 n  ~) F) M

这里假设卡巴杀的是ntdll。dll下的函数ZwUnmapViewOfSection' Q" Y( p. ~, U* ~
/ A' G' w- m2 I4 _6 C6 h3 y
我们只需要在他的所属dll后面加个20 90就可以了3 W! n1 N) k$ [/ i8 w+ a& \/ j% ~
- _' N- X' C5 m0 l
卡巴目前还不查杀此免杀方法* p, _; s; n# O7 g

唧唧歪歪这么多，打字有点累了0 Y  \6 S7 S3 u/ t' Q
9 U+ W. a/ j* }/ z; m
以后有新的免杀的方法我会继续公布的。暂时先写这么多吧。' c/ J2 ~% ]& N- ]% ]. G! j! p
& Y. R. k& {1 s4 v" Y0 \4 Y
[ 本帖最后由 1335csy 于 2009-3-31 11:35 编辑 ]

返回列表

[原创文章] 木马免杀之免杀输入表篇

[收藏此主题] [关注此主题的新回复]

[通过 QQ、MSN 分享给朋友]