[原创文章] 木马免杀之免杀输入表篇

木马, 输入

最近和一位木马免杀牛人交流，感觉新增进不少，

特拿来分享给大家。
3 p) u( T$ Y) p( q8 p) o
今天我们不提我们国产的那些杀软，真的垃圾的要死，8 h& M( o( p$ l. S4 C9 F
. Y7 H: x, R$ m* n1 M" L/ {. m  A
上次有位朋友叫我帮忙做上兴免杀过瑞星，说内存特征码定位在输入表- ]# _" A8 P/ ]& L# g+ B, F
2 v# B) ~) Y7 V7 U  C
我简单的重建了输入表就把瑞星搞定了，; K& j& M2 L" b# C/ @2 G

失去信心了。我曰9 z7 z7 E( h8 F5 [% x

今天我们说的是免杀输入表，以下是我的经验，也有牛人传授的免杀方法。

首先，大家要知道一点，国产的都没有高启发式扫描，瑞星，金山等都没有。7 b! Z' }4 W& \
& ~0 @5 {- ?4 H. p; F
外国的，如nod32，卡巴，小红伞都有启发式扫描，尤其以卡巴的高启发式和他的2009主动防御难过。

高启发式扫描必然导致特殊的特征码，我建议新手朋友做卡巴等免杀的时候，先把启发式调到最低. y) y, q+ T) f3 o+ s, W) L

过了以后再调到最高，再做免杀。
0 A  Y& b$ Z+ ?1 V$ Y
以上是废话，

好了，下面我们来说下常见的免杀输入表方法。
; }; l9 q' a0 z1 s# j/ N
一。移位法; D9 `" Q: E9 R$ `
4 j+ b. G5 ?: O/ k" {
这个已经过时了，我们的国产杀软及时的跟上了时代，4 W4 g8 V' D. _1 }  q+ X- @& _
. `5 u9 T6 l$ n! U
移位法在去年过金山和瑞星，还有江民都是可以过的，+ ?0 a* v; ~) P, Q+ E& X$ z) E

现在的杀软智能化了，移位么？呵呵，追杀你。

如果你想了解怎么个移位法，去百度搜吧，大堆的老教程等你看。; t: Y8 _6 t8 }$ p
3 n3 r; t- ?1 K+ K# V* j
二，重建输入表9 e5 |% z; `/ Y% H; C0 x0 a
! i* G- `; t( v
效果不错，这里说下，简单的重建输入表，还是可以过我们的国产杀软的，外国的就不行啦。哈哈
0 j" {9 l+ b& f9 f3 d4 l" b
这里我介绍下，

用到工具：
importrec1.6
od5 c, }" L6 W, {; Z, p( C- Q
c32asm
loaderpe# K: ]) h" J* l1 n. G
这里我们简单的介绍下，如何重建输入表
& [$ e- S. U2 t( r
首先吧文件拖入od，打开inportrec1.6% i/ i- I  ]) t! f; E, R

如图选择拖入od的程序，, `- t. i& N$ c' ~+ f+ g) l

, v4 M0 I, v" G. i% Y5 X

这个时候，我们打开loaderpe，) M w: x! b: X3 B( j0 V( ~
7 U* V/ s# V7 }, i N; z* g% N" h
拖入我们的木马
( a9 Z3 k0 f8 S1 U+ R
选择目录，& d; a( k' N9 X6 H# Y

我们看到导入表这里。。。
: m6 J/ F, D' g; W4 L
如图：

% h4 w" A% \* {2 r% ~
RVA地址是0001D000  大小是0000154C

好的，我们把这两个输入到import1.6里去; x( _$ o: \! R
* S/ E& S2 ~. x
就是在“加载树文件”那上面一点
) e8 y! a! o! y
输入RVA的地址和大小。
+ V- D* C/ E# \/ ^0 a& M
点击“获得输入表”

然后点击“显示无效的”+ R) q) x1 J+ V! B

接着importrec会自动列出1 l# D% Q9 t0 L. O; A
3 U4 k$ r. n( x  Q' w! F* Z" i' f
我们把深蓝色的字体  右键剪切无效的指针1 G3 j. C+ E: {9 n

5 j' P3 d. ]' |
最后，我们点“修理dump”( b0 I5 ?0 X# I9 J# [- s* W0 F
+ |1 K% [3 w4 V* l
选中我们的木马就可以了
9 w; j6 h1 J4 T4 @6 U0 r
最后我们要用到c32asm

我们会看到两个输入表，我们只要把原先的输入表全部填充为00就可以了。$ G' \# l& d8 O7 ]1 `4 ~

这样做，只能过国产的杀软，外国的如卡巴就免杀不了（如果他的特征码在输入表的话）  G5 s4 S# h/ ]& Y9 m" a* m

这里，我教大家一个方法，也是重建输入表，可以过卡巴，不过加了个小步骤，

我们把马子拖入od的以后，打开了importrec1.65 g5 S0 ^+ _5 t  c$ `% y0 `
: M& z& {8 b- h. M) Y
在选项那里，选择根据序数建造输入表和创建新的IAT; A3 c4 Z7 R8 n6 o

如图

以后的步骤照上面的方法继续就可以了1 w1 z6 z: F6 x; R3 H

不过此方法有个弊端就是，如果你在sp3下作的免杀  生成的服务端会在sp2的系统下运行不了
: V  c9 R7 N- A8 S8 q+ o. N  V
因为kernel32.dll的大小不一样。
+ ]& ^9 G; v. E  ~. Z: s2 R+ ?
3.修改originalfirstthunk

如图所示

' w( L/ K( E4 }9 I# t1 l, a/ _

我们打开loaderpe，依次点  目录--导入表（后面那个横线）: H$ l9 u* J, O0 R& y

我们可以看到所有的dll，如图，我们假设杀软杀的是wininet.dll

我们右键--编辑--把函数后两个00修改为FF

这样可以过小红伞查杀。  虽然会出现错误提示9 U1 }- u9 C. C2 H+ k# b
' i: z! `; p* x  z! m
但是不影响木马的功能，不影响上线。% q3 S% r- P  j+ P

4.dll后面加20 90法过卡巴查杀

需要的只是一个c32asm而已，非常简单但却非常有效" e3 w8 |& \' D( c

如图

我们可以看到，$ C9 F( Y2 t" h4 M  \" o

在ntdll.dll后面有一个空格和一个问号对应的ascII码是20 90

这里假设卡巴杀的是ntdll。dll下的函数ZwUnmapViewOfSection
" R9 B7 L  d9 x8 y" D
我们只需要在他的所属dll后面加个20 90就可以了

卡巴目前还不查杀此免杀方法5 M) L) z9 ?* g# M, u
& j. X6 k8 V& O" `0 o

唧唧歪歪这么多，打字有点累了' C  q- L2 {/ d! i  d1 i$ |

以后有新的免杀的方法我会继续公布的。暂时先写这么多吧。

[ 本帖最后由 1335csy 于 2009-3-31 11:35 编辑 ]

返回列表

[原创文章] 木马免杀之免杀输入表篇

[收藏此主题] [关注此主题的新回复]

[通过 QQ、MSN 分享给朋友]