[原创文章] 木马免杀之免杀输入表篇

木马, 输入

最近和一位木马免杀牛人交流，感觉新增进不少，
% S- l" i2 r, c  {. Q8 T
特拿来分享给大家。

今天我们不提我们国产的那些杀软，真的垃圾的要死，
2 B# V& E: j0 }( L/ a) e) q1 X
上次有位朋友叫我帮忙做上兴免杀过瑞星，说内存特征码定位在输入表$ s7 ^! I. u# F+ ^! z8 H4 Y, B9 o3 E

我简单的重建了输入表就把瑞星搞定了，9 I6 A; R' }* Q/ l0 z

失去信心了。我曰
5 E2 ~- g# n3 Q2 ^4 h
今天我们说的是免杀输入表，以下是我的经验，也有牛人传授的免杀方法。) W3 g, P" d% m' }3 u$ s

首先，大家要知道一点，国产的都没有高启发式扫描，瑞星，金山等都没有。. l" l5 b2 u  O

外国的，如nod32，卡巴，小红伞都有启发式扫描，尤其以卡巴的高启发式和他的2009主动防御难过。* @/ s3 Z/ r, P, d

高启发式扫描必然导致特殊的特征码，我建议新手朋友做卡巴等免杀的时候，先把启发式调到最低
  b. o4 k/ t8 C7 s
过了以后再调到最高，再做免杀。

以上是废话，' }, H+ }+ S# ]( i/ E/ m* M1 W3 S& Y
* ?  h9 O6 e! z
好了，下面我们来说下常见的免杀输入表方法。

一。移位法! c! a$ t" Y# L2 K9 ^" s8 s
( l$ u5 f  h. s9 [8 W
这个已经过时了，我们的国产杀软及时的跟上了时代，. {. r, S% p4 q4 ]4 A
0 U9 ^0 `# q. |2 J: ?
移位法在去年过金山和瑞星，还有江民都是可以过的，
" t- M  G" m: m. N  t5 H: I' T& I
现在的杀软智能化了，移位么？呵呵，追杀你。! J) V+ H* J: E% n& B
- `) V* {4 r0 [* L
如果你想了解怎么个移位法，去百度搜吧，大堆的老教程等你看。

二，重建输入表
: r) Z3 x  k/ z  G+ L. s
效果不错，这里说下，简单的重建输入表，还是可以过我们的国产杀软的，外国的就不行啦。哈哈$ q0 l8 b3 V8 q7 |+ ?3 C8 z# H

这里我介绍下，! V1 R8 L# ]1 B* q5 z% f

用到工具：
importrec1.6
od" ]1 V( `% r) |4 a1 T
c32asm
loaderpe
这里我们简单的介绍下，如何重建输入表

首先吧文件拖入od，打开inportrec1.6' l2 P+ |3 D; }. @( l

如图选择拖入od的程序，* R/ }3 m- ~3 G0 ^& K! K

& Q8 q& {, \; |5 \: Z) j$ B( k
这个时候，我们打开loaderpe，

拖入我们的木马& Y0 L0 X- u: @/ x6 J4 h, K

选择目录，. o* }& y+ i$ i6 N* Z) a- @/ [

我们看到导入表这里。。。
. X/ s' m3 [# @* O& N
如图：

/ ]6 k. B( A# v* z+ B+ A
4 E# y6 v3 u: z( J; V) a, a. U% D
RVA地址是0001D000  大小是0000154C1 P  e3 s9 k( ?1 B
# n2 f9 _' j4 f: z( A: {
好的，我们把这两个输入到import1.6里去( P+ A3 C1 M% G5 w) k* L$ C

就是在“加载树文件”那上面一点 ( B2 ?" o2 R* _

输入RVA的地址和大小。# @9 @/ l( V; L7 r: [1 i  W! Y

点击“获得输入表”  z3 O7 d* h4 v* {9 _. D

然后点击“显示无效的”( F# e* R/ W) Q9 @
4 q, D- U0 d0 O' K- k) q
接着importrec会自动列出7 q4 }& T" _  |) v+ z6 O: x4 w4 f( z
5 r4 t4 r+ x2 `  b* o) U" ?3 u3 Q! {
我们把深蓝色的字体  右键剪切无效的指针

最后，我们点“修理dump”/ r7 l6 H# i) I1 m+ n+ f" g
: Z1 P- s, P- A* F
选中我们的木马就可以了) j* b& x5 I/ @' K, s8 X, [; Q

最后我们要用到c32asm* ^0 l5 X- \; c3 M) Z

我们会看到两个输入表，我们只要把原先的输入表全部填充为00就可以了。

这样做，只能过国产的杀软，外国的如卡巴就免杀不了（如果他的特征码在输入表的话）
# L: Z; R; c+ p* Y* u! C& Y9 B
这里，我教大家一个方法，也是重建输入表，可以过卡巴，不过加了个小步骤，

我们把马子拖入od的以后，打开了importrec1.6

在选项那里，选择根据序数建造输入表和创建新的IAT, }$ |  I, x$ O$ ]+ L7 w
8 ?  {% r* X! \# p
如图

1 w  j3 J& ~" h, p
以后的步骤照上面的方法继续就可以了7 q  G. q6 p1 ~9 p' q
+ y4 t9 `- w8 G( Q, f
不过此方法有个弊端就是，如果你在sp3下作的免杀  生成的服务端会在sp2的系统下运行不了
/ W, O( Y" c. U
因为kernel32.dll的大小不一样。

3.修改originalfirstthunk* m' [" C+ |) A! |3 [' [4 `0 `
5 h( S1 i9 o1 c1 @# C3 m* Y) T
如图所示' }* H: X9 u# @

- f3 X6 r( k* m. h% l, A. H
我们打开loaderpe，依次点  目录--导入表（后面那个横线）0 B8 v' e7 ?# p) h: ?0 c
9 H& J) i9 O( h  O5 L0 L9 U
我们可以看到所有的dll，如图，我们假设杀软杀的是wininet.dll$ ]5 {8 w! g/ {6 O, k

我们右键--编辑--把函数后两个00修改为FF6 w2 t9 ~, g- y

这样可以过小红伞查杀。  虽然会出现错误提示5 g8 D, P; a! `$ E

但是不影响木马的功能，不影响上线。6 d4 P) z# D" Q

4.dll后面加20 90法过卡巴查杀) V& C2 e0 U. e- S. \( O
/ ?. c: y' u4 J( |( H6 G
需要的只是一个c32asm而已，非常简单但却非常有效4 f/ r6 `( K7 o' |

如图' }0 S+ u) m+ J. F  b$ q

我们可以看到，
5 s, |) L" S' Q( m1 e- {
在ntdll.dll后面有一个空格和一个问号对应的ascII码是20 90

这里假设卡巴杀的是ntdll。dll下的函数ZwUnmapViewOfSection
0 ~0 x! ~6 g) h. I$ ?4 h2 b
我们只需要在他的所属dll后面加个20 90就可以了8 W2 ]% O" q/ z! ^- G( F% i; i) @9 ], @

卡巴目前还不查杀此免杀方法( m1 b6 {9 v L1 R+ O+ [# h

唧唧歪歪这么多，打字有点累了

以后有新的免杀的方法我会继续公布的。暂时先写这么多吧。

[ 本帖最后由 1335csy 于 2009-3-31 11:35 编辑 ]

返回列表

[原创文章] 木马免杀之免杀输入表篇

[收藏此主题] [关注此主题的新回复]

[通过 QQ、MSN 分享给朋友]