[原创文章] 木马免杀之免杀输入表篇

木马, 输入

最近和一位木马免杀牛人交流，感觉新增进不少，

特拿来分享给大家。
% J4 U" U# e7 D% `$ \* |
今天我们不提我们国产的那些杀软，真的垃圾的要死，

上次有位朋友叫我帮忙做上兴免杀过瑞星，说内存特征码定位在输入表

我简单的重建了输入表就把瑞星搞定了，& j8 m. ^& K  f* C* U2 V3 {9 _
. s# X4 l( ^2 J+ v# ^$ J# B
失去信心了。我曰
; m4 I- T* r' k/ G# R
今天我们说的是免杀输入表，以下是我的经验，也有牛人传授的免杀方法。

首先，大家要知道一点，国产的都没有高启发式扫描，瑞星，金山等都没有。4 L" a3 S8 [' q

外国的，如nod32，卡巴，小红伞都有启发式扫描，尤其以卡巴的高启发式和他的2009主动防御难过。4 b' h& r% p; x% L

高启发式扫描必然导致特殊的特征码，我建议新手朋友做卡巴等免杀的时候，先把启发式调到最低5 C3 M* H  J( _% s; k" m
" @7 b  ^; H" k; V4 L  d
过了以后再调到最高，再做免杀。
4 Y! V0 d& k! g" Y4 `
以上是废话，

好了，下面我们来说下常见的免杀输入表方法。+ J0 f0 ^& Z4 G" l, i8 {( o7 b
- g- Q. x* D- t( T: W! l7 x
一。移位法

这个已经过时了，我们的国产杀软及时的跟上了时代，

移位法在去年过金山和瑞星，还有江民都是可以过的，; h. G; x0 R4 o

现在的杀软智能化了，移位么？呵呵，追杀你。/ T* x& _1 c! O. t& a. C
& O- W- f. O# E
如果你想了解怎么个移位法，去百度搜吧，大堆的老教程等你看。7 u: ?' g% W9 Q5 X+ O- |
/ ?. ^, }& i6 S
二，重建输入表, j. X& F: c7 j- \. ^
) ^* o3 ?; V: r8 T- h
效果不错，这里说下，简单的重建输入表，还是可以过我们的国产杀软的，外国的就不行啦。哈哈' C, M. H8 x9 `3 E( D
5 Z' B$ e' f- n- s4 T  \$ l( W
这里我介绍下，
  |! |- I' f$ G8 q
用到工具：$ E  H% x* `3 l
importrec1.6
od
c32asm
loaderpe& Z# @1 j+ t- Y* C
这里我们简单的介绍下，如何重建输入表

首先吧文件拖入od，打开inportrec1.6) X) `$ @+ d: X- T8 I7 {4 o

如图选择拖入od的程序，# r$ l" C! M& z  R! G

这个时候，我们打开loaderpe，

拖入我们的木马" |) F9 k# H; ?2 z& _& e

选择目录，

我们看到导入表这里。。。9 p8 C3 N2 G# n- x
2 j* z' K8 R2 Y/ i6 c$ ?
如图：

1 ?5 v5 K, [3 a% z/ R
. i  C( P9 O! g% T3 r# W
RVA地址是0001D000  大小是0000154C# V4 @9 ]4 p( o# _
( ?7 ?/ M* [9 d2 o. c7 J
好的，我们把这两个输入到import1.6里去

就是在“加载树文件”那上面一点

输入RVA的地址和大小。
5 ^  h6 L2 e+ H, B
点击“获得输入表”

然后点击“显示无效的”
% b4 B  B1 x# L; H
接着importrec会自动列出
5 [; J" a4 ?3 w# g! H' m
我们把深蓝色的字体  右键剪切无效的指针
+ d- [3 W5 h: x$ a1 K- n9 \& T

最后，我们点“修理dump”7 T- T4 [3 `! e( c  ?3 ~

选中我们的木马就可以了
/ O4 n0 H* a3 T  z, b4 e
最后我们要用到c32asm

我们会看到两个输入表，我们只要把原先的输入表全部填充为00就可以了。

这样做，只能过国产的杀软，外国的如卡巴就免杀不了（如果他的特征码在输入表的话）
  v: x- s/ t: k; k- l
这里，我教大家一个方法，也是重建输入表，可以过卡巴，不过加了个小步骤，, w% ^/ x, [6 g7 o, j# l

我们把马子拖入od的以后，打开了importrec1.6. K* N" Y, a% l  [+ H

在选项那里，选择根据序数建造输入表和创建新的IAT
) ?: X% c6 v/ w3 e$ M
如图7 }+ q0 R' D1 d9 C  ?1 M, {

4 u3 O: R6 ^; ?# m) L* H E8 l
以后的步骤照上面的方法继续就可以了

不过此方法有个弊端就是，如果你在sp3下作的免杀生成的服务端会在sp2的系统下运行不了

因为kernel32.dll的大小不一样。
5 {/ T4 H$ r4 q. _. j0 T0 S
3.修改originalfirstthunk

如图所示

# e$ B, O# x* c5 @1 D
我们打开loaderpe，依次点  目录--导入表（后面那个横线）

我们可以看到所有的dll，如图，我们假设杀软杀的是wininet.dll
2 R/ N, f1 ~9 o2 `# r8 D' F7 u# I
我们右键--编辑--把函数后两个00修改为FF
2 H2 D2 F# E* n2 i$ C0 O
这样可以过小红伞查杀。  虽然会出现错误提示

但是不影响木马的功能，不影响上线。2 d, {4 k1 B( Q0 m

4.dll后面加20 90法过卡巴查杀$ `: v3 a' C$ d' l7 Q
  |( C/ G! h0 q/ o: d
需要的只是一个c32asm而已，非常简单但却非常有效5 _, ?4 Z+ w- l- m( U

如图) M3 r6 P6 ~: g! U. Y% i

; O5 h& w- U& i5 g) q
2 L% i% s3 m# O% `4 v4 c
我们可以看到，6 o8 f8 _! u' d% ~* U/ o7 p

在ntdll.dll后面有一个空格和一个问号对应的ascII码是20 90+ C! \3 N1 E9 [5 X' E5 o; \

这里假设卡巴杀的是ntdll。dll下的函数ZwUnmapViewOfSection
# v3 E/ M! z! t
我们只需要在他的所属dll后面加个20 90就可以了( \, u; _! c" m/ r
$ c) X9 J3 ?2 U# D j1 t6 E
卡巴目前还不查杀此免杀方法

唧唧歪歪这么多，打字有点累了
1 e4 X; x+ M( S1 V) E
以后有新的免杀的方法我会继续公布的。暂时先写这么多吧。

[ 本帖最后由 1335csy 于 2009-3-31 11:35 编辑 ]

返回列表

[原创文章] 木马免杀之免杀输入表篇

[收藏此主题] [关注此主题的新回复]

[通过 QQ、MSN 分享给朋友]