[原创文章] 木马免杀之免杀输入表篇

木马, 输入

最近和一位木马免杀牛人交流，感觉新增进不少，
/ @5 O' Q4 M; i! D* X* [8 f
特拿来分享给大家。# e4 h) N" a% Z& }6 G

今天我们不提我们国产的那些杀软，真的垃圾的要死，
  H6 K& e9 C. i+ w. Z( {* [1 x
上次有位朋友叫我帮忙做上兴免杀过瑞星，说内存特征码定位在输入表

我简单的重建了输入表就把瑞星搞定了，3 g' U. L/ @8 l( g9 A* b" }
% [+ C  {& n" {7 k3 L* Q
失去信心了。我曰

今天我们说的是免杀输入表，以下是我的经验，也有牛人传授的免杀方法。, j& F% k; G% B

首先，大家要知道一点，国产的都没有高启发式扫描，瑞星，金山等都没有。

外国的，如nod32，卡巴，小红伞都有启发式扫描，尤其以卡巴的高启发式和他的2009主动防御难过。

高启发式扫描必然导致特殊的特征码，我建议新手朋友做卡巴等免杀的时候，先把启发式调到最低
  T; q' l% L& [$ V& ^2 a" G) `% u
过了以后再调到最高，再做免杀。
; g4 M" i* e0 }. s* X4 j
以上是废话，+ n7 b( @) T% L( O% s" S( U

好了，下面我们来说下常见的免杀输入表方法。0 L1 [) e; I: l! h# o9 d! H

一。移位法

这个已经过时了，我们的国产杀软及时的跟上了时代，' C$ N. ^1 ~8 G( c

移位法在去年过金山和瑞星，还有江民都是可以过的，3 P; r% ~4 Y0 b- y! p
) X, A/ V/ E: {( w) ]1 U0 s& P
现在的杀软智能化了，移位么？呵呵，追杀你。  H% t4 F; [# ?6 \2 r  |

如果你想了解怎么个移位法，去百度搜吧，大堆的老教程等你看。

二，重建输入表5 r6 |3 j! P0 ^: |$ E; S; x0 U
! {4 r4 e  I6 _$ R% T& v
效果不错，这里说下，简单的重建输入表，还是可以过我们的国产杀软的，外国的就不行啦。哈哈8 u" Q3 `' U9 G+ x& J7 h5 i
. C" I- |$ v+ s7 n/ J# Y3 J+ K
这里我介绍下，

用到工具：2 V0 G% ^/ C/ A; t$ I
importrec1.6: Y) G' ?0 o5 |  i2 x0 Z
od/ R) k! \  s# h# n0 z
c32asm' X1 `4 n) e& l
loaderpe
这里我们简单的介绍下，如何重建输入表

首先吧文件拖入od，打开inportrec1.6$ M% {$ J, s) |# C8 ^$ c

如图选择拖入od的程序，$ a6 i6 b/ M0 \1 F$ M

) n! ~$ l0 K s, h- R9 {
& m; X+ O: X# q7 ~( s. J
这个时候，我们打开loaderpe，

拖入我们的木马
2 I0 f/ n9 ^; s/ B
选择目录，
/ l; E9 p% }% v& k% V
我们看到导入表这里。。。9 T$ ]4 C7 G+ x

如图：

; {8 _4 n! y  f& Y7 ~- z+ A

RVA地址是0001D000  大小是0000154C5 N5 l% \3 N* B' m7 ^7 {# ]

好的，我们把这两个输入到import1.6里去% `  ?. U# X5 T$ F; ]2 v

就是在“加载树文件”那上面一点
4 D7 b+ l  |9 D- {) u) N2 W
输入RVA的地址和大小。
7 X) j, W" W' i, `8 C1 i
点击“获得输入表”
: M+ x/ F2 ?5 J+ t' y
然后点击“显示无效的”

接着importrec会自动列出
, o8 U; q: n& ]7 f5 e& r& A) e
我们把深蓝色的字体  右键剪切无效的指针% M/ P, B- _5 G3 t. h
/ _* e% y' [* _& J

最后，我们点“修理dump”

选中我们的木马就可以了8 }6 L9 L+ p; E
7 q* l; y+ Q# D6 O+ e2 r% ?! D4 b
最后我们要用到c32asm

我们会看到两个输入表，我们只要把原先的输入表全部填充为00就可以了。! a- ?3 {4 X2 K7 B$ G+ Z3 J8 ^1 g: q

这样做，只能过国产的杀软，外国的如卡巴就免杀不了（如果他的特征码在输入表的话）

这里，我教大家一个方法，也是重建输入表，可以过卡巴，不过加了个小步骤，+ `- l4 P' m9 u8 }3 ?$ O
" w3 E" T/ Q, @, q& t8 t+ A
我们把马子拖入od的以后，打开了importrec1.6

在选项那里，选择根据序数建造输入表和创建新的IAT1 G& [  k  e( e! t$ r5 g

如图9 j: Z" q" ^; G

% ?2 |. y$ _* P; e7 `/ j' i5 Z
以后的步骤照上面的方法继续就可以了  f* ^, F. U9 B) D
/ J* i$ b1 b4 s/ Q+ Y: v
不过此方法有个弊端就是，如果你在sp3下作的免杀  生成的服务端会在sp2的系统下运行不了+ \* [3 e( p2 O
0 p2 T3 a8 |8 O5 B. W
因为kernel32.dll的大小不一样。, E% N4 f$ g; D2 |5 Q: V

3.修改originalfirstthunk$ ~( v* H6 O% Y' @2 q6 }' x

如图所示  L: D# D4 x7 F4 Z7 O' f

# t+ B- T" c6 g
我们打开loaderpe，依次点  目录--导入表（后面那个横线）

我们可以看到所有的dll，如图，我们假设杀软杀的是wininet.dll% C6 D( h. U* \/ W% t1 K" h$ q
; I0 v& t, V( s  [" U
我们右键--编辑--把函数后两个00修改为FF

这样可以过小红伞查杀。  虽然会出现错误提示2 k! ]2 v  H# q! X
3 C% f" z8 I8 x+ f
但是不影响木马的功能，不影响上线。/ e8 V7 P1 [3 v+ A

4.dll后面加20 90法过卡巴查杀& V& w# P! m) n; t, D5 O3 Z

需要的只是一个c32asm而已，非常简单但却非常有效
3 N, g  G! L4 ^& e* y8 {
如图; W  ?1 v5 Q5 r

我们可以看到，- H; R; M# C4 w: J
, w( ?; J0 |: ^# F, R6 c5 d
在ntdll.dll后面有一个空格和一个问号对应的ascII码是20 90

这里假设卡巴杀的是ntdll。dll下的函数ZwUnmapViewOfSection5 T3 X; x4 |- v. X! a4 {" c
6 n5 X* A$ c* K2 F: ?# I- ?
我们只需要在他的所属dll后面加个20 90就可以了
6 V4 J! m8 Z/ ]
卡巴目前还不查杀此免杀方法1 v- b1 K9 ]# X( D1 w7 z- @

6 d4 b2 z6 u7 ?
唧唧歪歪这么多，打字有点累了

以后有新的免杀的方法我会继续公布的。暂时先写这么多吧。) z, q1 \2 Q; C; N, N4 V% R
5 D) Y1 t) ]) Y! _) f7 L) M2 ?) I
[ 本帖最后由 1335csy 于 2009-3-31 11:35 编辑 ]

返回列表

[原创文章] 木马免杀之免杀输入表篇

[收藏此主题] [关注此主题的新回复]

[通过 QQ、MSN 分享给朋友]