[原创文章] 木马免杀之免杀输入表篇

木马, 输入

最近和一位木马免杀牛人交流，感觉新增进不少，; w2 f  G, u6 C' _" [

特拿来分享给大家。+ ?5 n) u$ N6 E

今天我们不提我们国产的那些杀软，真的垃圾的要死，

上次有位朋友叫我帮忙做上兴免杀过瑞星，说内存特征码定位在输入表

我简单的重建了输入表就把瑞星搞定了，  l4 v/ N7 ?. G0 G7 K- x$ ~

失去信心了。我曰2 g, w9 l- Z# {% Q; U) a

今天我们说的是免杀输入表，以下是我的经验，也有牛人传授的免杀方法。8 f& u4 R# Z3 R* W5 o& ]2 {

首先，大家要知道一点，国产的都没有高启发式扫描，瑞星，金山等都没有。& u) S, R# T! |: Z/ K

外国的，如nod32，卡巴，小红伞都有启发式扫描，尤其以卡巴的高启发式和他的2009主动防御难过。2 _$ C+ p- M& a- e
' R# W0 U1 T5 j) f3 f$ o
高启发式扫描必然导致特殊的特征码，我建议新手朋友做卡巴等免杀的时候，先把启发式调到最低
3 Q/ g/ w' c4 Y* A
过了以后再调到最高，再做免杀。
9 U) k; v2 J; V3 |
以上是废话，
3 e& j3 J0 R. |- ]6 K2 R
好了，下面我们来说下常见的免杀输入表方法。  d( `" [4 f& I+ u2 B- e( i" U: F

一。移位法! z4 I; a* A; P: z* g
5 W* Z3 \! {! R" @
这个已经过时了，我们的国产杀软及时的跟上了时代，! s+ h" \4 G. d
$ F7 ]) ]2 ]/ y4 a# z
移位法在去年过金山和瑞星，还有江民都是可以过的，
. U: w. p3 D. J/ y, l, l* v
现在的杀软智能化了，移位么？呵呵，追杀你。
  ~' _* D( W; ?, m
如果你想了解怎么个移位法，去百度搜吧，大堆的老教程等你看。" d1 z4 `7 O0 `: |

二，重建输入表2 q2 g3 L/ g! T
( d8 K. t, _7 G0 ]- q  J' V1 l
效果不错，这里说下，简单的重建输入表，还是可以过我们的国产杀软的，外国的就不行啦。哈哈
) k" Y) E: o0 ], }6 W- _: z# R
这里我介绍下，( l0 l' w, u/ }+ R' o% k8 W' D
5 F+ `1 m3 x6 H3 \7 P# ~0 w
用到工具：
importrec1.6
od
c32asm
loaderpe
这里我们简单的介绍下，如何重建输入表

首先吧文件拖入od，打开inportrec1.6$ }  d$ a" C, g8 U) }+ [4 e
8 d5 Q4 x$ D0 ~* d. @
如图选择拖入od的程序，7 ]) _0 @  P$ Y0 n" J* q

这个时候，我们打开loaderpe，

拖入我们的木马

选择目录，

我们看到导入表这里。。。6 m3 h% g; Q" O
/ h0 @* m7 ^8 S) _/ \8 V
如图：: T. j/ x6 s/ r- h* R& l) H

+ d! A! {+ }) L+ V) G) i7 Y  X3 x
: M- r/ I0 M4 u5 X) J
RVA地址是0001D000  大小是0000154C
& H  r4 T  C+ i$ c% p
好的，我们把这两个输入到import1.6里去

就是在“加载树文件”那上面一点 3 ~8 ]. X2 G! f1 A( y

输入RVA的地址和大小。8 E/ N  O' t$ l. f* z8 x/ Q+ z
0 j, l4 [4 J2 ?7 ~- z6 F( B
点击“获得输入表”* r5 ~# R! S9 o" n  A5 V
0 b) @/ [1 X1 a; l2 E) T% R
然后点击“显示无效的”

接着importrec会自动列出# U* h8 S2 B# A- b) f7 r3 j% r

我们把深蓝色的字体  右键剪切无效的指针

0 h5 C# |4 Y5 e& q4 [. B
最后，我们点“修理dump”

选中我们的木马就可以了
; F) G$ c1 ~3 Q4 Z) J2 ?
最后我们要用到c32asm
! z6 a& _( v0 N; P0 _: I
我们会看到两个输入表，我们只要把原先的输入表全部填充为00就可以了。  ~4 t3 }$ R' z2 l& L
5 X* g  G, k( `7 u
这样做，只能过国产的杀软，外国的如卡巴就免杀不了（如果他的特征码在输入表的话）. @: v% d) C. L6 E* l( u# D

这里，我教大家一个方法，也是重建输入表，可以过卡巴，不过加了个小步骤，

我们把马子拖入od的以后，打开了importrec1.6# w& h- N0 x  L, S5 q

在选项那里，选择根据序数建造输入表和创建新的IAT

如图

# W( j. R) l4 h* V
以后的步骤照上面的方法继续就可以了+ y* T+ g' h/ s1 r1 v" H
' F& G) X  N* v; q5 m  [/ r6 B
不过此方法有个弊端就是，如果你在sp3下作的免杀  生成的服务端会在sp2的系统下运行不了

因为kernel32.dll的大小不一样。
' M) f. e/ O+ Q2 y1 j3 a  C
3.修改originalfirstthunk8 ^6 S2 o4 E$ x4 o1 ~
' K$ r3 a: m& h: ]
如图所示

! ?; B4 K) R, a& J/ P$ G
我们打开loaderpe，依次点目录--导入表（后面那个横线） C2 M* F& k6 G+ f- G* o3 d1 p% d

我们可以看到所有的dll，如图，我们假设杀软杀的是wininet.dll
" e; Y" {6 d- l+ }% K5 o: w
我们右键--编辑--把函数后两个00修改为FF

这样可以过小红伞查杀。虽然会出现错误提示. Y0 h- j1 O" K
6 i7 D7 J9 H! a
但是不影响木马的功能，不影响上线。
( C: U, X/ }9 Y& a, [: r! O
4.dll后面加20 90法过卡巴查杀- m! X5 Y9 n8 i0 o* u% H

需要的只是一个c32asm而已，非常简单但却非常有效8 i; c2 j/ |& u4 j- v5 Y

如图

我们可以看到，

在ntdll.dll后面有一个空格和一个问号对应的ascII码是20 90( c+ W& ^; v8 p& w' U

这里假设卡巴杀的是ntdll。dll下的函数ZwUnmapViewOfSection

我们只需要在他的所属dll后面加个20 90就可以了

卡巴目前还不查杀此免杀方法0 M. C1 q' N% f! T

6 a+ q; W9 a1 i- y9 l) q; X
唧唧歪歪这么多，打字有点累了

以后有新的免杀的方法我会继续公布的。暂时先写这么多吧。
, Q) Y) |( Z! _2 C6 o% y3 \0 y9 B
[ 本帖最后由 1335csy 于 2009-3-31 11:35 编辑 ]

返回列表

[原创文章] 木马免杀之免杀输入表篇

[收藏此主题] [关注此主题的新回复]

[通过 QQ、MSN 分享给朋友]