[原创文章] 木马免杀之免杀输入表篇

木马, 输入

最近和一位木马免杀牛人交流，感觉新增进不少，
3 U; X( f8 k! c2 |( E- s
特拿来分享给大家。
! H* q, }8 C! J: K! C2 ^. z. ?8 H1 v
今天我们不提我们国产的那些杀软，真的垃圾的要死，

上次有位朋友叫我帮忙做上兴免杀过瑞星，说内存特征码定位在输入表7 M2 q. s% |+ m" w5 U

我简单的重建了输入表就把瑞星搞定了，

失去信心了。我曰

今天我们说的是免杀输入表，以下是我的经验，也有牛人传授的免杀方法。- ?1 Z1 v7 u  j) L( c) I* T  V
7 u% o8 x" w$ K
首先，大家要知道一点，国产的都没有高启发式扫描，瑞星，金山等都没有。; c4 B7 _$ ?) e9 ]8 O
! L, R. a0 V. u, `7 u
外国的，如nod32，卡巴，小红伞都有启发式扫描，尤其以卡巴的高启发式和他的2009主动防御难过。
# C- o/ Q2 ]5 O, ]. x
高启发式扫描必然导致特殊的特征码，我建议新手朋友做卡巴等免杀的时候，先把启发式调到最低
. P, u. b$ Y- C2 {. R
过了以后再调到最高，再做免杀。

以上是废话，, o1 E" i# X3 K; V  g  k7 ^* n
( ?5 d2 k: [7 b# U  k( Y, m; J
好了，下面我们来说下常见的免杀输入表方法。
$ s3 o+ U7 _! o" F
一。移位法

这个已经过时了，我们的国产杀软及时的跟上了时代，2 r" g" z5 c$ m  t$ H

移位法在去年过金山和瑞星，还有江民都是可以过的，8 r& `3 f  ~1 S  a
8 w, ^; T' A7 @; a8 ]6 E; D5 K
现在的杀软智能化了，移位么？呵呵，追杀你。

如果你想了解怎么个移位法，去百度搜吧，大堆的老教程等你看。$ `9 y5 L# O! m! n' N' h+ E

二，重建输入表' k+ m/ ~/ m+ i" t* p# q9 H

效果不错，这里说下，简单的重建输入表，还是可以过我们的国产杀软的，外国的就不行啦。哈哈* \: u2 X  L+ H9 r! C% X4 c
- H& ]; k8 y0 c1 W$ d$ m8 l6 S4 c* Q
这里我介绍下，
1 w, c, }6 j7 M8 e9 j7 Q
用到工具：: w% l# c3 a1 W2 y
importrec1.69 ?# z4 u; y' b- ?" o& S
od8 @; |* u$ F4 G1 W$ O
c32asm
loaderpe
这里我们简单的介绍下，如何重建输入表( O* C5 ]0 z7 d" h3 P! u

首先吧文件拖入od，打开inportrec1.65 @% ]1 P% ]) |' W0 n
" g( G2 ]% o# i5 g* b9 X
如图选择拖入od的程序，

9 j* V: G; u# T; {( L8 ?5 J: |
$ g5 _% A' K7 S, g3 ~; Y1 z" q% U
这个时候，我们打开loaderpe，
/ |# v7 I9 g6 F; g. T3 f+ K
拖入我们的木马3 w- v. X1 \# h1 \' [( B, o
4 [. X; u+ d$ t. X# A+ V$ B
选择目录，6 Z! e$ d) t5 U
, O4 J: \& ]2 V! c8 ~+ E
我们看到导入表这里。。。$ R8 R' z% e4 {( ?& d$ x! h: L) C- x

如图：) D- Z6 D6 c! e

RVA地址是0001D000  大小是0000154C
0 w5 w3 x# |+ S3 t6 _+ J
好的，我们把这两个输入到import1.6里去

就是在“加载树文件”那上面一点

输入RVA的地址和大小。

点击“获得输入表”
  c: x! ?0 N# }! f
然后点击“显示无效的”) k' V; w3 d0 T

接着importrec会自动列出6 B+ O2 [; A! H6 b

我们把深蓝色的字体  右键剪切无效的指针
' \+ N8 C  G% o, T" h5 s, c% B

最后，我们点“修理dump”
% O5 E, ?* i. {+ R; m- C
选中我们的木马就可以了8 t8 A8 \9 j. y6 W" i% v

最后我们要用到c32asm

我们会看到两个输入表，我们只要把原先的输入表全部填充为00就可以了。

这样做，只能过国产的杀软，外国的如卡巴就免杀不了（如果他的特征码在输入表的话）
# Y5 p+ c% e* f
这里，我教大家一个方法，也是重建输入表，可以过卡巴，不过加了个小步骤，- P& S) z, ~) ^/ r" S9 k
( X( \+ Q' F9 \" N. r
我们把马子拖入od的以后，打开了importrec1.68 h4 V$ Z5 q6 q: _; `7 F: C

在选项那里，选择根据序数建造输入表和创建新的IAT5 `& `4 |! ~0 @! _' o  r

如图& J/ M- R- y+ B! O

以后的步骤照上面的方法继续就可以了

不过此方法有个弊端就是，如果你在sp3下作的免杀生成的服务端会在sp2的系统下运行不了
0 D7 o( D! j! g& [6 \; l T" L
因为kernel32.dll的大小不一样。
: |# O! f8 J+ `! b* q& B# Q
3.修改originalfirstthunk' g/ Z' x8 F* M+ F4 Z# P/ k

如图所示% J3 e8 W$ P4 l- E

我们打开loaderpe，依次点  目录--导入表（后面那个横线）

我们可以看到所有的dll，如图，我们假设杀软杀的是wininet.dll3 W" c8 p( b4 h) R/ x: G9 l

我们右键--编辑--把函数后两个00修改为FF

这样可以过小红伞查杀。  虽然会出现错误提示# K3 ~5 _1 ], }
9 v1 M$ r! m( B! x3 X7 G) r- ?. Z
但是不影响木马的功能，不影响上线。. j; P6 l* D5 ]6 T
' m, k9 ]4 s5 \6 I+ [: o' ^" S2 ?
4.dll后面加20 90法过卡巴查杀8 E+ K. i0 D7 J6 j4 C: |  M2 A, H* w
$ A$ `) _- ^  x+ m+ h* U3 N; o) h
需要的只是一个c32asm而已，非常简单但却非常有效
) X# b) w7 w" x0 d
如图2 d+ f, C+ M3 _

我们可以看到，
3 E$ B/ j' i. O' |9 e% T' T9 |, d6 r
在ntdll.dll后面有一个空格和一个问号对应的ascII码是20 90/ s& N3 s3 j% N2 d- U3 M

这里假设卡巴杀的是ntdll。dll下的函数ZwUnmapViewOfSection

我们只需要在他的所属dll后面加个20 90就可以了
" o3 x1 S6 Z. i( R2 f/ X8 ~
卡巴目前还不查杀此免杀方法

& M" X) }3 a% G7 v
唧唧歪歪这么多，打字有点累了7 x+ P/ J [, V3 V! W' s9 K4 d5 i
/ X$ v, }( x6 w" S5 e5 g9 `' Q
以后有新的免杀的方法我会继续公布的。暂时先写这么多吧。. ?+ h2 h% a+ a+ w

[ 本帖最后由 1335csy 于 2009-3-31 11:35 编辑 ]

返回列表

[原创文章] 木马免杀之免杀输入表篇

[收藏此主题] [关注此主题的新回复]

[通过 QQ、MSN 分享给朋友]