[原创文章] 木马免杀之免杀输入表篇

木马, 输入

最近和一位木马免杀牛人交流，感觉新增进不少，

特拿来分享给大家。  E  i3 I& ^4 M% A* [& B
9 ?2 j$ b4 X" I" M
今天我们不提我们国产的那些杀软，真的垃圾的要死，
. Y* j2 q1 m! |
上次有位朋友叫我帮忙做上兴免杀过瑞星，说内存特征码定位在输入表& R4 c# ^3 G" @3 r: q6 F5 B! s# V  A
% o8 I8 n3 a1 D2 {# n, T! F: }, V7 @
我简单的重建了输入表就把瑞星搞定了，" [  m& P7 |! C. C" p7 ^
  m! E8 r- Z* W; Y) ~( s* g
失去信心了。我曰: O0 b/ ]7 n  w; n/ v$ d

今天我们说的是免杀输入表，以下是我的经验，也有牛人传授的免杀方法。# J$ A+ w) T7 R5 Q1 x+ x5 W

首先，大家要知道一点，国产的都没有高启发式扫描，瑞星，金山等都没有。
+ x4 Y0 j- T) `- m! n
外国的，如nod32，卡巴，小红伞都有启发式扫描，尤其以卡巴的高启发式和他的2009主动防御难过。

高启发式扫描必然导致特殊的特征码，我建议新手朋友做卡巴等免杀的时候，先把启发式调到最低

过了以后再调到最高，再做免杀。0 i- N/ I5 o/ g3 H$ V6 ]* X+ t

以上是废话，

好了，下面我们来说下常见的免杀输入表方法。: ]0 L  L) V) w! n- |: B

一。移位法

这个已经过时了，我们的国产杀软及时的跟上了时代，8 k# N5 m8 \1 _/ Y3 i
- |7 m. i: |- D/ j- g
移位法在去年过金山和瑞星，还有江民都是可以过的，
" b' [6 ?0 i2 N0 E8 t$ E
现在的杀软智能化了，移位么？呵呵，追杀你。& G: C, G- Z, v" U
# z. v3 z" F3 ?( h
如果你想了解怎么个移位法，去百度搜吧，大堆的老教程等你看。3 o0 H* r& p6 l( [% n0 M+ M
8 i) D1 f9 J/ \' P+ y5 n# O
二，重建输入表" n3 Z/ }% ]9 K$ Z1 S% ?

效果不错，这里说下，简单的重建输入表，还是可以过我们的国产杀软的，外国的就不行啦。哈哈
  Z+ o% L# }2 W
这里我介绍下，

用到工具：
importrec1.6
od; h8 S7 I! ~, m- ]9 E9 K4 d* E
c32asm" {6 @6 X/ Y6 E) V0 R" ~
loaderpe
这里我们简单的介绍下，如何重建输入表- i, A# N* H: W$ [/ e6 T
4 ?$ ?0 |: L8 y3 |& D
首先吧文件拖入od，打开inportrec1.6

如图选择拖入od的程序，2 A: P+ H& ^+ W

# c) j2 ^$ L; d% H% F: d: h! W
这个时候，我们打开loaderpe，
# `9 |: o3 @3 B
拖入我们的木马

选择目录，8 V) _% T1 ~/ k

我们看到导入表这里。。。( b; ?+ K _1 `8 A
8 H- P8 B( |: S' P6 {
如图：, W3 ~7 i9 W( @& A* X U4 I

" ~5 v# K) i1 h# a
% w- Y. e% U- `1 A. Z: k" o1 K, u9 q! j
RVA地址是0001D000  大小是0000154C! E, d  x8 b+ f1 h. k1 U

好的，我们把这两个输入到import1.6里去
! C! v% e% ?% v9 E, _1 S& W3 q' n% E
就是在“加载树文件”那上面一点 " n5 K, E5 |$ k; W# W2 n4 w
* T6 M; @6 p: s2 b+ d1 i
输入RVA的地址和大小。

点击“获得输入表”

然后点击“显示无效的”: {. {& c- r' Y0 ~7 J; `

接着importrec会自动列出

我们把深蓝色的字体  右键剪切无效的指针* w; [  h0 G4 ?2 u5 K* B. w8 E6 W
1 |, Q/ l! w+ {

最后，我们点“修理dump”

选中我们的木马就可以了, g" Q( ]! U. q" d+ v$ I
" Q) n, L! j: u  M
最后我们要用到c32asm
. W0 Y5 S8 Y. F
我们会看到两个输入表，我们只要把原先的输入表全部填充为00就可以了。: \9 r5 g7 ^& U; V; V; j

这样做，只能过国产的杀软，外国的如卡巴就免杀不了（如果他的特征码在输入表的话）  H: h4 T9 q3 B
1 x2 J$ ~- q2 ^% ]9 j$ o; `
这里，我教大家一个方法，也是重建输入表，可以过卡巴，不过加了个小步骤，3 {7 T( k/ C' c0 \3 ?* T# B0 m

我们把马子拖入od的以后，打开了importrec1.6, P8 I8 _; k- u: [* W( R

在选项那里，选择根据序数建造输入表和创建新的IAT" p9 s3 {  B3 ~0 A( ~- I$ N1 E/ H

如图" v, |+ v8 v, i0 b7 ]# B8 P

# v1 }4 D1 j  Z( q  x
% V8 \1 i( r9 v# E4 r$ @
以后的步骤照上面的方法继续就可以了
$ Y5 B+ G( m7 ~% {' v
不过此方法有个弊端就是，如果你在sp3下作的免杀  生成的服务端会在sp2的系统下运行不了
, I# }8 U2 k. i9 k! H; O% z( D, x
因为kernel32.dll的大小不一样。3 H( S7 |" Y, [: z3 e* f
, w/ \( J  g- j. f" r
3.修改originalfirstthunk5 g  D9 f8 }: L* K/ H, @

如图所示3 r8 Z! U( _  i

: j8 _% u% I$ C( t7 W/ \; ^: i

我们打开loaderpe，依次点  目录--导入表（后面那个横线）
7 d, R& i+ N2 Q( {4 m
我们可以看到所有的dll，如图，我们假设杀软杀的是wininet.dll4 V( P% ?6 ?: c
+ C2 `3 {* m7 l- ^/ H$ ?
我们右键--编辑--把函数后两个00修改为FF. j6 r2 ]. a4 g6 T$ x8 |& c" _8 A
3 I7 ^& r* X: z  O  @0 Q- p! X+ y
这样可以过小红伞查杀。  虽然会出现错误提示

但是不影响木马的功能，不影响上线。# T* R* o5 P+ d$ w' M
" V( u9 G8 `; U9 L& H4 I
4.dll后面加20 90法过卡巴查杀1 |$ u& P* a  Q

需要的只是一个c32asm而已，非常简单但却非常有效

如图; Q. @7 B$ L/ R. u' k7 |

3 M) v7 L2 E. [' b

我们可以看到，
. e9 `8 l  l: [3 x
在ntdll.dll后面有一个空格和一个问号对应的ascII码是20 90
# d& T1 t& |( ^! n2 g
这里假设卡巴杀的是ntdll。dll下的函数ZwUnmapViewOfSection
" ?4 O0 \' G7 Y  N$ g3 b
我们只需要在他的所属dll后面加个20 90就可以了
2 d) c; \) I. X
卡巴目前还不查杀此免杀方法

, A  M' a; d- L, K1 _* g3 b
唧唧歪歪这么多，打字有点累了6 _; ^* A) K: e. H$ a' {

以后有新的免杀的方法我会继续公布的。暂时先写这么多吧。& v6 A+ I0 n- @0 b" H6 b
7 P9 r6 S0 a8 Z( W  w) ~
[ 本帖最后由 1335csy 于 2009-3-31 11:35 编辑 ]

返回列表

[原创文章] 木马免杀之免杀输入表篇

[收藏此主题] [关注此主题的新回复]

[通过 QQ、MSN 分享给朋友]