[原创文章] 木马免杀之免杀输入表篇

木马, 输入

最近和一位木马免杀牛人交流，感觉新增进不少，9 l3 h) A5 T: t1 S5 _7 V
' w/ b% V, K  ~  ^7 s
特拿来分享给大家。6 \, N' o+ s! f, ?* V
( n+ L2 P8 M( M& U+ b7 }
今天我们不提我们国产的那些杀软，真的垃圾的要死，
- }; ]4 G2 \) q9 n$ ~( s
上次有位朋友叫我帮忙做上兴免杀过瑞星，说内存特征码定位在输入表( ^5 V& g, @  ]1 H! T1 g
  I9 T9 k) q6 w6 U% |
我简单的重建了输入表就把瑞星搞定了，

失去信心了。我曰
" @0 {" [7 V' @4 g* `( a
今天我们说的是免杀输入表，以下是我的经验，也有牛人传授的免杀方法。+ m; U0 S' w  [5 N5 o

首先，大家要知道一点，国产的都没有高启发式扫描，瑞星，金山等都没有。" r; H* x3 u- f7 a4 A7 Q9 R$ J

外国的，如nod32，卡巴，小红伞都有启发式扫描，尤其以卡巴的高启发式和他的2009主动防御难过。

高启发式扫描必然导致特殊的特征码，我建议新手朋友做卡巴等免杀的时候，先把启发式调到最低. x, D! c& E4 Q5 X* S+ G
4 r: M" P8 U5 F* V1 o1 Y$ D
过了以后再调到最高，再做免杀。9 Q7 ?; ]0 o! \3 n/ h3 h# R

以上是废话，" _/ C0 w9 ^' _# r$ C& t
+ P5 V5 c. d% T- U# R2 v$ Q" n1 l, `
好了，下面我们来说下常见的免杀输入表方法。, d. a3 F( T5 m7 `" |; w8 o

一。移位法

这个已经过时了，我们的国产杀软及时的跟上了时代，
( I  s$ }0 D) g7 K
移位法在去年过金山和瑞星，还有江民都是可以过的，

现在的杀软智能化了，移位么？呵呵，追杀你。- _0 o' z+ d/ v9 G$ G+ p
3 x2 O1 l1 m1 v$ G: N; V
如果你想了解怎么个移位法，去百度搜吧，大堆的老教程等你看。

二，重建输入表- M* g" y. L) d" X) ?$ a

效果不错，这里说下，简单的重建输入表，还是可以过我们的国产杀软的，外国的就不行啦。哈哈

这里我介绍下，5 D1 r  W& t4 _

用到工具：
importrec1.6
od7 I/ t' v) ^8 s8 q4 Z; R7 R
c32asm
loaderpe* h: a2 q7 K3 i) M& {( L6 r9 X
这里我们简单的介绍下，如何重建输入表% q6 V5 H/ G8 G: a

首先吧文件拖入od，打开inportrec1.6
/ T5 S. w% r9 j% z! G! P9 y( \
如图选择拖入od的程序，( r6 B- v2 F. o% B$ Y  d

+ p# u4 Y2 L& `
这个时候，我们打开loaderpe，- S2 Z( [0 |* T

拖入我们的木马; @: A$ j0 j: h( N+ m) W* Z7 y2 q

选择目录，

我们看到导入表这里。。。

如图：

RVA地址是0001D000  大小是0000154C9 P1 q/ k7 I# c! Z' E/ C, Z
) c  ^0 c0 v, H1 V9 M( U/ B  z3 d
好的，我们把这两个输入到import1.6里去2 E8 A+ k; |' S! J9 d
6 J0 ?2 k0 r/ @* Z) R- R+ r
就是在“加载树文件”那上面一点
1 y8 f! |: J4 E/ M& I! S7 P
输入RVA的地址和大小。4 B) }! A# M, g8 ^+ d1 s8 b4 g

点击“获得输入表”& G. H. F# s4 \; v  Z4 v

然后点击“显示无效的”7 X/ v$ c% e: Y8 M6 B; G

接着importrec会自动列出

我们把深蓝色的字体  右键剪切无效的指针! b" a. @, ]9 I' g$ I; N
, F$ N* o# K" h4 P1 O

最后，我们点“修理dump”+ I$ G! p! m+ H0 P7 p# c9 v% f" C

选中我们的木马就可以了  d. R. l+ p9 \0 V3 R; }
3 D+ o) Q& X& a% P& L: w( Q' O% a
最后我们要用到c32asm

我们会看到两个输入表，我们只要把原先的输入表全部填充为00就可以了。
4 X: J, f: O) t( |
这样做，只能过国产的杀软，外国的如卡巴就免杀不了（如果他的特征码在输入表的话）8 Z, J$ F0 ?& W

这里，我教大家一个方法，也是重建输入表，可以过卡巴，不过加了个小步骤，0 k1 b! t3 A' k
8 C6 h; d9 f1 a7 D
我们把马子拖入od的以后，打开了importrec1.6
! u; G* |( E& I
在选项那里，选择根据序数建造输入表和创建新的IAT

如图

2 y* Z# V( G r; f! b0 X5 O% T

以后的步骤照上面的方法继续就可以了' o% w5 d7 V; M1 s

不过此方法有个弊端就是，如果你在sp3下作的免杀生成的服务端会在sp2的系统下运行不了

因为kernel32.dll的大小不一样。1 t8 S/ H$ y" m" S8 q7 ^+ h
9 s' d. A, D. \
3.修改originalfirstthunk/ m/ ?9 L5 K- I: ~

如图所示

我们打开loaderpe，依次点  目录--导入表（后面那个横线）+ M6 i% _2 P; {0 V* K5 H

我们可以看到所有的dll，如图，我们假设杀软杀的是wininet.dll

我们右键--编辑--把函数后两个00修改为FF/ i7 l+ ?9 I" e- t$ y3 T) y6 T' P0 N0 x
/ T! t0 V; v5 b
这样可以过小红伞查杀。  虽然会出现错误提示

但是不影响木马的功能，不影响上线。- u. I9 V" \- j5 m- O" H  s

4.dll后面加20 90法过卡巴查杀* q  ^" u: Z# u. s' O1 S
& m4 S/ R* B. [9 [: L$ d
需要的只是一个c32asm而已，非常简单但却非常有效

如图4 K) K0 O  g; q6 B$ Y9 e
- L- R. v6 Q7 i: m3 h

我们可以看到，1 C" Q5 ], `, M, ?1 f1 s. w" u

在ntdll.dll后面有一个空格和一个问号对应的ascII码是20 90
# a+ M4 g: n0 b& i5 [
这里假设卡巴杀的是ntdll。dll下的函数ZwUnmapViewOfSection, @! V& H) `* |8 ~
4 A' P: Q( M! {' y# W7 {
我们只需要在他的所属dll后面加个20 90就可以了
- l- ]9 _; Y% G& C
卡巴目前还不查杀此免杀方法

/ U. q" Z" f" p7 D! T
唧唧歪歪这么多，打字有点累了, w$ m2 J5 f7 b* i, D( t

以后有新的免杀的方法我会继续公布的。暂时先写这么多吧。6 ]- L# m# h0 R4 O* G

[ 本帖最后由 1335csy 于 2009-3-31 11:35 编辑 ]

返回列表

[原创文章] 木马免杀之免杀输入表篇

[收藏此主题] [关注此主题的新回复]

[通过 QQ、MSN 分享给朋友]