[原创文章] 木马免杀之免杀输入表篇

木马, 输入

最近和一位木马免杀牛人交流，感觉新增进不少，' t' }6 l4 A' Y+ U: d

特拿来分享给大家。
, y5 |' ~( x) |! S8 Z& y0 o
今天我们不提我们国产的那些杀软，真的垃圾的要死，* ], t! }. x' U% Q' E
6 s& f* [# ?6 O* _; C/ |2 T5 o
上次有位朋友叫我帮忙做上兴免杀过瑞星，说内存特征码定位在输入表

我简单的重建了输入表就把瑞星搞定了，2 {6 v5 D) r, @% }' d5 h; v/ B

失去信心了。我曰
7 D2 P6 j: j6 o9 R; @( T
今天我们说的是免杀输入表，以下是我的经验，也有牛人传授的免杀方法。! [* s4 d4 X7 U" @) {

首先，大家要知道一点，国产的都没有高启发式扫描，瑞星，金山等都没有。2 R, C5 U! x  h' L
; J9 D+ o5 c: W7 k
外国的，如nod32，卡巴，小红伞都有启发式扫描，尤其以卡巴的高启发式和他的2009主动防御难过。& O- g6 k( {0 i' p

高启发式扫描必然导致特殊的特征码，我建议新手朋友做卡巴等免杀的时候，先把启发式调到最低7 j4 y' i& @% N
7 s+ s0 J- F* G5 s9 Y9 ^
过了以后再调到最高，再做免杀。

以上是废话，) f, i% s' n- K- q

好了，下面我们来说下常见的免杀输入表方法。
; v! D4 q" |0 F( K7 c& W
一。移位法

这个已经过时了，我们的国产杀软及时的跟上了时代，
9 {' m6 ]- I; i0 I9 A& W8 F
移位法在去年过金山和瑞星，还有江民都是可以过的，
# j/ U7 \5 i2 l2 z! l
现在的杀软智能化了，移位么？呵呵，追杀你。

如果你想了解怎么个移位法，去百度搜吧，大堆的老教程等你看。
$ }  D0 T3 _3 n, ]' d) L
二，重建输入表
. G# y+ N* R; H, F
效果不错，这里说下，简单的重建输入表，还是可以过我们的国产杀软的，外国的就不行啦。哈哈
$ x9 g: @3 }  B$ ?5 }
这里我介绍下，" o; m/ X) _5 [

用到工具：6 u9 B. E0 Y- y+ F, K# b$ k6 n3 m5 `
importrec1.6
od; V( e  O( f4 b( f
c32asm! a5 j, g3 s8 z! A1 {3 Q: Z) R) q
loaderpe
这里我们简单的介绍下，如何重建输入表
, l2 p' m" p* g# P  w: W* ]  O
首先吧文件拖入od，打开inportrec1.6( Z# K+ C3 l' J3 Y% ~! g2 b, Z

如图选择拖入od的程序，

5 d  R' Q$ L: Y
2 _/ U" @& _3 v) O
这个时候，我们打开loaderpe，

拖入我们的木马

选择目录，+ m9 ]. O! Y" a

我们看到导入表这里。。。
7 P# k# j3 a" {/ f/ b- w  w0 C
如图：  `  t! t6 I* L

RVA地址是0001D000  大小是0000154C
) Y2 d8 ?! z2 ]! I' a1 C1 u2 v
好的，我们把这两个输入到import1.6里去* u7 Y: @! q& J* Y

就是在“加载树文件”那上面一点 2 Z* V7 t% G9 T1 U

输入RVA的地址和大小。+ b1 W/ q0 |9 K# u" E
  b' c6 c% T4 B; N6 J5 P4 H
点击“获得输入表”/ G+ P) V; H* O2 O9 A
' \  P. q4 T" h" }6 |
然后点击“显示无效的”
* Y1 g8 m, s/ m/ B8 o- B; h
接着importrec会自动列出
' d1 n( n, k! J( K4 {; D+ V8 _+ U1 F
我们把深蓝色的字体  右键剪切无效的指针+ q/ ], F5 n6 f% `

最后，我们点“修理dump”/ g8 R. G8 [: ~
2 z2 b2 v! ^8 |4 u# n: ?2 N9 W4 }
选中我们的木马就可以了
3 Q+ r9 u7 l* R) d4 z
最后我们要用到c32asm+ Q$ ]8 F# d+ `. ?  E

我们会看到两个输入表，我们只要把原先的输入表全部填充为00就可以了。

这样做，只能过国产的杀软，外国的如卡巴就免杀不了（如果他的特征码在输入表的话）

这里，我教大家一个方法，也是重建输入表，可以过卡巴，不过加了个小步骤，0 L5 |4 J# Q- i3 z3 {; f

我们把马子拖入od的以后，打开了importrec1.6
1 L. G4 d& \2 t5 S
在选项那里，选择根据序数建造输入表和创建新的IAT
; p0 r1 q. v/ N/ \
如图

& s9 U( P% X) b- x
, D9 h$ _3 a# M( E. h0 G! w4 K
以后的步骤照上面的方法继续就可以了

不过此方法有个弊端就是，如果你在sp3下作的免杀生成的服务端会在sp2的系统下运行不了

因为kernel32.dll的大小不一样。+ |$ `2 y' ^# z

3.修改originalfirstthunk

如图所示

. h7 w/ S: Q% }$ P4 s
我们打开loaderpe，依次点目录--导入表（后面那个横线）0 x& C. g9 ^( Q& d: {% D8 e6 W& T% ^

我们可以看到所有的dll，如图，我们假设杀软杀的是wininet.dll

我们右键--编辑--把函数后两个00修改为FF
* B: B- A2 |. i7 T3 [. G! O3 B
这样可以过小红伞查杀。虽然会出现错误提示

但是不影响木马的功能，不影响上线。( c6 D6 P$ }. ^. i
* i$ X6 P+ C9 \% k
4.dll后面加20 90法过卡巴查杀

需要的只是一个c32asm而已，非常简单但却非常有效+ z: y* ~2 e0 {
( M* _, [- S- g! z2 N0 N* E0 p
如图0 ?: N7 F$ K& u' M% d4 V
- O2 J) i- s# ~9 j

/ _# p1 m" Y6 w- `3 ~( k. S) B
$ |: e, v+ _; \8 L2 V' B5 y2 M5 t% s
我们可以看到，8 s( C4 A' x5 o+ I8 ~* i4 z

在ntdll.dll后面有一个空格和一个问号对应的ascII码是20 90) j& g# X4 d2 a( G1 X
+ _2 K! E: o5 i; {
这里假设卡巴杀的是ntdll。dll下的函数ZwUnmapViewOfSection
% Y. q7 A! u j. o/ E% Q
我们只需要在他的所属dll后面加个20 90就可以了5 X( N/ U7 f* e* U# J- [
' m6 [: M% d% e) y+ e
卡巴目前还不查杀此免杀方法
% j) _" I4 \6 u+ J. {' J. T/ D6 r+ X% [

唧唧歪歪这么多，打字有点累了3 y1 [6 R9 ^ R" O
% @% R7 P- W2 u, `. v- `
以后有新的免杀的方法我会继续公布的。暂时先写这么多吧。

[ 本帖最后由 1335csy 于 2009-3-31 11:35 编辑 ]

返回列表

[原创文章] 木马免杀之免杀输入表篇

[收藏此主题] [关注此主题的新回复]

[通过 QQ、MSN 分享给朋友]