[原创文章] 个人免杀经验分享

经验, 分享

原创作者：1335csy [3.A.S.T]1 a$ }! j6 g# S( O5 d+ q$ n- D

3 \( M1 K0 \& [( Y2 }信息来源：3.A.S.T网络安全团队  （ www.3ast.com.cn  ）; F: T- A2 t' S+ r5 u
. R' J5 X0 @1 ?3 X7 f, l! S
来了3AST很久了  也没有写上什么有点价值的帖子，今天这个帖子算是抛砖引玉吧。。

免杀也弄了有点时间了。。现在分享下我的经验。

首先建议新手朋友要学会定位表面特征码和内存特征码（定位方法有细微差别）

修改特征码还是要学习的。毕竟现在依靠特征码查杀仍是杀软的主要途径之一。
( s+ s& E7 i" k
第二个是要学会写自己的花指令，不要以为免杀怎么难，多么难，只要你会一点基本的汇编，7 k5 W& E1 `8 P6 _. D6 g, M

再多翻几下8088汇编速查手册。我相信基本的木马免杀是难不倒你的。………^_^。
. J4 b7 N6 V  ^" J
很多新手朋友曾经都这么问，什么是花指令？所谓花指令，就是一些，没有用的指令，1 d" z) {) C' k( `6 B. F1 L& d4 D- f
" \- u* u! C! ~0 D4 N: n% w: m
其作用是干扰杀软的查杀，写花指令最重要的是维持堆栈的平衡，很简单。, h$ q( g5 E* a' ]
+ m! G8 ~0 K/ T! q
顺便说下，花指令对卡巴有特效，但是并不意味着，一个花指令就可以把卡巴斯基搞定。3 P0 k3 s9 [2 e" F. Z- S

对付卡巴斯基，需要多种方法结合，壳上加花和修改文件入口点以及去头加花一般免杀效果是非常好的。# u. ^# o) D1 M, J, `- {7 K% ^
% v" @; ], c  X9 E0 R4 m
对于瑞星么。我个人还是建议修改特征码。尤其是内存特征码的时候，修改特征码对付他效果好，

对了，花指令对瑞星不是很管用。! k5 C0 d) N- a/ p: U
; n3 l$ g4 c! K$ o; t. \

做过NOD32免杀的朋友都知道，NOD32的特征码经常定位在输入表上。. B) S& H% I" P$ Z3 o) m
0 [# r' j& v5 L3 L2 u  d4 K
我们怎么看一个杀软定位特征码是在输入表上呢？很简单  你把定位出来的特征码放在C32ASM里面看。

对应的ANSI字符是在一些什么DLL后面或者一大连串的字母后面  这样的多半是输入表了。+ C0 v& O5 [3 B1 A/ o4 B
8 |! W% c( j: G
输入表的免杀是非常重要的一课。 : C, I7 {9 k* j, O. e! ?- h

常见方法有移位法。上下互换法。以及重建输入表法。

移位法就是把我们的特征码那一DLL往前移动一位或者往后移动一位。再用LOADPE来修改输入表。# ~2 Y- z7 _' n, V+ c
. f: N" j6 E1 p0 ?
上下互换法则是再找一个和我们特征码那一个同样字节的字符串  互换一下。但不是通常都有用。$ j5 R+ b& _$ F. b
7 ?& q/ _% S  G" v" }: P
重建输入表则是免杀输入表效果最好的了。一般的木马都只有一个输入表。
0 g  N6 u3 K5 i% Q1 W1 a( X8 g/ _
我们利用ImportREC来帮我们的木马重建一个新的输入表  把旧的输入表删除。。
$ J! D: A4 b& \( F3 A# o4 ]6 s
这样免杀的效果不错。。。6 w6 J* S. l: B9 A+ i% n
6 z( X& s$ K6 a) Y8 x: R! H
关于免杀也就这些了，这也是个老生常谈的话题了。说来说去无非也就那几个方法。
! z. C) T1 b5 J' a" k
什么入口点加1啊，区段加花啊。。修改区段名字啊。。。) b* [2 A$ l% Y2 h

大家多多了解下，  免杀不是很难的事。。

此文仅写给新手朋友一看。。老鸟飘过。。

1 评分人数