[原创文章] 木马免杀之免杀输入表篇

木马, 输入

最近和一位木马免杀牛人交流，感觉新增进不少，+ r& L: n0 O3 L

特拿来分享给大家。9 d# Q9 p) k( p5 y3 `! }

今天我们不提我们国产的那些杀软，真的垃圾的要死，- M" W& {4 C5 `! H
( i& M4 j3 z9 H4 \$ h2 W% g7 W
上次有位朋友叫我帮忙做上兴免杀过瑞星，说内存特征码定位在输入表# t% P4 w# _# Z, G' t$ ^2 S+ ^
5 _$ m% S$ i' b3 l) M2 e2 x
我简单的重建了输入表就把瑞星搞定了，

失去信心了。我曰. h# i5 Z# D8 O8 P7 S: x2 k

今天我们说的是免杀输入表，以下是我的经验，也有牛人传授的免杀方法。

首先，大家要知道一点，国产的都没有高启发式扫描，瑞星，金山等都没有。' s0 c4 E3 Z E" x
- w$ y) A0 h$ Q
外国的，如nod32，卡巴，小红伞都有启发式扫描，尤其以卡巴的高启发式和他的2009主动防御难过。
3 I( a) v7 K2 A, u! O) C
高启发式扫描必然导致特殊的特征码，我建议新手朋友做卡巴等免杀的时候，先把启发式调到最低

过了以后再调到最高，再做免杀。
0 @9 j8 W" z! c/ W: L5 F! X$ O
以上是废话，
6 K* k1 b+ Z7 j
好了，下面我们来说下常见的免杀输入表方法。

一。移位法; r; n8 x% m" M0 A) G

这个已经过时了，我们的国产杀软及时的跟上了时代，
4 A- G- n" \- r4 p. v* H
移位法在去年过金山和瑞星，还有江民都是可以过的，. Z! S, i( i. _+ q7 I

现在的杀软智能化了，移位么？呵呵，追杀你。

如果你想了解怎么个移位法，去百度搜吧，大堆的老教程等你看。

二，重建输入表

效果不错，这里说下，简单的重建输入表，还是可以过我们的国产杀软的，外国的就不行啦。哈哈7 w# q: [) T6 w
8 M5 o" N! u/ i# V6 a1 m" N
这里我介绍下，/ [1 v; v* I* ]6 t" V: i
; F" S' _: S3 G# K, V# [
用到工具：
importrec1.6
od. z( I$ B" Z+ h9 s( b) D
c32asm
loaderpe
这里我们简单的介绍下，如何重建输入表5 I; V# ~& c3 _3 {0 P

首先吧文件拖入od，打开inportrec1.6& t) H' X7 l5 `9 c% b

如图选择拖入od的程序，5 a$ ]/ |$ p9 B' u0 x

. h0 f6 {# ]- G' s7 T

这个时候，我们打开loaderpe，

拖入我们的木马
# a3 ?4 D9 a3 J( _0 \/ S2 V
选择目录，
( ^+ H7 v) K8 z2 M& F7 {& b; b8 a
我们看到导入表这里。。。

如图：- |% h2 R) B0 ]

RVA地址是0001D000  大小是0000154C5 `3 O: c& e' R) R0 a: F2 m
! x! r; K5 |% i5 |
好的，我们把这两个输入到import1.6里去

就是在“加载树文件”那上面一点 7 L6 i- H" F7 H0 C& D; K
3 _- M1 W4 e8 Y7 M) z( s, U
输入RVA的地址和大小。) e  r+ F& l  ]9 I; E6 C4 {

点击“获得输入表”
( m: |* G4 G+ H! }
然后点击“显示无效的”- T% t) N, ~9 C2 @: c2 M
) e& Y1 k  A5 c2 E9 @- O, |
接着importrec会自动列出0 v! b( N- j1 K' v$ y+ a9 c

我们把深蓝色的字体  右键剪切无效的指针

最后，我们点“修理dump”) M! v8 [& @) h2 w3 E9 O

选中我们的木马就可以了% I: `7 K; G0 F) @4 x. N! t9 l6 k$ \! k

最后我们要用到c32asm, l- a8 A  Z& @5 T- N$ h, W
9 Y3 y% f9 b9 \
我们会看到两个输入表，我们只要把原先的输入表全部填充为00就可以了。

这样做，只能过国产的杀软，外国的如卡巴就免杀不了（如果他的特征码在输入表的话）7 k$ B. W, F6 q7 w% x# e9 g7 i
9 L( J. |0 G! m! {
这里，我教大家一个方法，也是重建输入表，可以过卡巴，不过加了个小步骤，! x& v4 a1 b( x+ m" S! j

我们把马子拖入od的以后，打开了importrec1.6
7 f+ x5 I$ |/ Y* L
在选项那里，选择根据序数建造输入表和创建新的IAT2 ]* b1 j  L) u/ N7 y

如图/ D, K: f( D4 A# ~# _- @: u' ]

+ |: f! J( Z3 S: F' O

以后的步骤照上面的方法继续就可以了0 A2 |8 T( e P2 S/ ?4 ^
$ w. V" M7 |& \0 I5 U. B) q
不过此方法有个弊端就是，如果你在sp3下作的免杀生成的服务端会在sp2的系统下运行不了
) x' N/ A3 p3 C) i: ~- p
因为kernel32.dll的大小不一样。

3.修改originalfirstthunk+ E+ |1 K1 e& Q3 T3 p

如图所示

, ]9 F5 y( J/ M! n
: C6 l" b/ ?7 \0 Z$ x
我们打开loaderpe，依次点  目录--导入表（后面那个横线）

我们可以看到所有的dll，如图，我们假设杀软杀的是wininet.dll

我们右键--编辑--把函数后两个00修改为FF
; Q- q- y6 E1 l  ^' O
这样可以过小红伞查杀。  虽然会出现错误提示; E% h; H6 J0 L3 X2 q) P
' z& R4 q* X6 i- q; ~7 f- Q: d
但是不影响木马的功能，不影响上线。
& A. Q3 ^* S4 W/ q! G
4.dll后面加20 90法过卡巴查杀) f, d" _( C; l

需要的只是一个c32asm而已，非常简单但却非常有效* P% _/ C& T% ^2 w0 ~' x2 r6 q, @
# [: x& Z6 e7 r. u+ W" ?
如图3 j* e! x5 C7 P& z

" y5 m4 ?: D& f& r
  N' _% U( T5 T7 Y$ Q$ r
我们可以看到，4 n) h' C& i1 e! G& Z
+ }# W. h  Z1 f. N+ {
在ntdll.dll后面有一个空格和一个问号对应的ascII码是20 90" S0 p: ]7 I% q. S; w& ?

这里假设卡巴杀的是ntdll。dll下的函数ZwUnmapViewOfSection
* d* T% z5 q- D
我们只需要在他的所属dll后面加个20 90就可以了
) Y( Z% d% \* n7 j# {. X
卡巴目前还不查杀此免杀方法

# E, Q0 i- N0 b1 O3 I' e
唧唧歪歪这么多，打字有点累了

以后有新的免杀的方法我会继续公布的。暂时先写这么多吧。! v* S3 j. D  [
9 N% N" H6 k! ^) o
[ 本帖最后由 1335csy 于 2009-3-31 11:35 编辑 ]

返回列表

[原创文章] 木马免杀之免杀输入表篇

[收藏此主题] [关注此主题的新回复]

[通过 QQ、MSN 分享给朋友]