[原创文章] 木马免杀之免杀输入表篇

木马, 输入

最近和一位木马免杀牛人交流，感觉新增进不少，
' k; Q& m0 ~) E# z
特拿来分享给大家。

今天我们不提我们国产的那些杀软，真的垃圾的要死，

上次有位朋友叫我帮忙做上兴免杀过瑞星，说内存特征码定位在输入表

我简单的重建了输入表就把瑞星搞定了，

失去信心了。我曰5 }; n7 O% I N( s9 e" D

今天我们说的是免杀输入表，以下是我的经验，也有牛人传授的免杀方法。7 |7 C9 F5 G$ R* l) Z8 ]

首先，大家要知道一点，国产的都没有高启发式扫描，瑞星，金山等都没有。
" l+ B% f. Y, d6 t
外国的，如nod32，卡巴，小红伞都有启发式扫描，尤其以卡巴的高启发式和他的2009主动防御难过。( ?- A6 O( U, e Y2 m

高启发式扫描必然导致特殊的特征码，我建议新手朋友做卡巴等免杀的时候，先把启发式调到最低

过了以后再调到最高，再做免杀。4 [) p6 ?$ F1 I/ x% G: E

以上是废话，$ B" J4 U# M) V, ?& O( j

好了，下面我们来说下常见的免杀输入表方法。* x$ B! e( l" o2 W

一。移位法

这个已经过时了，我们的国产杀软及时的跟上了时代，. f% `, a) r1 P* ]& @2 d4 ~+ c+ o" v! S

移位法在去年过金山和瑞星，还有江民都是可以过的，+ `* m- z2 a; @

现在的杀软智能化了，移位么？呵呵，追杀你。

如果你想了解怎么个移位法，去百度搜吧，大堆的老教程等你看。& L6 [2 @4 Q& [2 {! V4 s- T& x

二，重建输入表
, n5 n$ t# s% h6 F6 w" s2 |
效果不错，这里说下，简单的重建输入表，还是可以过我们的国产杀软的，外国的就不行啦。哈哈) O" J+ D! X2 g# _/ w: f

这里我介绍下，

用到工具：
importrec1.6
od
c32asm
loaderpe
这里我们简单的介绍下，如何重建输入表
0 c* w# s. I0 h( B" R6 t) u
首先吧文件拖入od，打开inportrec1.6
: P* H+ P: ?9 b* r( @9 h" M0 R
如图选择拖入od的程序，/ ]; ~1 k% @1 Z7 P6 D! n! X

9 ~, z5 b8 u. q
: p* M2 d6 o0 d5 `( z% O+ e4 }
这个时候，我们打开loaderpe，

拖入我们的木马 ^7 C3 |( K* q5 c% c
2 @8 W+ t+ x+ y* b
选择目录，

我们看到导入表这里。。。- j' `# Z- y2 E4 N, s

如图：# B) D; `3 X% ]. I1 @6 b

  J: ?$ k# y6 g2 b' V5 c

RVA地址是0001D000  大小是0000154C+ v/ H5 }7 K1 Y! |- m) h5 m! m
2 n/ y0 q1 n' L! t0 H6 w0 F! }
好的，我们把这两个输入到import1.6里去
6 U: T' X# d/ {* S5 h2 [* [3 a0 c& z
就是在“加载树文件”那上面一点
2 S/ K9 [, F1 j( ~- Y- h
输入RVA的地址和大小。. F& P8 r( p0 P7 ^5 l0 U
) W( u$ L0 E4 {* z
点击“获得输入表”
$ z( F6 E# z8 J. R5 J+ i
然后点击“显示无效的”

接着importrec会自动列出

我们把深蓝色的字体  右键剪切无效的指针3 I% `: f" F7 s& P- q
2 y4 M3 X. ^2 J3 c( n
  ~& u4 O, o0 \% O$ i) {8 K/ V- H
最后，我们点“修理dump”
" v) o& D3 `  N: |  A6 {  _7 ~
选中我们的木马就可以了

最后我们要用到c32asm
0 n# Z9 I5 J% F3 E( M5 ?. L
我们会看到两个输入表，我们只要把原先的输入表全部填充为00就可以了。. Q2 ^, G" m4 Y0 w# U
' N9 n  k: p- q$ M# ]- A  C6 g
这样做，只能过国产的杀软，外国的如卡巴就免杀不了（如果他的特征码在输入表的话）
% R/ d: R9 a3 ^: z
这里，我教大家一个方法，也是重建输入表，可以过卡巴，不过加了个小步骤，+ w! f* C3 f, s% u( Q/ P) H
1 p7 V1 \$ I/ Q  q- T) P
我们把马子拖入od的以后，打开了importrec1.6/ G* \5 U5 o3 e$ Q3 S( E9 {& d( U8 C

在选项那里，选择根据序数建造输入表和创建新的IAT

如图

以后的步骤照上面的方法继续就可以了5 u* x  g, A6 L2 r1 S" b; e) C
  N5 `$ }2 ]* s2 {( G- d
不过此方法有个弊端就是，如果你在sp3下作的免杀  生成的服务端会在sp2的系统下运行不了

因为kernel32.dll的大小不一样。$ l' H$ v( d6 }; q# @& C+ q
# |6 _2 q- I! p3 ?  K1 a8 Z4 v
3.修改originalfirstthunk. w! E/ k8 y1 B1 I: C

如图所示/ o* C2 R+ A4 S# q( U; s

% \1 p' g# Q/ `, J
( ?$ S: V3 a: A4 h% E2 S
我们打开loaderpe，依次点目录--导入表（后面那个横线）
) c# Y: y- f2 Z* Z3 C
我们可以看到所有的dll，如图，我们假设杀软杀的是wininet.dll: d7 H; h8 H) B& C( n5 w3 [' G
, L& P' k/ A( W- V3 O( u: k
我们右键--编辑--把函数后两个00修改为FF& [1 m% a9 a6 k$ f

这样可以过小红伞查杀。虽然会出现错误提示

但是不影响木马的功能，不影响上线。; ^2 @5 B5 _! D

4.dll后面加20 90法过卡巴查杀
. {, f3 v$ J9 Y8 W$ U" A& Z
需要的只是一个c32asm而已，非常简单但却非常有效

如图0 B6 h9 S( l; s. d0 f

! C9 w, S9 z) }! x3 L1 p  y
我们可以看到，4 _8 c" j  h- Y+ x# R' @& q
  l5 i5 `# [9 Q2 l4 l+ s. \( N
在ntdll.dll后面有一个空格和一个问号对应的ascII码是20 90
, O' K9 |& o0 t" V
这里假设卡巴杀的是ntdll。dll下的函数ZwUnmapViewOfSection
0 K8 i% t2 ]* X; ^
我们只需要在他的所属dll后面加个20 90就可以了$ @5 U  v+ |  _- q
' r7 e* y" W: l; d
卡巴目前还不查杀此免杀方法) n8 C8 O$ ]" p8 i$ r) b/ e5 N

唧唧歪歪这么多，打字有点累了$ I( c+ h0 W6 P; u9 h* m' ^
5 b' [3 a& y$ e6 l1 v
以后有新的免杀的方法我会继续公布的。暂时先写这么多吧。" H, b8 s2 y" F) X0 W; v
% `& s* w4 A. N" c3 }
[ 本帖最后由 1335csy 于 2009-3-31 11:35 编辑 ]

返回列表

[原创文章] 木马免杀之免杀输入表篇

[收藏此主题] [关注此主题的新回复]

[通过 QQ、MSN 分享给朋友]