[原创文章] 木马免杀之免杀输入表篇

木马, 输入

最近和一位木马免杀牛人交流，感觉新增进不少，  ?: F3 T: p0 Y8 e: r
: z! K. E! k6 Q8 G! d) u# s
特拿来分享给大家。
6 ]& v9 f0 |; I2 }; J  P9 n
今天我们不提我们国产的那些杀软，真的垃圾的要死，0 b, G  V9 Z. O( i
2 }- V8 H% l! f( s  D$ N( G3 v. L' C
上次有位朋友叫我帮忙做上兴免杀过瑞星，说内存特征码定位在输入表. C8 A5 h) Z9 A) z/ u; X

我简单的重建了输入表就把瑞星搞定了，

失去信心了。我曰% V+ L) o1 ^: A# M0 _6 K9 Q( @- w
% O" C! t# F4 }4 \: i0 ~
今天我们说的是免杀输入表，以下是我的经验，也有牛人传授的免杀方法。2 [. B* Z8 A$ L3 v% I
: j7 h0 S8 F5 N, P6 ~! n, S
首先，大家要知道一点，国产的都没有高启发式扫描，瑞星，金山等都没有。) A7 C: l5 S) U

外国的，如nod32，卡巴，小红伞都有启发式扫描，尤其以卡巴的高启发式和他的2009主动防御难过。

高启发式扫描必然导致特殊的特征码，我建议新手朋友做卡巴等免杀的时候，先把启发式调到最低

过了以后再调到最高，再做免杀。

以上是废话，, T' P! h  Z2 p5 s" X

好了，下面我们来说下常见的免杀输入表方法。' T  Y5 [( |+ ?) `& d  i
. l/ c; T! ?! h! p8 H- U2 Q6 d
一。移位法
1 `0 b: s( g/ S4 [! t
这个已经过时了，我们的国产杀软及时的跟上了时代，) P7 O" q8 w; ?( P  b2 |

移位法在去年过金山和瑞星，还有江民都是可以过的，
+ z( i# F/ r3 m7 e* Z
现在的杀软智能化了，移位么？呵呵，追杀你。  \6 }- ?7 H; g% m2 V5 [3 }, b

如果你想了解怎么个移位法，去百度搜吧，大堆的老教程等你看。) E3 C2 {* @4 l% S: K" n5 P: ?
( J& P) M& F8 r; R- h) N" \+ E
二，重建输入表8 o( r: ~; W  l& o3 X; K1 `
% j! f$ i# ^7 G) \* p  P
效果不错，这里说下，简单的重建输入表，还是可以过我们的国产杀软的，外国的就不行啦。哈哈/ A' F- ~/ q/ l5 ?+ j

这里我介绍下，

用到工具：
importrec1.6
od* L1 V3 S% A; e
c32asm. p2 K9 R, ^% T  h" Y/ a1 N5 ?
loaderpe
这里我们简单的介绍下，如何重建输入表

首先吧文件拖入od，打开inportrec1.6# q' g( M6 t6 ?4 Q: I( p0 \

如图选择拖入od的程序，# S+ R7 I1 }  G( X, v# o$ w  C( g

这个时候，我们打开loaderpe，5 `; X0 [' M2 ~$ F& y
u8 G6 N2 S/ P: L, o* \" X! j) \
拖入我们的木马

选择目录，$ r# G; U8 o; K

我们看到导入表这里。。。
8 Q% [5 U8 Q1 A, \
如图：( v+ v! {8 b$ y3 x% C

1 e8 j" c: F6 g
RVA地址是0001D000  大小是0000154C/ I, {/ v, N, U
9 g" Q! s# d# l. P8 g1 q
好的，我们把这两个输入到import1.6里去: S$ V% P: V9 p' c. E+ i

就是在“加载树文件”那上面一点
0 u' I+ i9 S9 Y0 |. w  j
输入RVA的地址和大小。
& }& _% Z- Q" C/ ~
点击“获得输入表”- O& w0 j' Z" x' f9 U

然后点击“显示无效的”3 t7 r" t# R, C; c4 |7 r% L
# x4 G& v0 ?; \( I8 P
接着importrec会自动列出

我们把深蓝色的字体  右键剪切无效的指针: a+ `1 }9 w4 g9 G( _# o- s3 o

( c+ E4 K7 K$ ^- |1 }
最后，我们点“修理dump”7 N, N! C2 E, ?; g

选中我们的木马就可以了

最后我们要用到c32asm5 S* z) H  [4 }) t: r) o" S
1 b' U) y5 Q% y: [
我们会看到两个输入表，我们只要把原先的输入表全部填充为00就可以了。& }0 \5 b( A" S' U' `! u

这样做，只能过国产的杀软，外国的如卡巴就免杀不了（如果他的特征码在输入表的话）  g5 T+ L0 d9 F+ t

这里，我教大家一个方法，也是重建输入表，可以过卡巴，不过加了个小步骤，

我们把马子拖入od的以后，打开了importrec1.6
# m# a: \" U: @) P+ x
在选项那里，选择根据序数建造输入表和创建新的IAT
' v( {$ ~5 r6 W* Q' W
如图; F2 T+ Y9 z' Q0 y

5 a  d" E% _7 ~* a+ C  b
以后的步骤照上面的方法继续就可以了! o% t/ F) |' Y" a  Q) F5 t4 C  \
' S8 F" W) ]. D" V( s
不过此方法有个弊端就是，如果你在sp3下作的免杀  生成的服务端会在sp2的系统下运行不了; i& l, W! m" a* X8 M8 f* U3 D

因为kernel32.dll的大小不一样。
! i0 E! W: @/ x
3.修改originalfirstthunk

如图所示

; i8 [% X! N+ z1 o$ _7 G( W

我们打开loaderpe，依次点  目录--导入表（后面那个横线）

我们可以看到所有的dll，如图，我们假设杀软杀的是wininet.dll( Y- T, D* p& s1 U8 Y, A- j
5 c$ R9 M" ^7 ^+ Y2 R) ~
我们右键--编辑--把函数后两个00修改为FF0 |& F4 C# ]7 X6 o
* C! k- t& k$ g3 f. e
这样可以过小红伞查杀。  虽然会出现错误提示
7 l$ @+ q! ]; _* O
但是不影响木马的功能，不影响上线。7 r( X# ~) Y: Q  `9 }' z

4.dll后面加20 90法过卡巴查杀
. @5 n& y9 r& Z! T& ?
需要的只是一个c32asm而已，非常简单但却非常有效
3 a8 {. {* T/ x3 _
如图; y! x) W6 m; d: s; w: k
7 F& {. `) r, L2 d% X

我们可以看到，+ Y; _' @* ]- v* L1 F4 T
' X- |- @: M: R
在ntdll.dll后面有一个空格和一个问号对应的ascII码是20 90; Z) c" \4 R7 o* G

这里假设卡巴杀的是ntdll。dll下的函数ZwUnmapViewOfSection h$ ~8 t. U8 S; Q8 w% ?

我们只需要在他的所属dll后面加个20 90就可以了
' s# F$ R% V# g# h$ U
卡巴目前还不查杀此免杀方法8 @% l% ^7 C9 `; j' |
3 l; Z0 ]6 y/ S$ h! F. z2 y

唧唧歪歪这么多，打字有点累了

以后有新的免杀的方法我会继续公布的。暂时先写这么多吧。3 j* z6 Z) m1 ~2 }" N

[ 本帖最后由 1335csy 于 2009-3-31 11:35 编辑 ]

返回列表

[原创文章] 木马免杀之免杀输入表篇

[收藏此主题] [关注此主题的新回复]

[通过 QQ、MSN 分享给朋友]