[原创文章] 木马免杀之免杀输入表篇

木马, 输入

最近和一位木马免杀牛人交流，感觉新增进不少，
  q8 F! p& R0 _0 O- k3 l+ @) b
特拿来分享给大家。

今天我们不提我们国产的那些杀软，真的垃圾的要死，

上次有位朋友叫我帮忙做上兴免杀过瑞星，说内存特征码定位在输入表$ d! Z8 u+ x8 R$ @
* [, k# W& X' w, j, z  ]# `
我简单的重建了输入表就把瑞星搞定了，  z2 `7 d6 }0 h
$ i* g+ ~" _0 \4 H
失去信心了。我曰* _5 g9 k; i$ X

今天我们说的是免杀输入表，以下是我的经验，也有牛人传授的免杀方法。; B: L* ?+ a3 R; R- d* _( z; l4 o
8 z% ?* h. D8 o: g
首先，大家要知道一点，国产的都没有高启发式扫描，瑞星，金山等都没有。
$ d3 q/ S& v7 `' K4 R
外国的，如nod32，卡巴，小红伞都有启发式扫描，尤其以卡巴的高启发式和他的2009主动防御难过。/ h1 _) R( f+ o% M- |
/ U  k1 c6 a) q
高启发式扫描必然导致特殊的特征码，我建议新手朋友做卡巴等免杀的时候，先把启发式调到最低

过了以后再调到最高，再做免杀。  j( p1 d$ R+ |" e
$ s: S/ m" y- i9 g% J
以上是废话，

好了，下面我们来说下常见的免杀输入表方法。7 d9 b$ z- r+ t5 I+ O  q! l; Y

一。移位法0 p) O0 k' ?6 S0 E2 B

这个已经过时了，我们的国产杀软及时的跟上了时代，
" p* e/ o* S6 X+ l$ d& M
移位法在去年过金山和瑞星，还有江民都是可以过的，
5 Q: S" f2 J, f6 G, T, n
现在的杀软智能化了，移位么？呵呵，追杀你。' S6 _: i; s) o6 E% T) {

如果你想了解怎么个移位法，去百度搜吧，大堆的老教程等你看。

二，重建输入表8 E5 k) h8 q. `) D3 ]
/ X  w: ^5 J- @2 K7 _1 p! ?
效果不错，这里说下，简单的重建输入表，还是可以过我们的国产杀软的，外国的就不行啦。哈哈
: l( Z" g# x+ H/ q5 v
这里我介绍下，

用到工具：; _0 l. ]& ^* R! P1 I; a
importrec1.67 S4 o& L. A! K( T
od: O) V; }! `- e6 z
c32asm
loaderpe7 U" K1 k. s% F( a4 B. f
这里我们简单的介绍下，如何重建输入表

首先吧文件拖入od，打开inportrec1.66 U" J* T9 u8 S3 |) i% J
1 y" X5 q6 T8 z" s
如图选择拖入od的程序，5 e4 Q6 H: P) k) j6 K/ ^0 z7 N

$ M5 W, g) n, K p, F9 I5 ^& ^6 W

这个时候，我们打开loaderpe，

拖入我们的木马
4 J6 N2 N0 O+ B3 G8 c8 J x+ s
选择目录，/ |% S0 ]# i- Z0 r5 B# ]1 f
5 g6 F1 W* D6 y. H' }( j) C- Q
我们看到导入表这里。。。, u3 \4 B0 d' G8 G; g

如图：7 U$ O2 V+ _' Z# S5 V% h2 K$ V

$ o7 y7 k: A( B7 K  A; X* Z

RVA地址是0001D000  大小是0000154C
( T' y3 D4 y( w. c
好的，我们把这两个输入到import1.6里去
' f; n4 m; \5 b# G( ~
就是在“加载树文件”那上面一点

输入RVA的地址和大小。

点击“获得输入表”
1 c4 r* ~  ?! ^
然后点击“显示无效的”5 H% |" T" a& c3 {. L$ c

接着importrec会自动列出9 ~: _, V' |; n
0 ]& V* `+ v: u9 b
我们把深蓝色的字体  右键剪切无效的指针

2 V, |# d4 |& V8 T
最后，我们点“修理dump”

选中我们的木马就可以了
: M. `- h6 k/ t% b' [" B+ q6 D  U' h
最后我们要用到c32asm

我们会看到两个输入表，我们只要把原先的输入表全部填充为00就可以了。0 G' h& I7 e; Q, U/ O+ y% G+ y

这样做，只能过国产的杀软，外国的如卡巴就免杀不了（如果他的特征码在输入表的话）, P5 P" M% R5 [$ L- S$ H/ Z

这里，我教大家一个方法，也是重建输入表，可以过卡巴，不过加了个小步骤，- G4 G) k" y/ i+ G

我们把马子拖入od的以后，打开了importrec1.6: R' j( k: N; V: L- w, _. C. b& \
* s: c# \2 l- D$ p
在选项那里，选择根据序数建造输入表和创建新的IAT
+ e( t" e9 p% E0 N$ k" Q, ^0 |9 t1 H; `
如图

6 |1 d7 s& o. z
以后的步骤照上面的方法继续就可以了6 C* P" B' D& a* z  X2 o
& _6 n% A5 m. y9 [& x8 a9 d" p
不过此方法有个弊端就是，如果你在sp3下作的免杀  生成的服务端会在sp2的系统下运行不了( H3 y% q& w# `) R

因为kernel32.dll的大小不一样。

3.修改originalfirstthunk4 \% u# o. R  X. ~+ p7 A

如图所示* i4 i& ]+ @. [" x. q4 D0 h: V

我们打开loaderpe，依次点  目录--导入表（后面那个横线）5 R& n$ E4 c/ D

我们可以看到所有的dll，如图，我们假设杀软杀的是wininet.dll/ F# x, F8 D) }/ o% W

我们右键--编辑--把函数后两个00修改为FF# z' N, z( K9 y: D. N! a: ?, I
+ \5 {$ L' A5 V  V9 s9 r+ q
这样可以过小红伞查杀。  虽然会出现错误提示7 B, ]" G4 H4 n1 |- y
. G% v  s: I1 C$ Z- d
但是不影响木马的功能，不影响上线。( V7 p0 r. c1 }5 X8 H

4.dll后面加20 90法过卡巴查杀

需要的只是一个c32asm而已，非常简单但却非常有效0 F8 I: y% J7 H$ ^
) ?& W% B2 K' P' v. z9 ]* a9 L5 M
如图1 x/ J1 r2 Y3 w+ o$ p# X/ K, ?

- D9 R, Z& J" L, L2 g, C% L

我们可以看到，
# ]2 ]* S, j3 T% [' y, `- [/ }) H
在ntdll.dll后面有一个空格和一个问号对应的ascII码是20 905 `; e, I) y" {2 A; ^- o3 m& |

这里假设卡巴杀的是ntdll。dll下的函数ZwUnmapViewOfSection# H! a0 g; z" y- ]+ R" K: S! L
- E% J# @/ u; E: q5 R+ A, `9 u
我们只需要在他的所属dll后面加个20 90就可以了

卡巴目前还不查杀此免杀方法9 w @% x5 r& p m' v1 P
: |9 h& Y, @- ^! H2 [% ^7 u

唧唧歪歪这么多，打字有点累了
. K6 ~9 g8 S/ O( U; H% O1 u
以后有新的免杀的方法我会继续公布的。暂时先写这么多吧。2 V, T0 E8 S/ w2 m( A% s2 T" Y0 p
1 c+ N* m& b. ]4 t- K, Z
[ 本帖最后由 1335csy 于 2009-3-31 11:35 编辑 ]

返回列表

[原创文章] 木马免杀之免杀输入表篇

[收藏此主题] [关注此主题的新回复]

[通过 QQ、MSN 分享给朋友]