[原创文章] 木马免杀之免杀输入表篇

木马, 输入

最近和一位木马免杀牛人交流，感觉新增进不少，5 O! G6 M  }; @0 N" m- {

特拿来分享给大家。5 b: p  O) r- E9 N( C$ R9 f  Y

今天我们不提我们国产的那些杀软，真的垃圾的要死，
& H! A( ]. D2 w' B7 u
上次有位朋友叫我帮忙做上兴免杀过瑞星，说内存特征码定位在输入表
* u' G  Z3 ]  u' V% ?
我简单的重建了输入表就把瑞星搞定了，
6 m$ U. n$ n* B7 x! g8 z6 H
失去信心了。我曰7 @+ I, f$ y* I
0 Y# k8 V- R( A# K% Y. f
今天我们说的是免杀输入表，以下是我的经验，也有牛人传授的免杀方法。
0 X& b; x6 P1 n$ O+ a
首先，大家要知道一点，国产的都没有高启发式扫描，瑞星，金山等都没有。! F- `7 x0 h+ \. S& a- c

外国的，如nod32，卡巴，小红伞都有启发式扫描，尤其以卡巴的高启发式和他的2009主动防御难过。% \% o% h, M7 }

高启发式扫描必然导致特殊的特征码，我建议新手朋友做卡巴等免杀的时候，先把启发式调到最低
: t; x. w0 T( m) Z
过了以后再调到最高，再做免杀。# w+ u) h5 [! F1 G: F
9 i, ~; e9 u7 U& i
以上是废话，
# r" h" @/ D4 z7 H7 I! d* Y! M
好了，下面我们来说下常见的免杀输入表方法。

一。移位法

这个已经过时了，我们的国产杀软及时的跟上了时代，
5 k/ K2 l; L! g) L+ j
移位法在去年过金山和瑞星，还有江民都是可以过的，
) p; P7 o. a- W4 o4 a/ N- M5 t
现在的杀软智能化了，移位么？呵呵，追杀你。

如果你想了解怎么个移位法，去百度搜吧，大堆的老教程等你看。9 f4 @: K1 _/ m2 p8 q3 g
/ k! Z+ s2 U2 n6 L5 f
二，重建输入表4 a% T- \' J4 l+ Z  ?
3 n& V# h! ]# w( O1 S# g! x
效果不错，这里说下，简单的重建输入表，还是可以过我们的国产杀软的，外国的就不行啦。哈哈$ X: F, d7 ~% T
8 H- f7 _1 C+ c( ]: Q. D. V
这里我介绍下，
0 x, t  n$ U  c- g, n. b
用到工具：8 S7 T" p6 x8 K% F0 U
importrec1.6
od* m  x3 H1 B* l$ ~6 Y0 }- M
c32asm( N/ |+ @* I; V7 Y; z6 Q( H
loaderpe' t3 F! f0 }2 B& n& [
这里我们简单的介绍下，如何重建输入表

首先吧文件拖入od，打开inportrec1.6, i- s. ~' ], Y  K# V
/ v0 ], G6 a$ [( e& D6 O. x
如图选择拖入od的程序，$ \; I$ E& t) T5 ~* n

8 E( w5 z5 C4 @$ U
6 S6 ^$ C: C) ~  D7 c
这个时候，我们打开loaderpe，  A8 S5 P9 Y" z5 O
  \0 V2 f3 u) h  w
拖入我们的木马
; f$ m, k  w7 N' |+ F& O
选择目录，

我们看到导入表这里。。。" x1 q. b) r  M; e

如图：

9 F7 G6 f# e! {7 ^; e
/ d% P4 b: V5 {* x$ _0 |1 B
RVA地址是0001D000  大小是0000154C

好的，我们把这两个输入到import1.6里去' z$ {( v% J' n

就是在“加载树文件”那上面一点

输入RVA的地址和大小。
4 t7 ?2 d0 ^  M
点击“获得输入表”' L- q; v% o% F( W

然后点击“显示无效的”, A1 O0 O8 \% Z

接着importrec会自动列出. D7 C' t4 ^5 F# s
% J7 S5 F# ]! n' X7 J: Q% d; y7 P9 o8 J
我们把深蓝色的字体  右键剪切无效的指针3 R2 B! L/ V# O5 L" Y
2 x6 z5 Z. S! ~& G6 D/ g( i
. H( w% W$ H' w* X+ ?; R* @
最后，我们点“修理dump”2 V- k" h& r4 D1 }
9 j& i! m. D2 f, l8 \
选中我们的木马就可以了

最后我们要用到c32asm8 @( U  L% ^  R1 g' X. W; {0 M
4 ]! w3 M. f$ E( c: y' u! D# H) y
我们会看到两个输入表，我们只要把原先的输入表全部填充为00就可以了。
( F, ^/ V. Q. u' c" q% H5 E
这样做，只能过国产的杀软，外国的如卡巴就免杀不了（如果他的特征码在输入表的话）7 o8 i- s% P, U) c9 i

这里，我教大家一个方法，也是重建输入表，可以过卡巴，不过加了个小步骤，& S% u) g# r2 ^1 T0 A

我们把马子拖入od的以后，打开了importrec1.6

在选项那里，选择根据序数建造输入表和创建新的IAT( [6 n/ {3 W1 G

如图: P7 t9 p" B3 u- r* ^6 s4 ]

7 l) N1 t8 {; n7 M
以后的步骤照上面的方法继续就可以了

不过此方法有个弊端就是，如果你在sp3下作的免杀生成的服务端会在sp2的系统下运行不了+ ]* D3 k& M! i* f* {9 v) I

因为kernel32.dll的大小不一样。/ O2 i- {9 X5 y6 v' k9 K' p

3.修改originalfirstthunk

如图所示( [ k1 d4 ~# }( [- N* f

$ Z/ u/ g% }3 i' V: y: s
1 s7 p; W' |0 Y6 ]; A: J
我们打开loaderpe，依次点  目录--导入表（后面那个横线）" e* z9 C+ ?% k5 F& r2 @

我们可以看到所有的dll，如图，我们假设杀软杀的是wininet.dll

我们右键--编辑--把函数后两个00修改为FF

这样可以过小红伞查杀。  虽然会出现错误提示
& _" @( \8 f+ g( u
但是不影响木马的功能，不影响上线。
0 g( L4 j3 T$ E2 Q, S- C+ ~1 f
4.dll后面加20 90法过卡巴查杀! D; w; }5 b! _, x5 N2 n+ ~. G

需要的只是一个c32asm而已，非常简单但却非常有效
( @: Z- W3 E5 T$ p
如图
2 ?' P2 Q- o3 g2 h/ w8 i  S

3 c+ I" V. a6 m% o/ j$ x

我们可以看到，0 Y6 B% d$ f! h9 \! w: c
% \/ W" G( l! m! Y( X) g
在ntdll.dll后面有一个空格和一个问号对应的ascII码是20 90
2 d; J/ z: |/ {- m3 n9 P2 `
这里假设卡巴杀的是ntdll。dll下的函数ZwUnmapViewOfSection
$ c) R1 Q6 f6 x* b1 H, Q, T
我们只需要在他的所属dll后面加个20 90就可以了8 k4 J' C" C2 ]% V( Y; f) \
3 [+ P2 |% ]" U" C5 o" b" b
卡巴目前还不查杀此免杀方法
" U9 W9 }. q2 I m- G: H8 t$ Z# a
* v- I( j4 h& L: s5 }
唧唧歪歪这么多，打字有点累了
$ C; U3 J9 M( p$ M3 u# h6 d+ |. p
以后有新的免杀的方法我会继续公布的。暂时先写这么多吧。, e1 f/ q1 m5 K- R6 ]3 q3 S
% U# Y9 b! n! Y2 x8 w' O" W' q
[ 本帖最后由 1335csy 于 2009-3-31 11:35 编辑 ]

返回列表

[原创文章] 木马免杀之免杀输入表篇

[收藏此主题] [关注此主题的新回复]

[通过 QQ、MSN 分享给朋友]