|
 
- 帖子
- 143
- 积分
- 419
- 威望
- 415
- 金钱
- 446
- 在线时间
- 65 小时
     
|
原创作者：1335csy [3.A.S.T]
5 P% _) r$ i, S$ w5 t
& O/ t- o& U. L3 i8 W信息来源：3.A.S.T网络安全团队 （ www.3ast.com.cn ）8 X% j3 s S* W* r
- k+ U+ g; t( E0 B% U
来了3AST很久了 也没有写上什么有点价值的帖子，今天这个帖子算是抛砖引玉吧。。
/ Q: H! x# v/ r, V( `$ D8 [8 P- E7 Z! Q( U
免杀也弄了有点时间了。。现在分享下我的经验。
* J; g5 z+ c' b% `3 \6 O* z3 R! ^/ U$ a' o: t' a
首先建议新手朋友要学会定位表面特征码和内存特征码（定位方法有细微差别）* V0 E+ J* n: k Q3 A* P' y) M
7 \' h# F% [# w
修改特征码还是要学习的。毕竟现在依靠特征码查杀仍是杀软的主要途径之一。& C/ B" O& j1 A+ ~4 w8 q/ R
X% F% q$ V" E第二个是要学会写自己的花指令，不要以为免杀怎么难，多么难，只要你会一点基本的汇编，
5 H# V( t7 u: D5 O3 j; {% L# G5 [% c1 N' p6 E$ S; u
再多翻几下8088汇编速查手册。我相信基本的木马免杀是难不倒你的。………^_^。' b! B4 e! l: o( u% A& v0 \
, [- K4 m& X; e! v: H# {3 v很多新手朋友曾经都这么问，什么是花指令？所谓花指令，就是一些，没有用的指令，1 V; O" p4 g9 e8 S) ^. P3 s# S/ i
. Q k( J- o1 H# ?/ [
其作用是干扰杀软的查杀，写花指令最重要的是维持堆栈的平衡，很简单。
s: z5 a) W2 F+ N# z& B7 c
" }/ D8 c% l- W& M! K. }: Y% d8 p* N顺便说下，花指令对卡巴有特效，但是并不意味着，一个花指令就可以把卡巴斯基搞定。
+ ]" n3 j, V$ }1 W% u2 ~% | a# S2 r# z2 ^& T2 |
对付卡巴斯基， 需要多种方法结合， 壳上加花和修改文件入口点以及去头加花一般免杀效果是非常好的。
: p" o1 m3 `8 h9 q3 C" X6 B: f! O% @
对于瑞星么。我个人还是建议修改特征码。尤其是内存特征码的时候，修改特征码对付他效果好，
: E7 ~# ~" e& M% ]
: Z) a/ N, }' ]0 U* e7 D5 h P! U k对了，花指令对瑞星不是很管用。- J* D8 y" q) a. X
+ w8 ~9 ~) B2 T3 r
7 s( n6 q& ^/ ]/ X/ u做过NOD32免杀的朋友都知道，NOD32的特征码经常定位在输入表上。6 n& a" P; ^, h: w* A4 `
& A9 L5 F$ X( J1 J w7 h. h4 r8 ?
我们怎么看一个杀软定位特征码是在输入表上呢？很简单 你把定位出来的特征码放在C32ASM里面看。) x6 ^2 P- y) @- D5 V" n& E
4 `+ c( J/ l+ d3 r0 u
对应的ANSI字符是在一些什么DLL后面 或者一大连串的字母后面 这样的多半是输入表了。
8 `0 ~* }' x' }0 r. @, {1 X
0 S) y" z+ u8 G. ?7 q3 Q输入表的免杀是非常重要的一课。
0 b& W$ } q: k! D0 d8 [2 C& R% n! m
常见方法 有移位法。上下互换法。以及重建输入表法。
# d5 y- j' u* s0 Z- m* I3 u
7 X# c; l1 P4 t: f移位法就是 把我们的特征码那一DLL往前移动一位或者往后移动一位。再用LOADPE来修改输入表。 \' s% U, |- |& B. F2 t8 f# w
+ A- D) y& ?+ ]1 T) }, W上下互换法则是再找一个和我们特征码那一个同样字节的字符串 互换一下。 但不是通常都有用。
2 ~4 \' G# z1 s o0 D+ r3 I. T* i; R4 F( O% d, v! G4 I
重建输入表则是免杀输入表效果最好的了。 一般的木马都只有一个输入表。
" D5 R2 }3 [( B. {
; l `7 l# v: u% q( x, |我们利用ImportREC来帮我们的木马重建一个新的输入表 把旧的输入表删除。。
. C" i7 U( H/ W+ }( H* _$ |5 O4 K0 d! Z: `
这样免杀的效果不错。。。
9 ]- v0 K" {: M1 n; f" C) r9 j& f* @$ ~) X, P1 l$ P% z
关于免杀也就这些了，这也是个老生常谈的话题了。说来说去无非也就那几个方法。
! ^6 W, k$ d2 ^* a# ~# ~9 A9 W) [ k3 a* e
什么入口点加1啊，区段加花啊 。。修改区段名字啊 。。。( R. ?1 A: `# l% C
" ]) z: b# ^7 r大家多多了解下， 免杀不是很难的事。。, X9 c. H( @. J8 r8 k/ t+ F- ?
* p) w# O, u F3 D8 O此文仅写给新手朋友一看。。老鸟飘过。。 |
-
1
评分人数
-
|
发表于 2009-2-16 20:17
| 
发表于 2009-2-16 22:44
| 
