|
 
- 帖子
- 143
- 积分
- 419
- 威望
- 415
- 金钱
- 446
- 在线时间
- 65 小时
     
|
原创作者：1335csy [3.A.S.T]
" O$ s8 k2 s. O3 ?
) J! @5 R, r, h! S! P信息来源：3.A.S.T网络安全团队 （ www.3ast.com.cn ）) {+ W6 n, s9 \! R! B5 @
) K" c$ D: G* }$ z
来了3AST很久了 也没有写上什么有点价值的帖子，今天这个帖子算是抛砖引玉吧。。
+ D6 u1 S" u J/ w+ f& K# Y0 j6 N l: m7 J0 U
免杀也弄了有点时间了。。现在分享下我的经验。" E7 u7 T/ \$ S
# V! p; U! a! }
首先建议新手朋友要学会定位表面特征码和内存特征码（定位方法有细微差别）4 h0 F$ t) x) b
0 J, g$ ?8 O+ T, y+ m) I& I修改特征码还是要学习的。毕竟现在依靠特征码查杀仍是杀软的主要途径之一。
8 k. `8 f, E1 }1 M' ]7 ]! [6 l) o; x% G6 }3 }2 J
第二个是要学会写自己的花指令，不要以为免杀怎么难，多么难，只要你会一点基本的汇编，
4 u, O8 |" ?! n0 s) k4 K% @2 R5 c" I( u# b4 g# e9 _) W
再多翻几下8088汇编速查手册。我相信基本的木马免杀是难不倒你的。………^_^。9 v4 ]5 }$ a+ n/ _, U; \/ c7 n# q
. a+ _; a; }4 I( ~很多新手朋友曾经都这么问，什么是花指令？所谓花指令，就是一些，没有用的指令，$ z2 V+ A+ k* X! n( s" l
! h/ B/ d' W6 X' s其作用是干扰杀软的查杀，写花指令最重要的是维持堆栈的平衡，很简单。
. a1 \" j$ @% n; [: [
: q0 }# U$ G4 v) X- o顺便说下，花指令对卡巴有特效，但是并不意味着，一个花指令就可以把卡巴斯基搞定。6 L3 I) g! H# a3 [. q7 I$ K
5 S7 V, f% g5 s9 u- I对付卡巴斯基， 需要多种方法结合， 壳上加花和修改文件入口点以及去头加花一般免杀效果是非常好的。
& C( Y9 @; c# E- ^4 |& Y: U) _0 |& F+ ^2 E. e
对于瑞星么。我个人还是建议修改特征码。尤其是内存特征码的时候，修改特征码对付他效果好，
m+ y7 b" W! m4 G
3 u% k* G0 Y8 f对了，花指令对瑞星不是很管用。
2 \6 U* D; J# [9 J1 C& @$ D8 H' [+ K, z7 ]
2 k& R. l; A6 Y* }# n# }3 h/ q做过NOD32免杀的朋友都知道，NOD32的特征码经常定位在输入表上。 C4 i/ D7 r+ A3 l9 z$ w+ p
0 y! O5 ?: K5 [我们怎么看一个杀软定位特征码是在输入表上呢？很简单 你把定位出来的特征码放在C32ASM里面看。
/ u2 B" W6 f6 }8 D1 M0 i3 t. v
( y) Z3 `. @) _对应的ANSI字符是在一些什么DLL后面 或者一大连串的字母后面 这样的多半是输入表了。
3 \# Y& [5 |! V l/ T7 v' \/ C% |) {
- X$ M9 m: F! B. J$ D+ N* V输入表的免杀是非常重要的一课。
r, M' H4 ?, | U4 C3 v: [3 O' F/ V; ]; R, d* L1 g7 P
常见方法 有移位法。上下互换法。以及重建输入表法。1 }7 n5 T# @5 C: W5 a$ g
5 E. ]6 u) ?" ^ w) I$ |% \
移位法就是 把我们的特征码那一DLL往前移动一位或者往后移动一位。再用LOADPE来修改输入表。
- R. g. p6 _# t* r; |/ h; [
6 `0 F* i* C4 h5 K. s! P上下互换法则是再找一个和我们特征码那一个同样字节的字符串 互换一下。 但不是通常都有用。9 X: R H J: ^% A# r( }
0 g9 c) O/ k4 X
重建输入表则是免杀输入表效果最好的了。 一般的木马都只有一个输入表。( L& Z' r9 q: N% z
4 j9 f7 g% x% m2 C# Q7 A- t我们利用ImportREC来帮我们的木马重建一个新的输入表 把旧的输入表删除。。
4 U( N9 Y, e1 ?! f0 a
) }# @4 w9 p2 X) i, D+ L这样免杀的效果不错。。。# r8 ?7 W& F7 i! h
0 }$ |! w( {6 G关于免杀也就这些了，这也是个老生常谈的话题了。说来说去无非也就那几个方法。+ y; L* @- u" \+ b. ]" F
% W7 u! B4 i* s* J
什么入口点加1啊，区段加花啊 。。修改区段名字啊 。。。# B$ A2 M# a( s& {+ B8 [+ T9 Z% ~
% N# J& t- o% s- T大家多多了解下， 免杀不是很难的事。。
2 K7 W' E6 O/ T& V* z" n1 R0 ~* v; e- S p9 ^% M( F# f
此文仅写给新手朋友一看。。老鸟飘过。。 |
-
1
评分人数
-
|
发表于 2009-2-16 20:17
| 
发表于 2009-2-16 22:44
| 
