|
 
- 帖子
- 143
- 积分
- 419
- 威望
- 415
- 金钱
- 446
- 在线时间
- 65 小时
     
|
原创作者：1335csy [3.A.S.T]
( k6 N8 @6 R+ y% y; z" l- O& `! \8 r' P: R3 R
信息来源：3.A.S.T网络安全团队 （ www.3ast.com.cn ）3 g7 ^, z6 c. f
0 w9 k7 [$ s) T# g( N来了3AST很久了 也没有写上什么有点价值的帖子，今天这个帖子算是抛砖引玉吧。。& t, C6 a. f: r) J' L$ F
) ]' H% K* w/ ^1 D. k, n
免杀也弄了有点时间了。。现在分享下我的经验。
1 U, R7 L( Q8 C u0 t, D& Y% U+ _
7 T6 v0 v) b' ?5 m+ z1 y* c5 R4 f首先建议新手朋友要学会定位表面特征码和内存特征码（定位方法有细微差别）9 N5 a1 @ _. C3 [4 o
- W7 t) K- S* d
修改特征码还是要学习的。毕竟现在依靠特征码查杀仍是杀软的主要途径之一。
* n8 B' r! j. l f* C& [0 j& N) ]8 ?4 {1 Y3 F! v. q! g" y1 s9 r
第二个是要学会写自己的花指令，不要以为免杀怎么难，多么难，只要你会一点基本的汇编，5 ^: P% F6 B) }7 X) t. M
0 y. `( \+ Y# B- D) B+ B. _% r1 R再多翻几下8088汇编速查手册。我相信基本的木马免杀是难不倒你的。………^_^。
) T' {- q" U1 h
& m% }/ M- X) l' U! n7 H4 `很多新手朋友曾经都这么问，什么是花指令？所谓花指令，就是一些，没有用的指令，0 e4 l0 D$ a1 L& ^2 ^
1 ]( C% Z( ~+ e- f5 ]6 W( d. R
其作用是干扰杀软的查杀，写花指令最重要的是维持堆栈的平衡，很简单。4 ^% e& @; `( `- n. \; Z
: f( w3 @6 S& c
顺便说下，花指令对卡巴有特效，但是并不意味着，一个花指令就可以把卡巴斯基搞定。: c f0 A$ P. z& b& z. x, k
: |+ _4 }! D. H
对付卡巴斯基， 需要多种方法结合， 壳上加花和修改文件入口点以及去头加花一般免杀效果是非常好的。
! G2 H/ z+ p7 K
- F! ?7 z3 k0 J6 N6 H对于瑞星么。我个人还是建议修改特征码。尤其是内存特征码的时候，修改特征码对付他效果好，
, `2 A/ j" @; a2 U% N8 w
! H/ l8 o& D2 U; G% k# N) N对了，花指令对瑞星不是很管用。
; }( o2 ~7 F9 c! s u# I; j: P* D( a) {" X& g0 T* J
% N6 m3 X6 C6 T1 i. {, x( D做过NOD32免杀的朋友都知道，NOD32的特征码经常定位在输入表上。8 f$ W2 U8 w% |' b6 s4 M- a! c
4 @, A0 J: y( j! y4 j! t! u* k* R+ S, Y5 S
我们怎么看一个杀软定位特征码是在输入表上呢？很简单 你把定位出来的特征码放在C32ASM里面看。
0 d# m }1 e$ f
" M4 \3 h- d1 a6 g) ~! y' O+ S对应的ANSI字符是在一些什么DLL后面 或者一大连串的字母后面 这样的多半是输入表了。9 h i$ }- i6 E
6 w. L- Z! M" Z输入表的免杀是非常重要的一课。
5 m1 ]- u# g# q9 I; ~ [
% B6 Z5 Z' v1 U* j8 S常见方法 有移位法。上下互换法。以及重建输入表法。. n8 s6 b7 S1 i) d: \
7 G9 f# R5 e2 V! Z' ^移位法就是 把我们的特征码那一DLL往前移动一位或者往后移动一位。再用LOADPE来修改输入表。
6 N# p/ w' ]# ~( V1 ^. i+ _4 l, z1 H6 S. q
上下互换法则是再找一个和我们特征码那一个同样字节的字符串 互换一下。 但不是通常都有用。
/ i* M, [. v" o! }/ z( E. ]* F* v6 D: I/ y; W
重建输入表则是免杀输入表效果最好的了。 一般的木马都只有一个输入表。5 W) Z/ r( L' j. z, G
0 ~ _$ d3 e& y! | s0 _5 Q1 g2 q2 ]
我们利用ImportREC来帮我们的木马重建一个新的输入表 把旧的输入表删除。。
2 Q; @! @0 Y6 j u% }( F2 O7 e( f2 m5 o, J3 g1 a. @; V
这样免杀的效果不错。。。8 p1 w7 x5 N- R
4 E* k; ]) K# D& ~" ^8 r9 R3 t$ }) \
关于免杀也就这些了，这也是个老生常谈的话题了。说来说去无非也就那几个方法。
& K' ]& d: u: ]/ S2 b5 L2 }
* i9 o& i9 x3 e- p& J* Q什么入口点加1啊，区段加花啊 。。修改区段名字啊 。。。
8 N( k4 a0 C2 R, D1 U- ]( u* X5 i& U% |. u" M, ~
大家多多了解下， 免杀不是很难的事。。( {6 k- S* c" Q/ _- W2 k# x: q& a) n$ H
$ T8 }$ s z2 V. d此文仅写给新手朋友一看。。老鸟飘过。。 |
-
1
评分人数
-
|
发表于 2009-2-16 20:17
| 
发表于 2009-2-16 22:44
| 
