|
 
- 帖子
- 143
- 积分
- 419
- 威望
- 415
- 金钱
- 446
- 在线时间
- 65 小时
     
|
原创作者：1335csy [3.A.S.T]' l$ X9 g! f7 F# [. Q
6 P6 Q+ |; D7 G& [5 V- Q$ G信息来源：3.A.S.T网络安全团队 （ www.3ast.com.cn ）
- I) W- I# l5 M2 l. o$ k, P! j+ q
来了3AST很久了 也没有写上什么有点价值的帖子，今天这个帖子算是抛砖引玉吧。。
1 T, H @- T6 d, d8 v4 ^. ]4 s
5 f* @4 a9 A% z8 B4 {9 L免杀也弄了有点时间了。。现在分享下我的经验。
" A/ V; o* n% F; d8 z" k2 s: J j s3 L7 X. G
首先建议新手朋友要学会定位表面特征码和内存特征码（定位方法有细微差别）
% G5 f+ P+ p0 }$ M% u3 X- x
: K: f6 ^' b& X修改特征码还是要学习的。毕竟现在依靠特征码查杀仍是杀软的主要途径之一。
8 a) S+ y, v- y7 R: B* V9 o; r3 I: R: K" ^! E
第二个是要学会写自己的花指令，不要以为免杀怎么难，多么难，只要你会一点基本的汇编，+ C, N$ S: p/ G; l* F
X4 ^9 B4 k* n' |: l' t3 Z _0 U再多翻几下8088汇编速查手册。我相信基本的木马免杀是难不倒你的。………^_^。
5 U& A' E6 C/ E8 x
; S1 q0 `! x8 n& ] ~4 [- P* d很多新手朋友曾经都这么问，什么是花指令？所谓花指令，就是一些，没有用的指令，! o8 |" s! X9 ?1 L8 _! ~8 s
8 ]" L4 x! X! i* u. Q; X" \
其作用是干扰杀软的查杀，写花指令最重要的是维持堆栈的平衡，很简单。
& ^6 [1 v/ Q0 v1 d2 L( \ |& m# q6 h1 Z' g- n! I1 s
顺便说下，花指令对卡巴有特效，但是并不意味着，一个花指令就可以把卡巴斯基搞定。
3 l/ F7 A# P4 G! _
: t. M7 y+ p) H8 f6 |对付卡巴斯基， 需要多种方法结合， 壳上加花和修改文件入口点以及去头加花一般免杀效果是非常好的。5 r, c! p K( P% [. r* c/ f
( ~8 \6 B t1 \ L$ o对于瑞星么。我个人还是建议修改特征码。尤其是内存特征码的时候，修改特征码对付他效果好，% Q$ p/ s+ f! O% J
/ t/ I: Y z8 E
对了，花指令对瑞星不是很管用。% B' B& a P8 `/ z: d2 X" j
7 m9 J' ?! B: S6 X! f' `2 ~
D1 f, _" q* t9 g# r! T1 a. f1 o做过NOD32免杀的朋友都知道，NOD32的特征码经常定位在输入表上。
# Q. N( h6 ?% W+ {4 q" V5 v
9 q% n- ~5 V; H! X: l: D我们怎么看一个杀软定位特征码是在输入表上呢？很简单 你把定位出来的特征码放在C32ASM里面看。7 c7 X' v3 ~2 {6 j6 W' d# [. L
! u1 G2 z3 e b$ L7 r0 f6 M对应的ANSI字符是在一些什么DLL后面 或者一大连串的字母后面 这样的多半是输入表了。( V5 b4 a' o, B1 h$ H
0 i1 Y1 H9 h# O+ C. y2 ?6 z输入表的免杀是非常重要的一课。
) k# t+ T" S& k3 S. U* e6 f% s6 p( E7 \6 K6 n
常见方法 有移位法。上下互换法。以及重建输入表法。; c: o; v0 n% X, @4 p9 G
- u$ T' N% g" E3 c, e
移位法就是 把我们的特征码那一DLL往前移动一位或者往后移动一位。再用LOADPE来修改输入表。
9 m) j0 {& l( A4 n, B1 t8 ~2 U5 p5 k; Y2 O/ g: d$ ^5 L/ b
上下互换法则是再找一个和我们特征码那一个同样字节的字符串 互换一下。 但不是通常都有用。5 ?" A# H. J7 ~# @8 @8 ]) ^; ]
9 W! b1 n, M- i2 Q重建输入表则是免杀输入表效果最好的了。 一般的木马都只有一个输入表。
# L# k) h1 h3 C' x* N" r
2 A& g: M2 }+ S1 q) o我们利用ImportREC来帮我们的木马重建一个新的输入表 把旧的输入表删除。。
! G8 y8 S( p1 G- w) h( x9 t; P& n2 K: r6 W' ?: \$ b
这样免杀的效果不错。。。
( Y4 \" x% @/ S# e, p. t" ~+ c, ^' V/ P: O% a" U7 S* E
关于免杀也就这些了，这也是个老生常谈的话题了。说来说去无非也就那几个方法。% B8 b9 c# C9 E( T( b; L: p
; A! D) u0 A# S7 e9 a
什么入口点加1啊，区段加花啊 。。修改区段名字啊 。。。
; n& g! G# r3 x) I1 X, l
* Q5 o6 s' v9 J, _% d# y9 X大家多多了解下， 免杀不是很难的事。。; s0 {* \" E( f
4 Q2 r" e6 w. K0 p此文仅写给新手朋友一看。。老鸟飘过。。 |
-
1
评分人数
-
|
发表于 2009-2-16 20:17
| 
发表于 2009-2-16 22:44
| 
