[原创文章] 木马免杀之免杀输入表篇

木马, 输入

最近和一位木马免杀牛人交流，感觉新增进不少，

特拿来分享给大家。4 u" q% i/ P1 J
( k' A- j2 O/ X0 I5 Z% [- F- u
今天我们不提我们国产的那些杀软，真的垃圾的要死，: k; z4 g1 P" p" |* ?& U4 W3 o
' E% @" R8 K$ q8 D& g' j
上次有位朋友叫我帮忙做上兴免杀过瑞星，说内存特征码定位在输入表

我简单的重建了输入表就把瑞星搞定了，
7 s! L3 U" S; P/ y9 h" R+ f  Z/ h
失去信心了。我曰

今天我们说的是免杀输入表，以下是我的经验，也有牛人传授的免杀方法。( e3 ^' c5 ^( I, D' X% N1 u$ n" Z
& A6 b% M0 n  {5 ^. A( S0 F8 S
首先，大家要知道一点，国产的都没有高启发式扫描，瑞星，金山等都没有。. L. P5 a5 ?7 M6 P

外国的，如nod32，卡巴，小红伞都有启发式扫描，尤其以卡巴的高启发式和他的2009主动防御难过。* E) E& k0 C$ R

高启发式扫描必然导致特殊的特征码，我建议新手朋友做卡巴等免杀的时候，先把启发式调到最低+ C: Q* r. h" r3 X" L: b9 R
" }6 J0 t% o/ h  E$ ]
过了以后再调到最高，再做免杀。

以上是废话，' O% Z. c! W7 U9 a& L) X5 }5 J
5 U" O+ a2 V. T- w2 U
好了，下面我们来说下常见的免杀输入表方法。

一。移位法

这个已经过时了，我们的国产杀软及时的跟上了时代，

移位法在去年过金山和瑞星，还有江民都是可以过的，

现在的杀软智能化了，移位么？呵呵，追杀你。9 ?: w$ u6 S9 }  u) t
7 w+ r, E  X$ s
如果你想了解怎么个移位法，去百度搜吧，大堆的老教程等你看。$ ^+ ^. a# O5 V6 I. J; D

二，重建输入表

效果不错，这里说下，简单的重建输入表，还是可以过我们的国产杀软的，外国的就不行啦。哈哈4 b2 \0 N1 e2 i$ Y, Z

这里我介绍下，

用到工具：
importrec1.6
od
c32asm# h: n, R, y3 ~) u2 H2 C
loaderpe
这里我们简单的介绍下，如何重建输入表$ H; d4 O- u' I' j, L5 }

首先吧文件拖入od，打开inportrec1.6
; |, o3 O- l; ]8 z2 V* ^1 ?* g5 ]1 e
如图选择拖入od的程序，( v1 l: e3 L- b3 @

0 E1 f; i. d5 j4 T* a
% J! Q0 Y2 s1 f+ L% f: i! G, k
这个时候，我们打开loaderpe，

拖入我们的木马 H; j- w+ B" F, ]
& C2 s, ^4 e% I& L" F' J
选择目录，

我们看到导入表这里。。。3 `, {2 I3 v; O H

如图：6 K) j' a5 z+ k7 p

+ c! B- W3 `- f3 x/ `
RVA地址是0001D000  大小是0000154C

好的，我们把这两个输入到import1.6里去8 p3 y3 E1 j9 Y( ~
$ z+ n7 v: {. ?' y5 l2 M9 Q1 W
就是在“加载树文件”那上面一点
: q$ `$ s/ \/ w2 Y
输入RVA的地址和大小。
7 j; O5 @& X; D/ Z+ F  |
点击“获得输入表”- w! S; z$ G! [6 n/ }5 T$ h& U

然后点击“显示无效的”" d$ W( y6 O' m4 O; I4 k3 ]% P0 q9 i

接着importrec会自动列出
! P' {* p! i: S
我们把深蓝色的字体  右键剪切无效的指针7 A5 D6 E* L$ U% t1 |+ ^$ @

' i; u! V7 \1 }
最后，我们点“修理dump”

选中我们的木马就可以了

最后我们要用到c32asm0 J  q% B; w: t
% b6 S! G* Y1 F0 a! {# Q: N
我们会看到两个输入表，我们只要把原先的输入表全部填充为00就可以了。

这样做，只能过国产的杀软，外国的如卡巴就免杀不了（如果他的特征码在输入表的话）; F9 b; O  H1 S
. X2 q5 L4 _# _6 j7 ]
这里，我教大家一个方法，也是重建输入表，可以过卡巴，不过加了个小步骤，1 x+ z1 a; W$ K: Z( g  h" V
9 ~  ]+ ]  E+ B0 c7 X
我们把马子拖入od的以后，打开了importrec1.6
7 g; y# ?3 l, N, x" c" R8 O
在选项那里，选择根据序数建造输入表和创建新的IAT
# }, @1 V' L1 L5 S: z  J
如图8 X( k: Z$ ~& Z2 X

2 k( F7 v, C3 b
以后的步骤照上面的方法继续就可以了7 ?6 V" h6 Q+ K
9 U R$ z& C9 r7 l' p- \
不过此方法有个弊端就是，如果你在sp3下作的免杀生成的服务端会在sp2的系统下运行不了
$ ~0 P& F# j1 ^6 Z1 m7 {( e+ n
因为kernel32.dll的大小不一样。8 B9 o8 s8 s% H- N! d

3.修改originalfirstthunk

如图所示) e4 B5 v. }/ W. R: q7 e% c

: L% Y9 P; g5 {# z8 b
% N3 p7 m. E" p5 x
我们打开loaderpe，依次点目录--导入表（后面那个横线）
) _6 V8 b5 E6 K2 J
我们可以看到所有的dll，如图，我们假设杀软杀的是wininet.dll

我们右键--编辑--把函数后两个00修改为FF1 N! a. N* y6 h; @4 X! e; x8 N. h1 _

这样可以过小红伞查杀。虽然会出现错误提示$ N# S) N' |4 }" E* t" ~8 s: \
4 x1 L- z. Z/ l3 h$ k
但是不影响木马的功能，不影响上线。$ o& n6 t6 Q/ G$ H1 p

4.dll后面加20 90法过卡巴查杀
4 k& ?4 ?- K- G+ K' B4 Y' `. F
需要的只是一个c32asm而已，非常简单但却非常有效

如图

4 L, q" x# o- ]/ @' u% [' p

我们可以看到，
& a: |7 j2 o) W+ I) p0 }
在ntdll.dll后面有一个空格和一个问号对应的ascII码是20 900 h$ E4 h/ D6 X* [
; B9 o- n; `$ y5 x/ A
这里假设卡巴杀的是ntdll。dll下的函数ZwUnmapViewOfSection
8 P6 G1 y2 `+ b; L# h
我们只需要在他的所属dll后面加个20 90就可以了4 U- }5 g- d% @* f: |4 @$ a3 X# F
, h- w- F; o/ q" C3 F7 W0 E& c
卡巴目前还不查杀此免杀方法. h# z- ~- ?' i& O/ c6 |
0 m9 `. ~/ T- l" n

唧唧歪歪这么多，打字有点累了* ^" l! l9 C: n
4 Y. e3 u3 k+ s3 h% a+ R; [& y
以后有新的免杀的方法我会继续公布的。暂时先写这么多吧。2 q. s* e0 w3 [- ~8 q. `

[ 本帖最后由 1335csy 于 2009-3-31 11:35 编辑 ]

返回列表

[原创文章] 木马免杀之免杀输入表篇

[收藏此主题] [关注此主题的新回复]

[通过 QQ、MSN 分享给朋友]