[原创文章] 木马免杀之免杀输入表篇

木马, 输入

最近和一位木马免杀牛人交流，感觉新增进不少，

特拿来分享给大家。: }5 ^/ \5 r3 [/ {
7 x  }& ~7 q, Y: a
今天我们不提我们国产的那些杀软，真的垃圾的要死，

上次有位朋友叫我帮忙做上兴免杀过瑞星，说内存特征码定位在输入表
! Z/ g4 S: S& f" L/ f+ U. g& e  f
我简单的重建了输入表就把瑞星搞定了，4 u- d) k6 ]+ b0 r
/ l% F) \/ C/ |; s2 e& i& z+ n$ _0 \! J
失去信心了。我曰  w' |4 ]- v  ]5 l

今天我们说的是免杀输入表，以下是我的经验，也有牛人传授的免杀方法。& w8 U# a6 a: N2 p
% P$ S! N3 ^3 f# W
首先，大家要知道一点，国产的都没有高启发式扫描，瑞星，金山等都没有。
- Q  L1 |/ O& i8 o$ X1 j
外国的，如nod32，卡巴，小红伞都有启发式扫描，尤其以卡巴的高启发式和他的2009主动防御难过。

高启发式扫描必然导致特殊的特征码，我建议新手朋友做卡巴等免杀的时候，先把启发式调到最低; U- ^. V: G, k( {
, X% N# X) J/ o4 K* v
过了以后再调到最高，再做免杀。
: f! W: O) p7 U' A# r
以上是废话，
2 Q% E) Q: o; b: v1 c' N1 M
好了，下面我们来说下常见的免杀输入表方法。
  i$ w, y% o4 G3 [
一。移位法, j& T8 A$ k: W: [' m1 n  @

这个已经过时了，我们的国产杀软及时的跟上了时代，5 m, o5 p: ~3 q6 a

移位法在去年过金山和瑞星，还有江民都是可以过的，. h  ~: Z' j: O2 U& ^& [5 V

现在的杀软智能化了，移位么？呵呵，追杀你。
  ~1 y9 u1 Y: Y/ G# b' G& |8 R4 u
如果你想了解怎么个移位法，去百度搜吧，大堆的老教程等你看。
2 F+ h- O/ _/ p7 F
二，重建输入表

效果不错，这里说下，简单的重建输入表，还是可以过我们的国产杀软的，外国的就不行啦。哈哈6 T7 G$ R" d  {
' n7 z' ?  N2 K
这里我介绍下，

用到工具：
importrec1.6  S& \8 X% o! B! Q; c2 N
od' _# {# K$ x1 s
c32asm6 u) R- |6 f6 i2 |
loaderpe
这里我们简单的介绍下，如何重建输入表- [0 T0 q: s: p" t( I
$ z- \  f% H/ N8 ~4 [) S
首先吧文件拖入od，打开inportrec1.6
3 S  K. y& M- V/ d9 U) t( B
如图选择拖入od的程序，

这个时候，我们打开loaderpe，
1 ^7 B" P" Q4 i/ Z4 n) `4 X; j
拖入我们的木马
: W3 b: x w" X/ i4 V; ~
选择目录，. J; V2 x7 p+ J5 U
3 G: e* W( L6 m* p3 j4 I
我们看到导入表这里。。。
0 Q$ v" s; E& F' H6 C: }
如图：: B: D$ n) e6 I/ x3 ~+ @1 r

( w) B9 u8 @- ?

RVA地址是0001D000  大小是0000154C' E6 e% ~- Z7 X/ @! j/ D; w% X; {
3 R8 J" K+ ~9 h# ^% p. ^( v
好的，我们把这两个输入到import1.6里去9 Q6 e0 w/ F& }3 h1 l- R3 [

就是在“加载树文件”那上面一点

输入RVA的地址和大小。
. v' P5 U* @% B7 t; o! y, E( e8 e. r
点击“获得输入表”0 Z; X+ x) \6 _4 R* S9 Q

然后点击“显示无效的”

接着importrec会自动列出

我们把深蓝色的字体  右键剪切无效的指针# b; U3 C4 r! I7 @4 y& ^% z8 y
4 J- k3 f7 ?) o- P) ~1 x/ N
( [& u3 A; j& g' K5 C# t  ]
最后，我们点“修理dump”6 t) A$ t  q  D5 y' p& ]* W( p

选中我们的木马就可以了2 Q/ h) Q4 W- k$ G$ E

最后我们要用到c32asm

我们会看到两个输入表，我们只要把原先的输入表全部填充为00就可以了。
& T$ W# F  L" o- B6 ?8 e# m. w
这样做，只能过国产的杀软，外国的如卡巴就免杀不了（如果他的特征码在输入表的话）

这里，我教大家一个方法，也是重建输入表，可以过卡巴，不过加了个小步骤，$ X' V2 D& S/ n: ~2 ?: h

我们把马子拖入od的以后，打开了importrec1.6" S2 z7 `. l+ o3 l9 e4 Q- }

在选项那里，选择根据序数建造输入表和创建新的IAT8 r* m( S% X& y1 l1 ^
5 l1 e5 C+ H9 r
如图- }/ T" Z3 ?/ y8 e! S

, i6 k5 D' z( R& q' V, v3 O8 o
+ }2 `7 n0 [; V- a: B/ \
以后的步骤照上面的方法继续就可以了) `9 M& H$ u1 s4 C3 S- P& `
# n( Q3 T1 N5 B9 R2 z/ F$ d/ Y
不过此方法有个弊端就是，如果你在sp3下作的免杀生成的服务端会在sp2的系统下运行不了0 |9 H: Q6 q; r8 Q9 h) a

因为kernel32.dll的大小不一样。
, ?; A" ~- x/ z8 n
3.修改originalfirstthunk
9 M! U" k/ u# u9 p( E
如图所示

% \, D& L! L7 W
我们打开loaderpe，依次点  目录--导入表（后面那个横线）" P" i! v" W2 |' n. H
7 p/ T2 i4 y( E* y' D& H( p; Y
我们可以看到所有的dll，如图，我们假设杀软杀的是wininet.dll
: u1 H6 g# N/ o# H  H! a& H: b% {
我们右键--编辑--把函数后两个00修改为FF
; U+ K( ?9 Q5 u0 O, V& d* l" g! {
这样可以过小红伞查杀。  虽然会出现错误提示
6 ^3 `4 c. G7 X, P8 x
但是不影响木马的功能，不影响上线。5 ?. i$ j. G# c( @6 @5 @
1 z2 A5 Y+ G  h
4.dll后面加20 90法过卡巴查杀

需要的只是一个c32asm而已，非常简单但却非常有效

如图% m' y! ]* X0 O+ F

我们可以看到，

在ntdll.dll后面有一个空格和一个问号对应的ascII码是20 90/ i& G9 s1 g/ @1 [

这里假设卡巴杀的是ntdll。dll下的函数ZwUnmapViewOfSection
! } [2 w+ x' V2 B. s: d8 W1 r" M+ N
我们只需要在他的所属dll后面加个20 90就可以了/ b! h0 F: C, T0 O6 s1 q

卡巴目前还不查杀此免杀方法" e( p1 }3 m: ?! [

唧唧歪歪这么多，打字有点累了; t# C. L$ r/ R
: @3 @4 Y2 [, l- a7 a. K
以后有新的免杀的方法我会继续公布的。暂时先写这么多吧。& W* U9 h) _+ ^+ W1 P7 }

[ 本帖最后由 1335csy 于 2009-3-31 11:35 编辑 ]

返回列表

[原创文章] 木马免杀之免杀输入表篇

[收藏此主题] [关注此主题的新回复]

[通过 QQ、MSN 分享给朋友]