[原创文章] 木马免杀之免杀输入表篇

木马, 输入

最近和一位木马免杀牛人交流，感觉新增进不少，' n; r/ b: }4 A3 K  G! [$ ]$ v

特拿来分享给大家。
) X2 E" J8 q3 j& n5 Q' h9 m+ W' Q* A- l0 U
今天我们不提我们国产的那些杀软，真的垃圾的要死，; a0 }1 M( V6 V( V; c$ q

上次有位朋友叫我帮忙做上兴免杀过瑞星，说内存特征码定位在输入表( W  K! S( W- U7 c
, @+ W/ G# S+ }8 {
我简单的重建了输入表就把瑞星搞定了，8 Z" i5 _9 m9 k0 R. J
6 Y* v) X$ F" m6 G5 q' X
失去信心了。我曰
' e$ [# J, G; F* o1 x
今天我们说的是免杀输入表，以下是我的经验，也有牛人传授的免杀方法。2 o, u% i; E% f  P
) W) E: V4 j& o) J5 w+ V  O
首先，大家要知道一点，国产的都没有高启发式扫描，瑞星，金山等都没有。1 J: E( |6 h, A, v! p/ H; Q( S1 x: S

外国的，如nod32，卡巴，小红伞都有启发式扫描，尤其以卡巴的高启发式和他的2009主动防御难过。6 R. v& }8 k2 ~/ r3 F6 j( r; n8 a

高启发式扫描必然导致特殊的特征码，我建议新手朋友做卡巴等免杀的时候，先把启发式调到最低

过了以后再调到最高，再做免杀。
: p: S2 w5 e  C- r' r0 \
以上是废话，
$ Q' ]2 d( T" g- k4 N
好了，下面我们来说下常见的免杀输入表方法。
6 f. j2 i( E6 S/ U9 Z- R/ v- j
一。移位法

这个已经过时了，我们的国产杀软及时的跟上了时代，7 w$ A  S+ r9 H

移位法在去年过金山和瑞星，还有江民都是可以过的，1 {) |8 {0 _4 a2 t5 d

现在的杀软智能化了，移位么？呵呵，追杀你。0 E' `4 y* X4 {0 \6 s

如果你想了解怎么个移位法，去百度搜吧，大堆的老教程等你看。

二，重建输入表4 X$ a; B  T+ o' K

效果不错，这里说下，简单的重建输入表，还是可以过我们的国产杀软的，外国的就不行啦。哈哈
; ~: [' o3 x: a) n- k
这里我介绍下，+ q1 q/ F9 A; ~1 j% L
2 S6 R" k5 n  e$ P7 n; W
用到工具：7 ?4 v) G2 u6 Q; W
importrec1.6
od
c32asm+ M5 u% p: C, ?- y& g
loaderpe
这里我们简单的介绍下，如何重建输入表6 [+ V2 g2 a* M

首先吧文件拖入od，打开inportrec1.6  D9 ]/ t2 |2 T5 ~0 [8 R, i- U

如图选择拖入od的程序，

M8 p; \1 w# a
这个时候，我们打开loaderpe，2 h0 |1 d2 y# K5 G# V* _7 A

拖入我们的木马
3 s9 c0 N8 ^ z7 F" z$ q
选择目录，$ C3 x5 k3 q6 J% y5 Z# K+ T2 s
: |0 i6 q. n+ J* I' q
我们看到导入表这里。。。
% m- L2 U* Q8 a# }
如图：

* j2 ?' {! w1 X2 M
RVA地址是0001D000  大小是0000154C
2 d# ]1 M) ]' s5 \. F( Q
好的，我们把这两个输入到import1.6里去

就是在“加载树文件”那上面一点 ) \9 k1 T' ?7 ~

输入RVA的地址和大小。
* x4 o, H7 k. E+ i' B  ^* M2 I5 r% Z
点击“获得输入表”

然后点击“显示无效的”

接着importrec会自动列出

我们把深蓝色的字体  右键剪切无效的指针7 T2 P9 R1 v+ o  m

最后，我们点“修理dump”! @) M- c7 o% O2 V, O0 O( c' S" H

选中我们的木马就可以了

最后我们要用到c32asm
  |) A, l% r' ?5 R3 h4 V
我们会看到两个输入表，我们只要把原先的输入表全部填充为00就可以了。* F% |' F. _5 W) _1 f. [+ _3 U9 c

这样做，只能过国产的杀软，外国的如卡巴就免杀不了（如果他的特征码在输入表的话）

这里，我教大家一个方法，也是重建输入表，可以过卡巴，不过加了个小步骤，9 D& z  s: W& I- ~

我们把马子拖入od的以后，打开了importrec1.66 T- u' j- f2 @  h
9 Q4 U$ M) k5 R- i$ E0 |# D& K
在选项那里，选择根据序数建造输入表和创建新的IAT# B- P; z+ V, K
  ^. p, R) \& c9 B
如图

! I& c6 W  h/ H  g7 y* G
以后的步骤照上面的方法继续就可以了/ D% T. T# c6 U8 K* K/ M

不过此方法有个弊端就是，如果你在sp3下作的免杀  生成的服务端会在sp2的系统下运行不了; j5 i! H4 X. p3 f
8 i/ Q* C# C& J: M! F7 @+ Y" Z, w
因为kernel32.dll的大小不一样。
- ~- K2 K; M; [7 _3 e
3.修改originalfirstthunk% r  H4 g; i$ R+ n5 m

如图所示

6 U8 t. i) w6 z$ D& ^/ w4 \: R

我们打开loaderpe，依次点  目录--导入表（后面那个横线）
9 r  B: w5 g6 {
我们可以看到所有的dll，如图，我们假设杀软杀的是wininet.dll$ D: M2 R- d# E9 o, Z3 I( ]6 M
+ N2 A* s6 n/ h7 o4 Y: a* i3 Q
我们右键--编辑--把函数后两个00修改为FF
& I; S6 v3 E3 ?( |- @& b" [  V! L
这样可以过小红伞查杀。  虽然会出现错误提示+ u6 I0 x- s' x  N8 d

但是不影响木马的功能，不影响上线。0 Q4 ^  ~" t' v
# T1 a3 Y8 O# r" c" X! h
4.dll后面加20 90法过卡巴查杀$ ^6 B: x3 d) a$ u0 \# l$ Z1 f

需要的只是一个c32asm而已，非常简单但却非常有效4 e  j6 I5 [  W2 W
/ n' v/ q) ]2 {# C3 E1 Z
如图: X2 \- [$ _( M" l5 j+ s
: P0 N0 ^7 T. R4 `& c0 d

- d8 U: m1 d F+ K/ j( a
& d. @0 u$ Z* L4 q) c- m- @( q6 p
我们可以看到，

在ntdll.dll后面有一个空格和一个问号对应的ascII码是20 908 z1 a6 S$ V/ q* {1 T; G

这里假设卡巴杀的是ntdll。dll下的函数ZwUnmapViewOfSection: M. V" B; P2 N/ c, p8 @! x: B
# R% o, p8 ]& J% j, @. F
我们只需要在他的所属dll后面加个20 90就可以了 v* k; K: |4 N! l, R5 i
9 N3 S9 ~- t6 a1 `4 X1 n) E
卡巴目前还不查杀此免杀方法

9 p- T; y9 V0 D/ }
唧唧歪歪这么多，打字有点累了. d, w7 f- G1 z; Q- y: Q

以后有新的免杀的方法我会继续公布的。暂时先写这么多吧。5 J. M( u& f% H4 b: z- |8 ]

[ 本帖最后由 1335csy 于 2009-3-31 11:35 编辑 ]

返回列表

[原创文章] 木马免杀之免杀输入表篇

[收藏此主题] [关注此主题的新回复]

[通过 QQ、MSN 分享给朋友]