|
 
- 帖子
- 143
- 积分
- 419
- 威望
- 415
- 金钱
- 446
- 在线时间
- 65 小时
     
|
原创作者：1335csy [3.A.S.T]
; L$ M4 Z4 I- Z! J. R; K" X; b( u0 H
信息来源：3.A.S.T网络安全团队 （ www.3ast.com.cn ）, K. q, n0 f$ }
1 z9 A3 V& H$ ^ t; k( W来了3AST很久了 也没有写上什么有点价值的帖子，今天这个帖子算是抛砖引玉吧。。
( ~: ^ q" w- h3 X. _
& D' E. A& H0 K, j免杀也弄了有点时间了。。现在分享下我的经验。
6 H k, \) y+ Y6 ?' e- [ B
# A* l9 W0 f+ d$ W& D' E5 m首先建议新手朋友要学会定位表面特征码和内存特征码（定位方法有细微差别）" E2 m- i$ Z+ i# I/ ^
1 Z/ S: }1 f! L' [' v7 X& w7 J6 D
修改特征码还是要学习的。毕竟现在依靠特征码查杀仍是杀软的主要途径之一。! I' Y% m0 T6 u- m W
( Q) k! r6 X8 D# @8 s6 T; N3 m
第二个是要学会写自己的花指令，不要以为免杀怎么难，多么难，只要你会一点基本的汇编，5 r% [/ f$ [* {* X
9 h6 s: A) J' _! E9 W P" n
再多翻几下8088汇编速查手册。我相信基本的木马免杀是难不倒你的。………^_^。
) y' y8 C2 u- d! C: [! N2 o; \8 |4 [# N! I, p7 K& D
很多新手朋友曾经都这么问，什么是花指令？所谓花指令，就是一些，没有用的指令，5 M, [. D: w" ]' V' b5 y8 ^
- J, r/ i3 L: y( T8 u+ l% j# i
其作用是干扰杀软的查杀，写花指令最重要的是维持堆栈的平衡，很简单。
1 g- G" ~. ~& P/ g* Q/ S8 |
) r) X6 U) t1 s" j2 a+ e& M$ y5 \! N顺便说下，花指令对卡巴有特效，但是并不意味着，一个花指令就可以把卡巴斯基搞定。0 v, O4 l7 J, q: Q( r# q' G
7 Q0 F* C& `2 _# s! y! P8 q对付卡巴斯基， 需要多种方法结合， 壳上加花和修改文件入口点以及去头加花一般免杀效果是非常好的。+ d; u4 A) y9 z J
6 h# N& G8 g6 s% j9 v( H" w" T
对于瑞星么。我个人还是建议修改特征码。尤其是内存特征码的时候，修改特征码对付他效果好，
! T0 k6 o4 R1 R6 k2 [6 X0 {% p8 L- Z4 A; G2 |
对了，花指令对瑞星不是很管用。9 r: x1 [6 i# G' Y
& `1 t8 I6 a8 @2 D$ V
4 l# n3 ]9 B% G4 [$ ?5 s0 a做过NOD32免杀的朋友都知道，NOD32的特征码经常定位在输入表上。* L3 z2 v: j" N) Y B% |8 B
6 \/ `* z+ T. y" F3 u7 C
我们怎么看一个杀软定位特征码是在输入表上呢？很简单 你把定位出来的特征码放在C32ASM里面看。/ i" @1 j- }5 S2 [& K' B Y# f
/ a: y, s% L3 \( X& j对应的ANSI字符是在一些什么DLL后面 或者一大连串的字母后面 这样的多半是输入表了。: Q& v d9 S% m2 P. f0 {" r
+ y0 ?6 {3 x1 \0 b5 `- \4 O# E
输入表的免杀是非常重要的一课。
: I- k) p# k1 L$ U f9 ?( }
& c, n- V" E, T( M2 Y; }# O$ [常见方法 有移位法。上下互换法。以及重建输入表法。, K- _+ R! V# o' ^0 ~
5 {. O& Y5 ]! e2 ^移位法就是 把我们的特征码那一DLL往前移动一位或者往后移动一位。再用LOADPE来修改输入表。
' X6 k& V' A! H" W9 Z0 h. W5 N, t4 F. J) g1 y
上下互换法则是再找一个和我们特征码那一个同样字节的字符串 互换一下。 但不是通常都有用。
0 D% v' o; p0 ~0 [3 j/ `; P/ @; x. k# l1 h% r1 y" o2 G4 r
重建输入表则是免杀输入表效果最好的了。 一般的木马都只有一个输入表。
) ?3 l2 ?! @! t4 `& f
4 ^& c; |* d5 F p* f6 u3 Q我们利用ImportREC来帮我们的木马重建一个新的输入表 把旧的输入表删除。。
+ m7 [3 b' r- }
+ u5 z( s# Z- W4 t! Z) \这样免杀的效果不错。。。- o0 B" E* R8 F( g2 C/ g
% ?* `( T3 t! C关于免杀也就这些了，这也是个老生常谈的话题了。说来说去无非也就那几个方法。
5 M8 {; a2 ]5 h+ s1 N1 Q& g
) y# @5 L! |2 P什么入口点加1啊，区段加花啊 。。修改区段名字啊 。。。' g. M. M$ J; ?; \0 i# j0 s
0 B* m7 u* [ `& `大家多多了解下， 免杀不是很难的事。。
0 _0 p* j4 `. A' d
0 E1 Y8 [" V, R P5 o! c此文仅写给新手朋友一看。。老鸟飘过。。 |
-
1
评分人数
-
|
发表于 2009-2-16 20:17
| 
发表于 2009-2-16 22:44
| 
