[原创文章] 木马免杀之免杀输入表篇

木马, 输入

最近和一位木马免杀牛人交流，感觉新增进不少，2 s- Z, i( w; m; N% A, U0 o# M

特拿来分享给大家。4 i  f8 P4 B, `7 p

今天我们不提我们国产的那些杀软，真的垃圾的要死，6 N0 x2 q% U% N/ w

上次有位朋友叫我帮忙做上兴免杀过瑞星，说内存特征码定位在输入表

我简单的重建了输入表就把瑞星搞定了，
6 G+ [% Y$ Z. K. W; q6 u
失去信心了。我曰/ q5 Q; T0 D3 d3 [5 r; ?) E6 ?

今天我们说的是免杀输入表，以下是我的经验，也有牛人传授的免杀方法。8 J1 f7 H# D. n& ^" J1 F
4 A  b$ [- ?/ I8 T. E' q- h' m
首先，大家要知道一点，国产的都没有高启发式扫描，瑞星，金山等都没有。

外国的，如nod32，卡巴，小红伞都有启发式扫描，尤其以卡巴的高启发式和他的2009主动防御难过。( J: z9 ^0 m' N' |# h3 ^0 x3 y8 X- `
6 a  u* }5 q6 W( T
高启发式扫描必然导致特殊的特征码，我建议新手朋友做卡巴等免杀的时候，先把启发式调到最低7 H: I$ m5 U, P9 }' f- E( r/ w
( p3 {! [  u4 E1 B/ S: P4 I
过了以后再调到最高，再做免杀。, R4 i: H% f4 \5 T9 T" \
- r. Q0 f3 u, S- o" h
以上是废话，5 _2 k) |0 n) S8 i" d. o2 i
, ]$ g9 Y6 l* U* Q: C4 p( [* ~
好了，下面我们来说下常见的免杀输入表方法。
0 F! @9 [; T; \; ^
一。移位法1 ?$ J, S! a/ p; [3 v1 |
; B0 _* j) x$ C
这个已经过时了，我们的国产杀软及时的跟上了时代，
1 b" F8 j+ w. E* m" e
移位法在去年过金山和瑞星，还有江民都是可以过的，6 A0 D9 r$ B8 Y5 d

现在的杀软智能化了，移位么？呵呵，追杀你。

如果你想了解怎么个移位法，去百度搜吧，大堆的老教程等你看。% \( g! A9 f- B1 y# m% ~  }- z

二，重建输入表
1 ~4 _5 B0 c  Y) E5 r
效果不错，这里说下，简单的重建输入表，还是可以过我们的国产杀软的，外国的就不行啦。哈哈% U5 J- p: X/ s" |3 b' M$ {8 s
, [: V# L' N5 U
这里我介绍下，
0 W/ I7 G, b, c% m
用到工具：5 [9 [! E4 ?( w9 f% ]  H& M1 M- p
importrec1.62 R1 N: }0 D7 R1 L
od
c32asm0 a( g8 A/ `5 V/ D+ U% _3 c- T* C
loaderpe
这里我们简单的介绍下，如何重建输入表6 e' v6 l* _8 ~
5 s4 U7 p3 m1 \+ ^  L/ A2 Q$ s
首先吧文件拖入od，打开inportrec1.6
. ?; I# t$ s! b
如图选择拖入od的程序，6 Y! O; H+ Z: k0 O7 ?) G) T' L

) u9 H) @1 @5 r8 W& F, }
这个时候，我们打开loaderpe，7 h. l3 Y3 G3 V l o

拖入我们的木马

选择目录，

我们看到导入表这里。。。. P( d8 D/ V3 j) v
7 U% \+ e0 v2 v, T2 A8 y
如图： I& w) _% ]# z/ j W8 R

RVA地址是0001D000  大小是0000154C

好的，我们把这两个输入到import1.6里去

就是在“加载树文件”那上面一点 $ K( V7 {- H/ O$ R! ]* O

输入RVA的地址和大小。( W3 L6 C2 c, L
, J8 g5 \& f! N- F  J7 U% n% h4 m5 X
点击“获得输入表”" Y; P$ X$ D2 K$ F  M
) y: a5 D7 R3 q  R! q: F
然后点击“显示无效的”

接着importrec会自动列出) I' e+ c" }7 Q- e0 }: ~- E9 L! s

我们把深蓝色的字体  右键剪切无效的指针( P4 D1 b# _* i9 h6 ~2 G7 G

# h! g9 w5 f; J0 a# m
最后，我们点“修理dump”

选中我们的木马就可以了
( U+ u, K7 @* x8 l5 i
最后我们要用到c32asm
. {/ Y1 r8 f4 l; f
我们会看到两个输入表，我们只要把原先的输入表全部填充为00就可以了。: F/ l  `! C; v1 N* U

这样做，只能过国产的杀软，外国的如卡巴就免杀不了（如果他的特征码在输入表的话）
2 Y0 s8 T: g) F8 k: X" q! Y
这里，我教大家一个方法，也是重建输入表，可以过卡巴，不过加了个小步骤，* O/ |! \0 L. Q

我们把马子拖入od的以后，打开了importrec1.6

在选项那里，选择根据序数建造输入表和创建新的IAT

如图  F0 G/ s( Q: m/ g

% W5 J7 J! g7 F1 O. J% d

以后的步骤照上面的方法继续就可以了

不过此方法有个弊端就是，如果你在sp3下作的免杀  生成的服务端会在sp2的系统下运行不了

因为kernel32.dll的大小不一样。6 U. w( `5 [! Z5 {7 u2 o
, _' ~8 T: W& Z* Y+ }" p# W" r  ~
3.修改originalfirstthunk" e5 I7 R1 v  o1 _' b& I
3 u) h3 u: t/ ]
如图所示

( h' m6 M# n- n  h( y
我们打开loaderpe，依次点  目录--导入表（后面那个横线）

我们可以看到所有的dll，如图，我们假设杀软杀的是wininet.dll

我们右键--编辑--把函数后两个00修改为FF- g% b9 d. t, ]# j5 m; a

这样可以过小红伞查杀。  虽然会出现错误提示

但是不影响木马的功能，不影响上线。

4.dll后面加20 90法过卡巴查杀

需要的只是一个c32asm而已，非常简单但却非常有效" X& X2 y2 B# s! r/ T
5 P7 h+ r0 C5 z, W% Q+ W3 w
如图

; f+ V& _$ ]& |# Y/ ]; s) r, {* H

我们可以看到，

在ntdll.dll后面有一个空格和一个问号对应的ascII码是20 90

这里假设卡巴杀的是ntdll。dll下的函数ZwUnmapViewOfSection; C" `& J- T' h9 f3 s  G

我们只需要在他的所属dll后面加个20 90就可以了7 c/ L' C) p. @5 A

卡巴目前还不查杀此免杀方法8 k7 r. E5 D( N: |  _. v2 s" W

唧唧歪歪这么多，打字有点累了
( [8 A$ K. j3 w8 g% z
以后有新的免杀的方法我会继续公布的。暂时先写这么多吧。7 J5 g( w6 Q# y0 [; g( G- p( ?  a
6 M5 d/ M  |* B* H' [/ ]
[ 本帖最后由 1335csy 于 2009-3-31 11:35 编辑 ]

返回列表

[原创文章] 木马免杀之免杀输入表篇

[收藏此主题] [关注此主题的新回复]

[通过 QQ、MSN 分享给朋友]