[原创文章] 木马免杀之免杀输入表篇

木马, 输入

最近和一位木马免杀牛人交流，感觉新增进不少，0 C* {; h+ p) B) R( D) b8 R  K
; r9 |' r# z/ Y# ?* n
特拿来分享给大家。
# N1 i. T( T0 h
今天我们不提我们国产的那些杀软，真的垃圾的要死，7 P. Q. _; @3 I# [

上次有位朋友叫我帮忙做上兴免杀过瑞星，说内存特征码定位在输入表; ~! Q2 D" e% R) p8 W. l, e

我简单的重建了输入表就把瑞星搞定了，

失去信心了。我曰- _) @) N2 }9 r
; j  k, a4 w1 ~4 V
今天我们说的是免杀输入表，以下是我的经验，也有牛人传授的免杀方法。

首先，大家要知道一点，国产的都没有高启发式扫描，瑞星，金山等都没有。
# P) y/ b  h3 J6 @8 w
外国的，如nod32，卡巴，小红伞都有启发式扫描，尤其以卡巴的高启发式和他的2009主动防御难过。5 i/ T5 k: o8 d6 y: e1 l; U" J. H) H
% X6 R+ `% c! ]" l# \' d
高启发式扫描必然导致特殊的特征码，我建议新手朋友做卡巴等免杀的时候，先把启发式调到最低% W2 M1 _+ p1 t2 l5 }* S
9 N* g# W3 W# Q2 @2 T: T
过了以后再调到最高，再做免杀。
, Z8 _% x! p" e: J% E
以上是废话，
2 _& D+ `$ A6 y( W# J
好了，下面我们来说下常见的免杀输入表方法。7 M0 N1 E, C3 \# K

一。移位法

这个已经过时了，我们的国产杀软及时的跟上了时代，5 s. ~5 n7 d( I& q; u
) M! Y, l5 Q8 M0 m
移位法在去年过金山和瑞星，还有江民都是可以过的，

现在的杀软智能化了，移位么？呵呵，追杀你。

如果你想了解怎么个移位法，去百度搜吧，大堆的老教程等你看。
; K7 G/ ^: a& c- N
二，重建输入表
4 H, k8 x1 E9 w; y2 m0 F9 U5 M0 d" [! M
效果不错，这里说下，简单的重建输入表，还是可以过我们的国产杀软的，外国的就不行啦。哈哈

这里我介绍下，
5 U+ n. G: ~7 c0 x1 c7 V
用到工具：! P  c( B, y5 v# r/ J# X
importrec1.64 x3 y3 T- k8 x" {' E# k6 N/ M
od
c32asm7 N* \6 q" N, _2 ^- ^
loaderpe$ W3 z$ K8 W2 V: i. i/ O% q" _
这里我们简单的介绍下，如何重建输入表1 |) J$ Z3 s5 X) T* B# H7 e

首先吧文件拖入od，打开inportrec1.6

如图选择拖入od的程序，( D/ f: }+ i  F3 a$ F' P

这个时候，我们打开loaderpe，3 T1 f% x; L- j9 M/ w5 d

拖入我们的木马
1 {& M/ K. |, B' ^
选择目录，
' E, c* N0 x1 j2 d/ C# N* O9 S
我们看到导入表这里。。。1 w [% c9 x+ e0 j

如图：5 j/ o5 d7 ^1 V) S- v

RVA地址是0001D000  大小是0000154C

好的，我们把这两个输入到import1.6里去1 Q, K8 A. q9 z9 S5 X; V1 H
. j7 w' f  [! a6 w2 V5 ~: K  Q9 [
就是在“加载树文件”那上面一点 ' D: z" V. }/ @  E0 @) w* N" [
; q8 H; m/ ?: y5 D* X1 N
输入RVA的地址和大小。2 d$ ]/ D; x( f" g

点击“获得输入表”% Y* h* _, i- `8 m
; Y  f! U' R$ Z, _
然后点击“显示无效的”. T% T4 n. |  m  y4 D$ w0 P

接着importrec会自动列出) x1 h% S* R0 M9 D

我们把深蓝色的字体  右键剪切无效的指针  i# h3 _6 Z5 ]% s  Z0 h! s2 K) }

最后，我们点“修理dump”

选中我们的木马就可以了

最后我们要用到c32asm

我们会看到两个输入表，我们只要把原先的输入表全部填充为00就可以了。  t9 v/ v: t; m! {; ]
( y6 O1 }0 p% w6 G7 j
这样做，只能过国产的杀软，外国的如卡巴就免杀不了（如果他的特征码在输入表的话）6 N! a! e7 e: Q, K
- e) t6 {$ \' C$ f* u
这里，我教大家一个方法，也是重建输入表，可以过卡巴，不过加了个小步骤，3 [1 A: [+ r7 m) h- O, n! S* a

我们把马子拖入od的以后，打开了importrec1.6

在选项那里，选择根据序数建造输入表和创建新的IAT
4 g% {$ s: q: b$ y7 h. Z; k
如图' w* l: e) w( B7 L0 o

5 c# i: m& V6 [# b; n1 f

以后的步骤照上面的方法继续就可以了; \$ r# _, s. j8 F8 Y

不过此方法有个弊端就是，如果你在sp3下作的免杀生成的服务端会在sp2的系统下运行不了
* s. k% @1 c5 N9 t2 ~$ q$ s
因为kernel32.dll的大小不一样。
' e- K, w6 d2 N7 H
3.修改originalfirstthunk6 }! g2 I) A8 w _2 @

如图所示

7 Z3 h3 E: d5 b( w3 }2 W* S
" c5 q5 H  N9 t2 t% J
我们打开loaderpe，依次点  目录--导入表（后面那个横线）

我们可以看到所有的dll，如图，我们假设杀软杀的是wininet.dll) u" p6 }: {" Q/ P/ [0 l

我们右键--编辑--把函数后两个00修改为FF

这样可以过小红伞查杀。  虽然会出现错误提示: j: R: `. X& e; m; r
% ?0 b% l+ B" t) d. h: C
但是不影响木马的功能，不影响上线。5 v8 P, G; v* ?. {! x0 F8 v
5 ]% M( f9 u' j8 Q- ?8 A/ t( s) j
4.dll后面加20 90法过卡巴查杀; x9 P5 H) t$ _
% u* w/ U0 n9 C3 M$ c
需要的只是一个c32asm而已，非常简单但却非常有效: S7 R  X% m" r; }2 j3 x0 t2 l2 D3 x
5 E$ Y) T! Y$ k, d3 @
如图0 o) Q0 s* @9 s# [  M9 r9 b/ K

1 u3 O- O" _; B6 ]
) ` c3 `. A; B/ m5 n. ~
我们可以看到，

在ntdll.dll后面有一个空格和一个问号对应的ascII码是20 909 e \% w" n3 {0 i

这里假设卡巴杀的是ntdll。dll下的函数ZwUnmapViewOfSection: \2 A4 _- Q0 L) h
* H- O* C9 N9 H7 U% ]4 v1 U: v1 E- R
我们只需要在他的所属dll后面加个20 90就可以了

卡巴目前还不查杀此免杀方法

6 c9 p4 ]/ a2 m% R% t
唧唧歪歪这么多，打字有点累了9 C. C. u! C! k- V7 I
9 h. z- s5 S$ ~! b' V+ y
以后有新的免杀的方法我会继续公布的。暂时先写这么多吧。

[ 本帖最后由 1335csy 于 2009-3-31 11:35 编辑 ]

返回列表

[原创文章] 木马免杀之免杀输入表篇

[收藏此主题] [关注此主题的新回复]

[通过 QQ、MSN 分享给朋友]