[原创文章] 木马免杀之免杀输入表篇

木马, 输入

最近和一位木马免杀牛人交流，感觉新增进不少，
# T( s; f) R  O9 v' E
特拿来分享给大家。: T+ _( ]. \, `5 x& @

今天我们不提我们国产的那些杀软，真的垃圾的要死，
+ _6 Y' A( ]) }
上次有位朋友叫我帮忙做上兴免杀过瑞星，说内存特征码定位在输入表
1 V' c8 i, x0 V% [
我简单的重建了输入表就把瑞星搞定了，2 |. b# O. O: q$ w0 b. @$ ~# M
; q2 p: s( ?. d2 \- B. ]3 R+ l, O
失去信心了。我曰

今天我们说的是免杀输入表，以下是我的经验，也有牛人传授的免杀方法。
: v& N  ^) Z  [$ O/ c
首先，大家要知道一点，国产的都没有高启发式扫描，瑞星，金山等都没有。: t6 _# E9 f; o4 R$ ~; f. W

外国的，如nod32，卡巴，小红伞都有启发式扫描，尤其以卡巴的高启发式和他的2009主动防御难过。
4 ~& F9 c) w2 b5 `/ ?+ U
高启发式扫描必然导致特殊的特征码，我建议新手朋友做卡巴等免杀的时候，先把启发式调到最低
9 \5 a" }; Y( q2 ^% w9 Q2 y2 x2 V
过了以后再调到最高，再做免杀。
9 ]& X/ |( a: {; Z. Z
以上是废话，, _( r. r3 g- `
( d8 G+ _9 M( x) }( j! v$ T+ [* n" J( ?* L
好了，下面我们来说下常见的免杀输入表方法。, c) `- C; c! |* K* u' H
$ I6 A  L. h% K3 h$ k; N: C+ B7 a! c) ^
一。移位法

这个已经过时了，我们的国产杀软及时的跟上了时代，

移位法在去年过金山和瑞星，还有江民都是可以过的，$ Z6 n/ V' b$ T4 F1 O

现在的杀软智能化了，移位么？呵呵，追杀你。

如果你想了解怎么个移位法，去百度搜吧，大堆的老教程等你看。9 }) {* C: @0 v
. K" U, y. {5 x* v; f
二，重建输入表

效果不错，这里说下，简单的重建输入表，还是可以过我们的国产杀软的，外国的就不行啦。哈哈
4 F- T  ?/ }' c/ S  A1 Y
这里我介绍下，

用到工具：
importrec1.6
od
c32asm6 v, @6 Q- M1 k, x* Y
loaderpe
这里我们简单的介绍下，如何重建输入表' B& e: ^/ X9 j

首先吧文件拖入od，打开inportrec1.6$ t" a* v1 Q& A6 n

如图选择拖入od的程序，+ b* A3 z9 v/ c, c2 Z7 B& D( h

% ^; u' P( j( x% g- z

这个时候，我们打开loaderpe，+ B/ E8 F4 J% [  L" H0 }

拖入我们的木马4 V9 Y' e0 y5 F% S8 Q# @
  l5 F9 p- |& {# c
选择目录，

我们看到导入表这里。。。- p% ~3 O) _8 ?2 v+ a5 k+ r; G
  M% G6 j! h  r
如图：

2 q' Y6 ?! D! Q
) g! B+ s. B" \# F& ^9 B
RVA地址是0001D000  大小是0000154C9 Y" ~: R( w$ K0 }: f
- O" z6 [2 P% n
好的，我们把这两个输入到import1.6里去
) B; {' G6 X( Z/ Z- v9 X' R
就是在“加载树文件”那上面一点 . E" k) S& o1 S2 M3 _0 ?5 t
6 ]; R' g7 Z+ M% v
输入RVA的地址和大小。  d1 ?/ [1 x7 y. s; J; M3 {: }( j

点击“获得输入表”
2 C$ Z4 X4 k0 B' @
然后点击“显示无效的”
. H6 R+ U- s! A0 l# v
接着importrec会自动列出* w: I' u0 j* \2 }" S! k8 b( N- E

我们把深蓝色的字体  右键剪切无效的指针

最后，我们点“修理dump”- e# L5 U) ^, c+ o

选中我们的木马就可以了4 y  M, W  m) ~

最后我们要用到c32asm3 j) u: z) O0 f( ~8 s% G1 ]
, ?; u' v. _& j
我们会看到两个输入表，我们只要把原先的输入表全部填充为00就可以了。
: R8 w3 w) @- T  R1 X- c. y
这样做，只能过国产的杀软，外国的如卡巴就免杀不了（如果他的特征码在输入表的话）
' O1 m. M9 i" e7 Z% a
这里，我教大家一个方法，也是重建输入表，可以过卡巴，不过加了个小步骤，. ]. [' |2 A1 z- }9 D0 X- w

我们把马子拖入od的以后，打开了importrec1.63 H! C0 ~- G! z' D3 c$ n

在选项那里，选择根据序数建造输入表和创建新的IAT
7 [' f- c7 n/ V& j8 l
如图

以后的步骤照上面的方法继续就可以了
5 n; q7 N* r& h
不过此方法有个弊端就是，如果你在sp3下作的免杀生成的服务端会在sp2的系统下运行不了 L- k1 R- g* k) l
/ m1 I% q9 F6 C% d
因为kernel32.dll的大小不一样。$ P" `5 J; x5 {" Q6 ~

3.修改originalfirstthunk* l N+ ?- w/ ` X
6 [! ^. J. N2 y5 h9 n$ t- V; g
如图所示

$ `5 p  b/ O  h
7 W3 ?! ]) M; H" e5 p! l+ l. Q
我们打开loaderpe，依次点  目录--导入表（后面那个横线）

我们可以看到所有的dll，如图，我们假设杀软杀的是wininet.dll8 o- J' E5 P; F+ [
8 v( S4 H6 l! C8 ?
我们右键--编辑--把函数后两个00修改为FF

这样可以过小红伞查杀。  虽然会出现错误提示
4 {/ |' [. f: _0 M" x
但是不影响木马的功能，不影响上线。7 Y! G4 g" o0 v( e

4.dll后面加20 90法过卡巴查杀

需要的只是一个c32asm而已，非常简单但却非常有效$ {, O' V5 J4 W

如图/ M! T: i9 h0 V

我们可以看到，

在ntdll.dll后面有一个空格和一个问号对应的ascII码是20 90

这里假设卡巴杀的是ntdll。dll下的函数ZwUnmapViewOfSection5 P6 F* S3 G8 P! f
( e# @& q( A, R X" K8 R. ^& N
我们只需要在他的所属dll后面加个20 90就可以了2 i, w9 d! ]- i5 N2 R. y3 \

卡巴目前还不查杀此免杀方法/ ~5 y. ^3 m3 v3 ^* y J

唧唧歪歪这么多，打字有点累了

以后有新的免杀的方法我会继续公布的。暂时先写这么多吧。
1 [8 T) e( `# x- ]% Z) y$ x9 Q
[ 本帖最后由 1335csy 于 2009-3-31 11:35 编辑 ]

返回列表

[原创文章] 木马免杀之免杀输入表篇

[收藏此主题] [关注此主题的新回复]

[通过 QQ、MSN 分享给朋友]