[原创文章] 木马免杀之免杀输入表篇

木马, 输入

最近和一位木马免杀牛人交流，感觉新增进不少，, h* a9 B2 P1 ?- H+ s

特拿来分享给大家。/ w* o& ~, B( e5 a

今天我们不提我们国产的那些杀软，真的垃圾的要死，3 h' N; U6 x* s$ Q! a1 w( O
/ m7 x6 @% H& f" N; `# I/ y" o
上次有位朋友叫我帮忙做上兴免杀过瑞星，说内存特征码定位在输入表3 j; z( C; l2 k6 U  O& g, m
& Z2 F  b% T+ b3 v6 w/ Z
我简单的重建了输入表就把瑞星搞定了，
/ y3 F7 t8 [+ E. {% E
失去信心了。我曰

今天我们说的是免杀输入表，以下是我的经验，也有牛人传授的免杀方法。
; w+ ~0 s7 @' l! R0 M
首先，大家要知道一点，国产的都没有高启发式扫描，瑞星，金山等都没有。" w# Q" ?+ v7 k" c

外国的，如nod32，卡巴，小红伞都有启发式扫描，尤其以卡巴的高启发式和他的2009主动防御难过。. a+ P8 x: E  n7 ]# Z: ~0 u4 ?
9 v( q* X) u( X( O/ g
高启发式扫描必然导致特殊的特征码，我建议新手朋友做卡巴等免杀的时候，先把启发式调到最低. [6 u7 C1 Q$ K, F
$ y% d2 y$ B9 e9 X" H. h, q4 X
过了以后再调到最高，再做免杀。2 L& C2 i- k) ]

以上是废话，8 s& e& ~4 S/ M0 L! s
- t- C" G; |' i+ v% t  m
好了，下面我们来说下常见的免杀输入表方法。
9 C4 Z! h5 o+ c/ x& h, w/ S
一。移位法* D! u$ a( y! P  _0 c3 {) ^
/ A* G5 [+ M. A
这个已经过时了，我们的国产杀软及时的跟上了时代，
! s. b: c( u# ]! s1 o0 s
移位法在去年过金山和瑞星，还有江民都是可以过的，) ]9 N# u5 T1 {. |& ]
- U0 |$ _; n3 b) ?) w2 Y  T
现在的杀软智能化了，移位么？呵呵，追杀你。/ D: u5 t6 W' _+ U4 K" [
) ~* T/ t; G  I& D( W2 s  D6 O# y
如果你想了解怎么个移位法，去百度搜吧，大堆的老教程等你看。5 K, G- J7 o: g8 d! _+ |3 |

二，重建输入表6 h9 C: c  k  K* s  X5 |! C0 E* n

效果不错，这里说下，简单的重建输入表，还是可以过我们的国产杀软的，外国的就不行啦。哈哈. r: `5 c8 a2 j/ Z  v# x/ Z

这里我介绍下，
) E: P% N' i5 D8 G' Q
用到工具：5 R' E! u" k; h2 s
importrec1.6" R, K! T+ V3 L- D" i0 ^
od
c32asm
loaderpe
这里我们简单的介绍下，如何重建输入表
, t# ]. i( Q- M. F" [1 T. t+ r1 Q
首先吧文件拖入od，打开inportrec1.6

如图选择拖入od的程序，6 h. Z" ]' o+ ]+ T3 J& W. I

( w" A4 S; h2 s; w1 y" D+ @* c' ~

这个时候，我们打开loaderpe，

拖入我们的木马
* Q c Y5 [( f' ]8 T1 [
选择目录，( U7 ^9 K* R( U; `$ |6 V$ Z
8 ^ i& U$ l5 P) x" @. C
我们看到导入表这里。。。
& p# c" O( H6 K) ^; Q+ v
如图：

1 h& q1 L( p5 D
RVA地址是0001D000  大小是0000154C

好的，我们把这两个输入到import1.6里去2 F3 v; o/ x# t

就是在“加载树文件”那上面一点 $ Y' j, }. ^6 L" J( `! U* P
  Q  |+ Y; V4 A5 m4 I: J6 Q
输入RVA的地址和大小。
& }9 W; r( x6 J0 A
点击“获得输入表”
9 s4 w1 P" C# N
然后点击“显示无效的”

接着importrec会自动列出  L2 y( z# A( \9 W" R5 Q' A, H! q
7 ^% M. s. y- A6 G- ~3 T& e2 r
我们把深蓝色的字体  右键剪切无效的指针3 T' n6 r2 m' w# B1 a4 Y7 Z) @2 _

7 y4 T+ e: N" B7 c8 W
最后，我们点“修理dump”; I- G3 ?) x+ u/ J1 B4 X9 c
2 {- g( l: n: Z
选中我们的木马就可以了
5 r* U' f) s1 {6 R8 d6 k
最后我们要用到c32asm
. d7 d' @7 K0 P1 T: g* T% ?
我们会看到两个输入表，我们只要把原先的输入表全部填充为00就可以了。

这样做，只能过国产的杀软，外国的如卡巴就免杀不了（如果他的特征码在输入表的话）

这里，我教大家一个方法，也是重建输入表，可以过卡巴，不过加了个小步骤，
6 q9 S* x! E- N" {3 R, o! ~4 n( u4 [
我们把马子拖入od的以后，打开了importrec1.6
( y. m$ p; R1 Y0 q4 {2 Y' D) g
在选项那里，选择根据序数建造输入表和创建新的IAT

如图

以后的步骤照上面的方法继续就可以了% n: o9 S4 m: D+ x/ Z4 n
7 @5 e! x F& L K# S
不过此方法有个弊端就是，如果你在sp3下作的免杀生成的服务端会在sp2的系统下运行不了

因为kernel32.dll的大小不一样。

3.修改originalfirstthunk
7 s0 T0 O( P, V& a$ v. K
如图所示! Y( J5 m" G8 r- D6 x

我们打开loaderpe，依次点目录--导入表（后面那个横线）

我们可以看到所有的dll，如图，我们假设杀软杀的是wininet.dll

我们右键--编辑--把函数后两个00修改为FF6 K' `) b5 @! _* |2 b8 N

这样可以过小红伞查杀。虽然会出现错误提示, l8 `" w, D- [$ u# O9 v' r. Q

但是不影响木马的功能，不影响上线。

4.dll后面加20 90法过卡巴查杀
! B( c# e# h. f8 B2 I. \
需要的只是一个c32asm而已，非常简单但却非常有效
( J2 U9 v& F$ n$ ~6 O' s( A
如图

( n# a2 c! X2 Z7 N

我们可以看到，4 q% h4 x. A! v2 Z: j8 I7 r3 B7 K

在ntdll.dll后面有一个空格和一个问号对应的ascII码是20 908 w, d' f) S% Y8 r6 A6 s! F& i, F, s

这里假设卡巴杀的是ntdll。dll下的函数ZwUnmapViewOfSection
0 }% l. N" a, n. S/ U
我们只需要在他的所属dll后面加个20 90就可以了
$ r" M% q" e4 p( n. z
卡巴目前还不查杀此免杀方法' ?! u- P j( ?2 [) z7 {

+ V C" x p2 X" k7 M% p
唧唧歪歪这么多，打字有点累了

以后有新的免杀的方法我会继续公布的。暂时先写这么多吧。

[ 本帖最后由 1335csy 于 2009-3-31 11:35 编辑 ]

返回列表

[原创文章] 木马免杀之免杀输入表篇

[收藏此主题] [关注此主题的新回复]

[通过 QQ、MSN 分享给朋友]