[原创文章] 木马免杀之免杀输入表篇

木马, 输入

最近和一位木马免杀牛人交流，感觉新增进不少，, C: k0 B. F8 k7 h

特拿来分享给大家。0 k/ q- ?. P+ H3 h

今天我们不提我们国产的那些杀软，真的垃圾的要死，, K1 F0 g2 r8 P9 w0 x6 V
. L0 Q$ r" I$ l. S6 w
上次有位朋友叫我帮忙做上兴免杀过瑞星，说内存特征码定位在输入表/ K( B  w" Z0 w' l1 f8 e, a
5 D# Q* A( ^3 h
我简单的重建了输入表就把瑞星搞定了，3 p2 y& Y2 n. A

失去信心了。我曰! @. C' i: E& r6 a5 @& T
( P0 Q( r- ^; |$ v6 x; T( _* _
今天我们说的是免杀输入表，以下是我的经验，也有牛人传授的免杀方法。3 f& a& s$ S6 l- D

首先，大家要知道一点，国产的都没有高启发式扫描，瑞星，金山等都没有。
, f7 J6 |6 x: I7 W4 r! M9 |2 B
外国的，如nod32，卡巴，小红伞都有启发式扫描，尤其以卡巴的高启发式和他的2009主动防御难过。
; I% Y. H' D( m- P$ \) ]
高启发式扫描必然导致特殊的特征码，我建议新手朋友做卡巴等免杀的时候，先把启发式调到最低
- I  h/ [0 ]" L) H! [+ ~# \
过了以后再调到最高，再做免杀。' {7 U, @( ?! u" s4 _
! _0 \: w1 q' m8 q$ {+ H; Y0 P
以上是废话，
! ~) p& }3 b2 \* F* g, _7 I2 |
好了，下面我们来说下常见的免杀输入表方法。5 Z8 T- v5 u2 Q& I' O

一。移位法
. b& {1 V! H, z5 e* i* W+ J) k
这个已经过时了，我们的国产杀软及时的跟上了时代，, V* C  ~5 a: E! A, S  \

移位法在去年过金山和瑞星，还有江民都是可以过的，$ X# T$ A% B' G+ ?9 n
$ G. z2 D: e! F9 s2 F
现在的杀软智能化了，移位么？呵呵，追杀你。

如果你想了解怎么个移位法，去百度搜吧，大堆的老教程等你看。, z& H' c3 c+ I* m; [# N5 `
# i& V7 r% Y; k5 a3 h& H- Q9 o
二，重建输入表1 d" D1 u, a" n: R6 E3 Q

效果不错，这里说下，简单的重建输入表，还是可以过我们的国产杀软的，外国的就不行啦。哈哈" a1 `8 h& V4 t: d

这里我介绍下，
5 a' |% T" T" I
用到工具：! U: w. K$ g1 P  ^- y* B2 l2 H
importrec1.6: L! |+ d- V5 D( u# u. l
od
c32asm
loaderpe8 k/ E, f8 V1 A; |% U: q' ~* k) n
这里我们简单的介绍下，如何重建输入表

首先吧文件拖入od，打开inportrec1.6

如图选择拖入od的程序，

s5 Q$ [1 @- f# ?' ?

这个时候，我们打开loaderpe，

拖入我们的木马# k/ `% R8 b+ f+ C% G+ {/ z

选择目录，

我们看到导入表这里。。。

如图：+ K9 ~/ J& ~- L! r# c, i9 [: ~

9 i, B5 j! x9 V# R6 [* }/ D
RVA地址是0001D000  大小是0000154C
9 F5 b# b. N0 r5 a: r
好的，我们把这两个输入到import1.6里去" K" d- K1 S/ N& g

就是在“加载树文件”那上面一点

输入RVA的地址和大小。) F5 W' w4 |: s* j# x
) c* V6 d3 N! b  W! X
点击“获得输入表”

然后点击“显示无效的”
8 p+ h2 }# e/ L1 B9 j
接着importrec会自动列出
# Q( k+ `5 V) g$ m' M
我们把深蓝色的字体  右键剪切无效的指针

最后，我们点“修理dump”
% F5 C# A& A4 l. |- w- ]
选中我们的木马就可以了: {& T; P* y2 `6 u& r

最后我们要用到c32asm

我们会看到两个输入表，我们只要把原先的输入表全部填充为00就可以了。

这样做，只能过国产的杀软，外国的如卡巴就免杀不了（如果他的特征码在输入表的话）
2 b/ Q$ m9 F* z3 ~
这里，我教大家一个方法，也是重建输入表，可以过卡巴，不过加了个小步骤，" s% a2 O; q5 p5 j+ c5 G

我们把马子拖入od的以后，打开了importrec1.6

在选项那里，选择根据序数建造输入表和创建新的IAT

如图, l* @! x6 s- S( l& B. g6 A

) H& e( X1 a) N8 E5 |

以后的步骤照上面的方法继续就可以了
' L; Q7 M& p& V4 O- _: s" {
不过此方法有个弊端就是，如果你在sp3下作的免杀生成的服务端会在sp2的系统下运行不了2 u5 Z6 \) n# q% j+ r1 }
2 v, r, _) I8 m+ y* f3 u0 o( \
因为kernel32.dll的大小不一样。& o% S# d' C4 w' ]; s+ C, C

3.修改originalfirstthunk, `" ^* o( o& M# r/ ~

如图所示0 q+ J* T( [* I+ t6 l+ z

6 I; z8 C2 \# g3 I5 [+ G1 N: y' M
我们打开loaderpe，依次点  目录--导入表（后面那个横线）

我们可以看到所有的dll，如图，我们假设杀软杀的是wininet.dll6 Z! g. f0 I6 J6 L6 b, \- u9 [% ]

我们右键--编辑--把函数后两个00修改为FF7 z! M  J8 ^4 l6 v6 E6 }
+ ~0 }" N0 o8 D: E
这样可以过小红伞查杀。  虽然会出现错误提示
: N- J) Y1 J! z; e! k5 F. U  T
但是不影响木马的功能，不影响上线。

4.dll后面加20 90法过卡巴查杀, L# F5 g2 s" p4 \" ?1 @

需要的只是一个c32asm而已，非常简单但却非常有效; b; @0 J" L" l& }
3 C: A4 k% @9 T
如图3 ^& c1 l9 Z0 g" E
* B" q% e0 R  R" t( |) E

+ `# l$ p5 B3 V; w

我们可以看到，
2 M0 {$ j  g6 v: X5 f) B9 E0 v
在ntdll.dll后面有一个空格和一个问号对应的ascII码是20 90

这里假设卡巴杀的是ntdll。dll下的函数ZwUnmapViewOfSection  A# o3 {+ i- J. k8 V) A
- X7 d( _5 f$ A; `( N8 g
我们只需要在他的所属dll后面加个20 90就可以了

卡巴目前还不查杀此免杀方法
" m. }4 d' L2 z1 C

唧唧歪歪这么多，打字有点累了  N1 r+ [2 F& f2 a1 ]
5 t+ S$ _+ D9 y' w! J
以后有新的免杀的方法我会继续公布的。暂时先写这么多吧。
6 Z: D  C9 o0 _6 E& j7 E
[ 本帖最后由 1335csy 于 2009-3-31 11:35 编辑 ]

返回列表

[原创文章] 木马免杀之免杀输入表篇

[收藏此主题] [关注此主题的新回复]

[通过 QQ、MSN 分享给朋友]