|
 
- 帖子
- 143
- 积分
- 419
- 威望
- 415
- 金钱
- 446
- 在线时间
- 65 小时
     
|
原创作者：1335csy [3.A.S.T]4 s$ c7 S) U+ z8 ^4 E1 ~, E
- [3 R) R# o' k/ ]& y2 o
信息来源：3.A.S.T网络安全团队 （ www.3ast.com.cn ）
) T! x1 }# Q8 a/ y1 A0 o7 T3 p4 w" z) d! K# U
来了3AST很久了 也没有写上什么有点价值的帖子，今天这个帖子算是抛砖引玉吧。。
" J2 Q) k7 u8 N7 f1 A& g" ?: F9 a0 [% `
免杀也弄了有点时间了。。现在分享下我的经验。6 W- w! t: f' `
- b! G9 d& @) C3 L s8 X% E1 i首先建议新手朋友要学会定位表面特征码和内存特征码（定位方法有细微差别）% B+ Z: z& O! G( b
( x3 G3 H# c. l. u0 l, x. y修改特征码还是要学习的。毕竟现在依靠特征码查杀仍是杀软的主要途径之一。
3 l7 ?( R$ D0 @% y/ D. v6 y7 O8 P0 d5 C: a
第二个是要学会写自己的花指令，不要以为免杀怎么难，多么难，只要你会一点基本的汇编，
% O0 f7 ^, [. Z/ Z* S: G7 V( Y% r+ L1 F
再多翻几下8088汇编速查手册。我相信基本的木马免杀是难不倒你的。………^_^。
7 z$ x# U- l" x8 s! |& `% s: V8 z- d# a( R1 `
很多新手朋友曾经都这么问，什么是花指令？所谓花指令，就是一些，没有用的指令，: s4 P$ v( z+ c0 Q1 }' l/ x% [" h& f, p
8 u/ y5 c. O5 @/ L7 O( _1 f% G其作用是干扰杀软的查杀，写花指令最重要的是维持堆栈的平衡，很简单。
% d% V4 U9 y7 n. u/ `/ F- U7 a* F6 a3 v m4 S
顺便说下，花指令对卡巴有特效，但是并不意味着，一个花指令就可以把卡巴斯基搞定。
& E6 f" ~3 p& e6 B; s& C1 a* R
2 ~2 o/ O6 h+ V% K对付卡巴斯基， 需要多种方法结合， 壳上加花和修改文件入口点以及去头加花一般免杀效果是非常好的。: h) `% i% H- }% m" A9 {
/ S7 Z9 _, y% u. J5 T对于瑞星么。我个人还是建议修改特征码。尤其是内存特征码的时候，修改特征码对付他效果好，
- ~8 K/ }& x1 a' Z) j+ B% M+ f9 k9 S3 b
# l, b) @7 d6 C' p- c1 ~: b对了，花指令对瑞星不是很管用。
. O0 E) S. N5 k2 \* N0 n9 I. l5 I5 K2 `3 J3 Z `: e: M( }
5 Y8 X; {7 @4 B; w" A( G
做过NOD32免杀的朋友都知道，NOD32的特征码经常定位在输入表上。
$ R1 c; c5 K: r0 \( _
2 Z! M/ u5 ?- y$ }) o2 A' x$ F3 f我们怎么看一个杀软定位特征码是在输入表上呢？很简单 你把定位出来的特征码放在C32ASM里面看。
; u$ D8 H9 d$ w8 U1 @! {+ v+ D% R5 X9 Q, b
对应的ANSI字符是在一些什么DLL后面 或者一大连串的字母后面 这样的多半是输入表了。! |/ [. {2 ~6 T8 M o
! l/ G. l [: z8 x, e @8 R输入表的免杀是非常重要的一课。 - H" n$ t; k, h2 t/ T' B7 f
/ n7 n. m; x! h ~# t q+ f/ t8 r/ M7 j
常见方法 有移位法。上下互换法。以及重建输入表法。
$ \6 B1 y7 M% w$ p2 R) ^
; v6 F- D6 y* e* n `3 L移位法就是 把我们的特征码那一DLL往前移动一位或者往后移动一位。再用LOADPE来修改输入表。
/ j" R/ ?) {7 f, y7 A5 x4 a
7 i9 z8 C+ G* W& K& h; a上下互换法则是再找一个和我们特征码那一个同样字节的字符串 互换一下。 但不是通常都有用。. K0 O9 I, j/ U$ `4 q8 K
# I7 R' v5 i( |& H3 d1 L8 j
重建输入表则是免杀输入表效果最好的了。 一般的木马都只有一个输入表。* @9 |% g: `$ \4 {
5 e& X- Q! J; {' c8 I我们利用ImportREC来帮我们的木马重建一个新的输入表 把旧的输入表删除。。0 `& g' X0 z: z4 E
8 M7 k6 f0 T" O$ {, W; }& X这样免杀的效果不错。。。3 I: h3 E/ `/ _" t) q P
$ o9 k% r. \( p2 Y- A$ W) t
关于免杀也就这些了，这也是个老生常谈的话题了。说来说去无非也就那几个方法。
- l: j0 D% e1 q4 u( ]) ]% R& \
) v& h% Z- ]- z" I什么入口点加1啊，区段加花啊 。。修改区段名字啊 。。。5 p6 J/ _; I( r; i& I) Y* E
2 Q% p! S/ O" u0 d大家多多了解下， 免杀不是很难的事。。
$ W4 K2 U A3 \2 X3 C. |3 s. ?7 t- h( [
此文仅写给新手朋友一看。。老鸟飘过。。 |
-
1
评分人数
-
|
发表于 2009-2-16 20:17
| 
发表于 2009-2-16 22:44
| 
