[原创文章] 木马免杀之免杀输入表篇

木马, 输入

最近和一位木马免杀牛人交流，感觉新增进不少，
: v6 t, p5 g' K7 X% U; ~
特拿来分享给大家。
% E, W, x) o: u+ w+ b
今天我们不提我们国产的那些杀软，真的垃圾的要死，

上次有位朋友叫我帮忙做上兴免杀过瑞星，说内存特征码定位在输入表5 O4 P5 q- e) ~& ^; U
$ `8 [6 V  o! K
我简单的重建了输入表就把瑞星搞定了，. j  t* |9 ?# s$ c: }4 {

失去信心了。我曰% }, f4 f1 r! ?
' j: _$ E' G( s
今天我们说的是免杀输入表，以下是我的经验，也有牛人传授的免杀方法。* |: ^) }) [: S3 f& \1 q: f1 Q
$ c' n; L5 c2 L' N9 j1 A4 u8 y
首先，大家要知道一点，国产的都没有高启发式扫描，瑞星，金山等都没有。
; E" X# Z+ A; u! _, `; N" t- n, R
外国的，如nod32，卡巴，小红伞都有启发式扫描，尤其以卡巴的高启发式和他的2009主动防御难过。
3 b( a  V2 N, V6 o3 j
高启发式扫描必然导致特殊的特征码，我建议新手朋友做卡巴等免杀的时候，先把启发式调到最低& A; K( M% _7 E+ s6 p) b

过了以后再调到最高，再做免杀。
: {5 _( x) w; D3 k" ?
以上是废话，
3 X  U" Y6 }' J, E
好了，下面我们来说下常见的免杀输入表方法。5 Y7 I, N: D1 K# k5 V6 V: M

一。移位法& T4 L7 q) B9 Z8 X. Z5 E' z

这个已经过时了，我们的国产杀软及时的跟上了时代，

移位法在去年过金山和瑞星，还有江民都是可以过的，

现在的杀软智能化了，移位么？呵呵，追杀你。

如果你想了解怎么个移位法，去百度搜吧，大堆的老教程等你看。

二，重建输入表
4 U7 H6 z! S9 {! G" r
效果不错，这里说下，简单的重建输入表，还是可以过我们的国产杀软的，外国的就不行啦。哈哈

这里我介绍下，& y/ w  O/ Y. ~! J/ ~7 R
; N% g7 W' U' l* t
用到工具：: W  a( C+ E5 [: U/ S- l: Q, ?
importrec1.6
od0 v7 ]4 p  Y3 S4 A: P
c32asm3 \8 R7 ]2 Q! q; U+ L
loaderpe
这里我们简单的介绍下，如何重建输入表

首先吧文件拖入od，打开inportrec1.6  ]; a. C* l$ Z( i; o6 A5 L
) u" S+ ^3 b! u" i
如图选择拖入od的程序，; r* e4 U8 h4 y* q% X) n& U

- B3 Y5 J$ o2 U# b: C# P/ w

这个时候，我们打开loaderpe，

拖入我们的木马

选择目录，
' d/ N8 P6 ?$ X3 p5 I
我们看到导入表这里。。。
J* X; P( d. g* ^* k5 L- _9 o
如图：

" a* ]( n  z+ I$ o  N6 a4 V) F( V

RVA地址是0001D000  大小是0000154C  g9 D  h. J& W2 |. g

好的，我们把这两个输入到import1.6里去
9 F3 P' ~- r: p2 r) h. q
就是在“加载树文件”那上面一点 % j* ]5 |% p- a  w. Y! M
3 n# H* w) T3 @- g% {4 D, l
输入RVA的地址和大小。$ y9 n  f+ T$ `( B

点击“获得输入表”9 \4 n& Y% Y0 `0 Y' y* O
% z7 N. |4 F& A  F, I$ Y9 v
然后点击“显示无效的”

接着importrec会自动列出- S) R# S* k! U7 f% E
+ F: g9 A! U1 J5 K; F$ N
我们把深蓝色的字体  右键剪切无效的指针
. d: i4 T; ]$ B$ M
* J1 K$ R! q7 o: P4 A0 B3 @
最后，我们点“修理dump”5 `. C) U3 i7 C7 O
% \$ a0 M' o; S4 r5 \5 _3 ]
选中我们的木马就可以了- d3 |# o: G: N2 k* \/ ]

最后我们要用到c32asm
: ~" p' `7 v% i4 I" B3 [8 _
我们会看到两个输入表，我们只要把原先的输入表全部填充为00就可以了。
4 y* ^, |, t% F# u
这样做，只能过国产的杀软，外国的如卡巴就免杀不了（如果他的特征码在输入表的话）( v8 A6 [0 A" h& i/ @* H, Z

这里，我教大家一个方法，也是重建输入表，可以过卡巴，不过加了个小步骤，
% q& f  ^  I/ v7 W, z, t/ I
我们把马子拖入od的以后，打开了importrec1.6; H( W2 s' Z, T7 A- C

在选项那里，选择根据序数建造输入表和创建新的IAT6 O2 z/ Y; @% i

如图! N8 \" M1 u( B3 c6 D6 E9 z5 ~

# N( C4 i2 I$ a) \& N4 M, q
% U% |9 M' W7 N2 Y; Q; |
以后的步骤照上面的方法继续就可以了
( F. l$ }7 |1 `  W" V3 o9 N# t
不过此方法有个弊端就是，如果你在sp3下作的免杀  生成的服务端会在sp2的系统下运行不了
% S! @  v, I7 v: D1 s7 q* e2 J* n
因为kernel32.dll的大小不一样。. u- {' S% s1 u' t5 B

3.修改originalfirstthunk2 z! |* V; u2 e0 O
9 @1 H2 d+ q1 C" G& n, P
如图所示0 e, D8 h/ C6 j# b# S/ x# z

1 X7 g- f$ @' j* {
: B0 N$ q" V8 w& Z
我们打开loaderpe，依次点  目录--导入表（后面那个横线）: m) \9 q4 G( A* {& {  g, N
: N6 [* h4 x3 G5 k6 E4 k
我们可以看到所有的dll，如图，我们假设杀软杀的是wininet.dll3 C6 ~$ o+ {3 D, D( Y
% G( ?: p8 P4 g1 T# Z
我们右键--编辑--把函数后两个00修改为FF
1 R) f, s; e$ d
这样可以过小红伞查杀。  虽然会出现错误提示4 |+ P2 u9 t) v5 Y
. [  k: d) A6 h# E; t+ L0 {8 j  g
但是不影响木马的功能，不影响上线。2 v+ m" t' D! c7 H4 T+ D+ @* w0 `

4.dll后面加20 90法过卡巴查杀

需要的只是一个c32asm而已，非常简单但却非常有效

如图

4 v0 b* C3 Z- `9 J
# s I0 }3 \5 V* }% A+ S) Y5 w$ x
我们可以看到，
- v; H; v; b# u
在ntdll.dll后面有一个空格和一个问号对应的ascII码是20 90

这里假设卡巴杀的是ntdll。dll下的函数ZwUnmapViewOfSection
4 S0 i9 r/ ?1 i
我们只需要在他的所属dll后面加个20 90就可以了

卡巴目前还不查杀此免杀方法) G% {) n7 L+ K3 o9 [& H& o

9 a' L/ z! Q( }* W
唧唧歪歪这么多，打字有点累了$ k- E: p/ I/ I) q) o! x

以后有新的免杀的方法我会继续公布的。暂时先写这么多吧。 ]7 y/ X. \' H+ C% i- [
( u, V7 a" z. }) X2 z2 M8 Z
[ 本帖最后由 1335csy 于 2009-3-31 11:35 编辑 ]

返回列表

[原创文章] 木马免杀之免杀输入表篇

[收藏此主题] [关注此主题的新回复]

[通过 QQ、MSN 分享给朋友]