|
 
- 帖子
- 143
- 积分
- 419
- 威望
- 415
- 金钱
- 446
- 在线时间
- 65 小时
     
|
原创作者：1335csy [3.A.S.T]
8 m' J# e! ^5 G
5 i% Y |& L) g/ V信息来源：3.A.S.T网络安全团队 （ www.3ast.com.cn ）) [4 i3 U8 E2 }7 v
9 z% F: G1 r& B, M9 t来了3AST很久了 也没有写上什么有点价值的帖子，今天这个帖子算是抛砖引玉吧。。
* a y( Q. a% O2 e8 O) V* T$ Q
2 H) e4 E! f- W/ j免杀也弄了有点时间了。。现在分享下我的经验。
, [8 S6 I& j$ F$ \8 O7 q9 s" B& ]* `$ F2 |
首先建议新手朋友要学会定位表面特征码和内存特征码（定位方法有细微差别）
: u9 l- _7 `- m$ K$ s
2 B$ z( }# j3 h修改特征码还是要学习的。毕竟现在依靠特征码查杀仍是杀软的主要途径之一。
5 | e. Y) s( c: }" _6 p' J2 @7 _
/ h7 j6 q4 L2 v: b& y1 ?, k第二个是要学会写自己的花指令，不要以为免杀怎么难，多么难，只要你会一点基本的汇编，
) Y% w0 k2 x7 ~3 {' x Y
: A( Y1 x9 \7 `' a; X再多翻几下8088汇编速查手册。我相信基本的木马免杀是难不倒你的。………^_^。
/ n: _ C6 s H2 y2 K! @! I, a4 W' _
L+ Q; y0 _2 E: t j很多新手朋友曾经都这么问，什么是花指令？所谓花指令，就是一些，没有用的指令，
: |8 a/ S: H- g/ l) k! |2 _5 `) v% t: d) d0 f* b2 o
其作用是干扰杀软的查杀，写花指令最重要的是维持堆栈的平衡，很简单。
. Q0 s, `- A. Q. ?
5 P: A! U' }; T/ @( D6 q顺便说下，花指令对卡巴有特效，但是并不意味着，一个花指令就可以把卡巴斯基搞定。
4 y4 ?) ?! _9 h2 e. f) M/ s! d" v3 O; z: X
对付卡巴斯基， 需要多种方法结合， 壳上加花和修改文件入口点以及去头加花一般免杀效果是非常好的。7 @) k1 v; H( c" @, r+ A& i
9 L, q6 h+ `& c% R, k
对于瑞星么。我个人还是建议修改特征码。尤其是内存特征码的时候，修改特征码对付他效果好，
( K% I- X3 W% l1 g3 y0 r4 n. g/ L+ |4 D; ~
对了，花指令对瑞星不是很管用。8 c0 W, e2 C& K+ n, C
/ o1 I! w5 M$ m* n0 L) Q c) Q* b
+ h! A, R1 ?. p q1 t2 K
做过NOD32免杀的朋友都知道，NOD32的特征码经常定位在输入表上。
9 ^8 d3 ~2 W* l9 ~! z% d% o/ @$ U- K1 b' }$ L# Z4 c6 @
我们怎么看一个杀软定位特征码是在输入表上呢？很简单 你把定位出来的特征码放在C32ASM里面看。
' E3 s; Z) w0 `4 m0 a
" z+ S! \' y B+ K3 q对应的ANSI字符是在一些什么DLL后面 或者一大连串的字母后面 这样的多半是输入表了。
# X& Y' d! b( l4 ~7 ^1 ^0 _4 r+ F4 f5 k* k+ F' h1 b6 C
输入表的免杀是非常重要的一课。
3 k7 Z6 D& n% Y E
2 M- O+ b5 q# m' A/ y常见方法 有移位法。上下互换法。以及重建输入表法。
" N* W$ S. e1 {3 ?% {
& u; }) O; x/ R2 _) z移位法就是 把我们的特征码那一DLL往前移动一位或者往后移动一位。再用LOADPE来修改输入表。
) C! s$ W6 w- ~, \+ j% y
1 ?) O, [8 T' I* ?6 x9 N上下互换法则是再找一个和我们特征码那一个同样字节的字符串 互换一下。 但不是通常都有用。
: d5 t/ X$ i! ?
1 T& i" o5 o# Y6 {重建输入表则是免杀输入表效果最好的了。 一般的木马都只有一个输入表。
, t4 }- e" R/ H. b4 [' u; B) ^
2 p. p9 t% o9 D& W3 I, |0 O我们利用ImportREC来帮我们的木马重建一个新的输入表 把旧的输入表删除。。4 H, s s% ^& n
7 E- ^- n& j, s4 K* E9 T这样免杀的效果不错。。。
% A9 c# a% x) Y# v0 _9 c E* K" q8 W. Q8 f% }
关于免杀也就这些了，这也是个老生常谈的话题了。说来说去无非也就那几个方法。( `' C' n' V+ [# V; g1 |! Z
' h( n" g- s1 u$ O c
什么入口点加1啊，区段加花啊 。。修改区段名字啊 。。。& Z8 X, K4 p. }' J' {9 N9 V
! Q+ t* \( C3 A v大家多多了解下， 免杀不是很难的事。。
* D; m; J9 b- \! z% d3 D5 r" w; K" Z' I& ^
此文仅写给新手朋友一看。。老鸟飘过。。 |
-
1
评分人数
-
|
发表于 2009-2-16 20:17
| 
发表于 2009-2-16 22:44
| 
