[原创文章] 木马免杀之免杀输入表篇

木马, 输入

最近和一位木马免杀牛人交流，感觉新增进不少，. Z7 k9 r7 ~( n. G

特拿来分享给大家。. }% w) [0 F* Q- U- l8 C7 a

今天我们不提我们国产的那些杀软，真的垃圾的要死，2 }/ L* h' Z5 O# L& d& |
4 l$ @; }& J+ t4 U& W
上次有位朋友叫我帮忙做上兴免杀过瑞星，说内存特征码定位在输入表
: P) ]* A# m7 N
我简单的重建了输入表就把瑞星搞定了，( M( s. g. _2 |8 L# [0 R
5 B& V/ ^8 y# |. g
失去信心了。我曰0 T. q. ^; s' g7 d$ D
. I1 I% H" s, j8 _
今天我们说的是免杀输入表，以下是我的经验，也有牛人传授的免杀方法。
% f0 D' ^1 Z0 p! q
首先，大家要知道一点，国产的都没有高启发式扫描，瑞星，金山等都没有。. c: ~) O) _- @ ]9 _. G) ?
/ S, m" V0 y% N
外国的，如nod32，卡巴，小红伞都有启发式扫描，尤其以卡巴的高启发式和他的2009主动防御难过。
, g/ v' j9 [0 O1 s
高启发式扫描必然导致特殊的特征码，我建议新手朋友做卡巴等免杀的时候，先把启发式调到最低6 I7 Z* f% g! v- I

过了以后再调到最高，再做免杀。) o) c$ D3 ?* N' |2 [
/ b% G( \5 A( m5 W5 l
以上是废话，
- j# z9 t4 t) O- O% Q2 N3 X' b4 [
好了，下面我们来说下常见的免杀输入表方法。
1 N1 d8 h$ e% x
一。移位法( S$ A/ o3 a. O# j1 K8 \( z
/ }# q+ p( C! m; v$ ^: }9 u3 @
这个已经过时了，我们的国产杀软及时的跟上了时代，

移位法在去年过金山和瑞星，还有江民都是可以过的，+ V9 O/ k. T0 X% _: J

现在的杀软智能化了，移位么？呵呵，追杀你。' q8 m) m( I. q2 e0 Z
3 o, s( N, Y5 M# ~
如果你想了解怎么个移位法，去百度搜吧，大堆的老教程等你看。

二，重建输入表
2 _. b' M( S3 ^4 m, t
效果不错，这里说下，简单的重建输入表，还是可以过我们的国产杀软的，外国的就不行啦。哈哈" H7 \* n" m$ l9 a/ o9 f; E/ N1 u

这里我介绍下，" R& W% a" o7 V7 z7 z6 R( x& R

用到工具：
importrec1.6
od
c32asm
loaderpe
这里我们简单的介绍下，如何重建输入表6 {( i/ j. F4 f3 T

首先吧文件拖入od，打开inportrec1.62 A4 o9 R2 {4 _9 u
1 y; Z0 G! r# ^/ ]6 v
如图选择拖入od的程序，% {- e& h/ C. w2 j' a6 N, b* Y$ A

+ u1 f9 V/ u- h0 T' j7 J) c

这个时候，我们打开loaderpe，# ^% N9 U7 L! `" j! Y" W8 Z

拖入我们的木马# O# Z. x1 o/ z) N. t, A
/ p0 I0 V- f! X4 H1 u
选择目录，0 d/ V9 g: \' y7 u. Y

我们看到导入表这里。。。' H8 |5 W8 N7 }0 L- v- J

如图：( f, v3 @. A" z' v

2 t" b# w* ^, s/ X  ^. q$ J
RVA地址是0001D000  大小是0000154C+ N0 f$ R+ A9 o+ g' K

好的，我们把这两个输入到import1.6里去1 f  `+ |: f. V) g  @0 r) ?
) Q4 o6 `( Z) d; ]7 Y/ j
就是在“加载树文件”那上面一点
# T6 u. e, M- Z" L% P
输入RVA的地址和大小。  m( y( R. u2 B: |1 F

点击“获得输入表”' R* E8 o$ e8 Y/ Q$ X! q. `

然后点击“显示无效的”

接着importrec会自动列出
+ c0 }/ B" H. f$ y. U# w
我们把深蓝色的字体  右键剪切无效的指针/ ~& m4 M+ F4 j% o' @
4 [6 |1 }& J" R9 q3 n2 g3 ~: J& G
" E  |2 i- S( i7 c
最后，我们点“修理dump”( S2 K  d+ Q! Y% w+ o; o' b

选中我们的木马就可以了% s+ U# v0 E% O& j' Z/ n, {

最后我们要用到c32asm

我们会看到两个输入表，我们只要把原先的输入表全部填充为00就可以了。

这样做，只能过国产的杀软，外国的如卡巴就免杀不了（如果他的特征码在输入表的话）) g  @7 l# W5 ~! {) E

这里，我教大家一个方法，也是重建输入表，可以过卡巴，不过加了个小步骤，
6 F% f9 D$ S. J$ X0 V9 k
我们把马子拖入od的以后，打开了importrec1.62 t: C# ~  B: H1 u2 o7 z

在选项那里，选择根据序数建造输入表和创建新的IAT3 i, S' l. r# q# X3 Z( y1 Y+ ~! L9 I
+ G. q3 b8 D9 `1 [" ?
如图% `. P# A! S; M6 m' x0 V

以后的步骤照上面的方法继续就可以了
" O& ]) N( d; j+ X
不过此方法有个弊端就是，如果你在sp3下作的免杀生成的服务端会在sp2的系统下运行不了1 K/ T8 g' f2 g' A% V

因为kernel32.dll的大小不一样。. I- y Y+ U$ i$ S/ U4 ~, P% y

3.修改originalfirstthunk# Q8 D1 M+ v9 P0 I3 k# `2 ]

如图所示/ D$ {1 r4 c! t+ N9 m1 j

+ L, z. V& L! J1 Q3 U
+ g) g! }$ S% t3 F
我们打开loaderpe，依次点  目录--导入表（后面那个横线）
% p1 h9 }9 X8 ]
我们可以看到所有的dll，如图，我们假设杀软杀的是wininet.dll! @- J  I: M' h. F
0 A, M5 t7 a6 E
我们右键--编辑--把函数后两个00修改为FF2 \. x0 ^, q/ ~

这样可以过小红伞查杀。  虽然会出现错误提示

但是不影响木马的功能，不影响上线。

4.dll后面加20 90法过卡巴查杀
" `( T5 {9 Z2 |, H3 L
需要的只是一个c32asm而已，非常简单但却非常有效

如图
3 K' B4 E% F. n' D/ Q7 \8 d

7 o/ O. V3 \2 i2 q) Y. G( ^! l+ D( W
2 j9 v" J- ^7 s) t9 r
我们可以看到，
* T) n& L- ^* Y2 ~! g; l# O# W8 b
在ntdll.dll后面有一个空格和一个问号对应的ascII码是20 901 Z  r, D! ?3 Q+ G
+ `" m, Y! M3 K" K5 H
这里假设卡巴杀的是ntdll。dll下的函数ZwUnmapViewOfSection

我们只需要在他的所属dll后面加个20 90就可以了
5 J* t* ?+ a  C  r1 C4 Z" W! L
卡巴目前还不查杀此免杀方法& q9 C/ j  ]: F4 w5 ~# {' c& W+ |( B- T
) B5 P  K% t- a" A: |# s% e

唧唧歪歪这么多，打字有点累了
6 O( B$ V2 H6 R) \
以后有新的免杀的方法我会继续公布的。暂时先写这么多吧。4 P$ F0 z$ B6 n( K# L6 o
+ B! R" g: t. E! G7 p' K
[ 本帖最后由 1335csy 于 2009-3-31 11:35 编辑 ]

返回列表

[原创文章] 木马免杀之免杀输入表篇

[收藏此主题] [关注此主题的新回复]

[通过 QQ、MSN 分享给朋友]