[原创文章] 木马免杀之免杀输入表篇

木马, 输入

最近和一位木马免杀牛人交流，感觉新增进不少，- O  Z+ U# H3 ~# [) f; C& ^2 K7 W
! n: d$ Z1 z" i) j$ E8 S$ O1 L
特拿来分享给大家。6 |/ V% N0 w7 l/ I# H

今天我们不提我们国产的那些杀软，真的垃圾的要死，* @  J' k( Q: q
& c2 n4 W6 O) c" q: n" m. Q
上次有位朋友叫我帮忙做上兴免杀过瑞星，说内存特征码定位在输入表4 K) J$ x/ C& C7 l

我简单的重建了输入表就把瑞星搞定了，6 Y7 K8 R0 l, |4 H9 {2 L
) n) ?( S8 Y' f
失去信心了。我曰7 X3 }" J1 A4 ?0 ^$ ~; P
4 k4 Z) a+ w6 `0 {2 e
今天我们说的是免杀输入表，以下是我的经验，也有牛人传授的免杀方法。! M8 T" [8 q+ y$ r3 F3 f' ^( Z3 R4 S
5 `( d. N; K; c' I  h
首先，大家要知道一点，国产的都没有高启发式扫描，瑞星，金山等都没有。

外国的，如nod32，卡巴，小红伞都有启发式扫描，尤其以卡巴的高启发式和他的2009主动防御难过。

高启发式扫描必然导致特殊的特征码，我建议新手朋友做卡巴等免杀的时候，先把启发式调到最低
3 a2 h- g! e! n7 a- X
过了以后再调到最高，再做免杀。
( m( [5 z) ]- E+ q
以上是废话，( ~2 ]- T4 n) O5 c

好了，下面我们来说下常见的免杀输入表方法。- a2 R; i+ z5 f) }& ]! `

一。移位法/ D$ {4 i" d3 Q6 }
+ h3 r. B8 A+ B, d' m2 r
这个已经过时了，我们的国产杀软及时的跟上了时代，

移位法在去年过金山和瑞星，还有江民都是可以过的，

现在的杀软智能化了，移位么？呵呵，追杀你。2 L8 g5 u" h; I% I! K5 S6 e

如果你想了解怎么个移位法，去百度搜吧，大堆的老教程等你看。0 A1 A- p5 w) s$ u8 Y

二，重建输入表: k3 Y5 w: A/ Y, w8 k  I; {, P( M5 ?- o
# u- y7 ~  g- ~& M3 P# \
效果不错，这里说下，简单的重建输入表，还是可以过我们的国产杀软的，外国的就不行啦。哈哈  d& L' |. ?* C: V. W% N+ G, q! E& R

这里我介绍下，. v4 q5 f5 m: H! W) f) K& F: \+ \  N

用到工具：
importrec1.6
od
c32asm# ?; q3 C( F% }) f0 p. ]2 O& l
loaderpe
这里我们简单的介绍下，如何重建输入表

首先吧文件拖入od，打开inportrec1.6

如图选择拖入od的程序，. {2 h% Q8 c8 C  ]; |* y

0 H2 N3 k% X9 p& n3 S  D
7 m9 C" C8 h/ r
这个时候，我们打开loaderpe，3 s: u1 V! U6 X! n$ S+ |% E5 ?

拖入我们的木马
" |5 p  u& C8 l
选择目录，" R& ^3 ?' D  r3 m  s

我们看到导入表这里。。。4 E/ @1 D  \! @  r
1 G% H1 |( T, z" I* q# }% \4 K& Z4 r
如图：

: ~5 _0 r1 I. r+ |& ]1 g

RVA地址是0001D000  大小是0000154C* H5 |% a0 i  M, O% [6 I

好的，我们把这两个输入到import1.6里去
% G. n# e# {- P. s3 B- {  D
就是在“加载树文件”那上面一点 7 |, O* O$ ]( L) Q7 v8 m& t& W

输入RVA的地址和大小。* v" }- M9 H: l; M8 c+ ]/ v
* i" G5 H" m, [* y9 E# E8 [
点击“获得输入表”5 ?' b  R$ b! ^! g

然后点击“显示无效的”

接着importrec会自动列出

我们把深蓝色的字体  右键剪切无效的指针

: \" r- C) I! Z7 F8 Y% j
最后，我们点“修理dump”" N2 t$ S  D* T& p( s
, H3 L! f$ y: P: ]- w& ~
选中我们的木马就可以了
/ F; z$ O$ }; u
最后我们要用到c32asm
4 j' M# v+ G8 u. D& N
我们会看到两个输入表，我们只要把原先的输入表全部填充为00就可以了。* F+ @$ r/ H, ^* n9 |1 z
( c, X8 [& d0 _8 \2 F
这样做，只能过国产的杀软，外国的如卡巴就免杀不了（如果他的特征码在输入表的话）& D, M8 Y; K8 y; b

这里，我教大家一个方法，也是重建输入表，可以过卡巴，不过加了个小步骤，

我们把马子拖入od的以后，打开了importrec1.66 l* J$ l4 S# }6 ^% b
" I# v7 r1 S8 ^0 }. V- r1 h
在选项那里，选择根据序数建造输入表和创建新的IAT

如图

以后的步骤照上面的方法继续就可以了) C8 W% N' ?# A* J
% d) H9 s) p1 W' s
不过此方法有个弊端就是，如果你在sp3下作的免杀生成的服务端会在sp2的系统下运行不了' f; I/ F+ w/ ^' H. Y) D+ x

因为kernel32.dll的大小不一样。! {7 f/ |7 x5 {) x* q% t7 H0 U
7 r' K5 d( U0 a5 U6 v* X5 e; P$ A
3.修改originalfirstthunk! p. Y. q6 ~5 @- ^8 R
' ~8 p2 H: C" b0 M: o8 b
如图所示

我们打开loaderpe，依次点  目录--导入表（后面那个横线）

我们可以看到所有的dll，如图，我们假设杀软杀的是wininet.dll( p! p. M0 E. N  t' @: b! A
0 @. V; m+ \) g7 y; F" t- w
我们右键--编辑--把函数后两个00修改为FF0 K+ n7 ^7 T; j4 u# s- b

这样可以过小红伞查杀。  虽然会出现错误提示/ \- l* k1 x3 j* X9 [* X
+ s  @) T3 s/ j2 S3 i: P
但是不影响木马的功能，不影响上线。% m/ `1 F; ^' D" [

4.dll后面加20 90法过卡巴查杀
- a0 }9 \$ w6 U0 x4 V
需要的只是一个c32asm而已，非常简单但却非常有效
4 m% h8 i/ h& L  v7 q& R- e
如图
. o1 R8 l8 b- ^1 ?

我们可以看到，

在ntdll.dll后面有一个空格和一个问号对应的ascII码是20 90+ l+ n. E) Q3 [4 C
2 m" F* a  l! M6 B
这里假设卡巴杀的是ntdll。dll下的函数ZwUnmapViewOfSection

我们只需要在他的所属dll后面加个20 90就可以了) v- J' f$ ?1 i- W
5 l9 p: D# g9 D6 b8 @
卡巴目前还不查杀此免杀方法4 Y8 ^9 M  O8 x# _' A" D! h
% x' U) a7 m: E9 \% V4 h
" c+ t7 e: K9 c& {/ D
唧唧歪歪这么多，打字有点累了8 Z4 U- C  i: C- B- Y+ @

以后有新的免杀的方法我会继续公布的。暂时先写这么多吧。& T2 {; L+ _) e6 Y( ]  f/ L/ q$ \
+ b2 I9 u: {. Q
[ 本帖最后由 1335csy 于 2009-3-31 11:35 编辑 ]

返回列表

[原创文章] 木马免杀之免杀输入表篇

[收藏此主题] [关注此主题的新回复]

[通过 QQ、MSN 分享给朋友]