[原创文章] 木马免杀之免杀输入表篇

木马, 输入

最近和一位木马免杀牛人交流，感觉新增进不少，

特拿来分享给大家。% J- y( d# R( g: i* J5 i
  g* r: T- @% j5 B# X* Z+ ?
今天我们不提我们国产的那些杀软，真的垃圾的要死，

上次有位朋友叫我帮忙做上兴免杀过瑞星，说内存特征码定位在输入表, K  f5 [/ r9 |5 O
1 U6 {" r! }7 O$ o
我简单的重建了输入表就把瑞星搞定了，
- ~. n- {7 T* O, U% z/ x5 t: t! p
失去信心了。我曰6 ?1 l- Y& D) b7 M  B7 r7 I2 J8 x

今天我们说的是免杀输入表，以下是我的经验，也有牛人传授的免杀方法。

首先，大家要知道一点，国产的都没有高启发式扫描，瑞星，金山等都没有。
- r4 E: L6 p0 x; [/ q# Q
外国的，如nod32，卡巴，小红伞都有启发式扫描，尤其以卡巴的高启发式和他的2009主动防御难过。+ c: u$ r. B+ t. s
# ^  m% P2 i  S+ _
高启发式扫描必然导致特殊的特征码，我建议新手朋友做卡巴等免杀的时候，先把启发式调到最低

过了以后再调到最高，再做免杀。

以上是废话，( m2 ^" t# V2 \; {& e5 s- k7 @

好了，下面我们来说下常见的免杀输入表方法。" |  r/ ?/ _* Y

一。移位法: _7 r- |8 y. E$ s" X  I" O3 n
. ?& K7 x4 s* z( `4 I% ]
这个已经过时了，我们的国产杀软及时的跟上了时代，

移位法在去年过金山和瑞星，还有江民都是可以过的，
& [, c; Z: {' \
现在的杀软智能化了，移位么？呵呵，追杀你。% m. U- v/ v  H8 b- J

如果你想了解怎么个移位法，去百度搜吧，大堆的老教程等你看。

二，重建输入表( o! x8 P$ o2 m; B3 g6 E

效果不错，这里说下，简单的重建输入表，还是可以过我们的国产杀软的，外国的就不行啦。哈哈8 H; I+ @0 s+ q* c
$ l  s. h' I% r  u- o4 w* U6 [
这里我介绍下，0 f! j1 Y9 _- p+ [+ I0 |/ J

用到工具：, w0 H7 V  Q: U# U
importrec1.6
od
c32asm
loaderpe
这里我们简单的介绍下，如何重建输入表1 I& ~) N( u* A; g) n1 M
2 k' L6 m+ Q. V+ y
首先吧文件拖入od，打开inportrec1.6

如图选择拖入od的程序，; o+ H$ k* H6 F7 y2 b

这个时候，我们打开loaderpe，+ J  ^& j  U9 {( M" D; W2 W

拖入我们的木马) X$ T( k" Y# q2 }
% ~* R6 W4 o( q& X7 C# \: B4 |* C3 \
选择目录，+ H# {2 `  Y0 \6 g; k5 F8 v
1 V, |( h$ O  I( c
我们看到导入表这里。。。3 W$ P/ V1 [) C; E& Q

如图：9 Z. j7 h7 @4 C, A; i8 o

  g4 u: d. o: {* l

RVA地址是0001D000  大小是0000154C
% f% Z! C6 |( R
好的，我们把这两个输入到import1.6里去+ c" W0 U. j* a0 y) t8 ^: |& ?

就是在“加载树文件”那上面一点 + T. }, C( t( s/ V4 Q3 S

输入RVA的地址和大小。
$ X/ t& l$ U1 }: z: A  T
点击“获得输入表”

然后点击“显示无效的”. o4 N* v) D4 v8 `5 `! |

接着importrec会自动列出% e7 W) J. T2 p$ A- y; F
! V9 \# }% \* ^- B; N6 s* G
我们把深蓝色的字体  右键剪切无效的指针7 P0 I& A% z6 m0 u$ u
7 m, k, n! M) F0 ]% ]3 A9 F
' T: H7 i6 r1 Z) \# G
最后，我们点“修理dump”

选中我们的木马就可以了
- O5 l) B0 O6 T( V
最后我们要用到c32asm

我们会看到两个输入表，我们只要把原先的输入表全部填充为00就可以了。4 |  n5 l! @* F+ Q0 B- z8 G4 i
' H1 _) N8 X1 B: m1 s8 ~( N
这样做，只能过国产的杀软，外国的如卡巴就免杀不了（如果他的特征码在输入表的话）5 Q% o6 o* Y) L/ B( C

这里，我教大家一个方法，也是重建输入表，可以过卡巴，不过加了个小步骤，

我们把马子拖入od的以后，打开了importrec1.68 L- [; u& W2 V" `

在选项那里，选择根据序数建造输入表和创建新的IAT
! a: u! K4 n3 o2 N0 {% y5 K
如图  r6 |' H5 h+ M3 H2 j& q

' r9 u) X6 _) E& }9 ?
' p. r; e. N2 e& X0 b0 E2 U, i
以后的步骤照上面的方法继续就可以了
0 x# f7 u# R S% j) T
不过此方法有个弊端就是，如果你在sp3下作的免杀生成的服务端会在sp2的系统下运行不了
& p' q/ O& N6 p' F( Z
因为kernel32.dll的大小不一样。, y1 H" N0 |5 l& @8 R# ?" l- W
: V3 I. W% m; C% ^- `: M: _
3.修改originalfirstthunk/ W. G" I( d5 ~2 N8 ~4 o# d2 T
0 ^/ [4 _. }& e' Z3 g) y" O
如图所示

4 ?& [0 X$ r) D9 w
1 e' V' o4 K! q( q+ N8 c7 ]
我们打开loaderpe，依次点  目录--导入表（后面那个横线）

我们可以看到所有的dll，如图，我们假设杀软杀的是wininet.dll2 F1 R. B3 }! }* C2 }' b

我们右键--编辑--把函数后两个00修改为FF
' v; T3 d& o# q
这样可以过小红伞查杀。  虽然会出现错误提示! S2 @7 W# h0 H0 e1 l
' \9 a! p) U  u2 M) M( i
但是不影响木马的功能，不影响上线。( C2 F2 `  u7 l& M7 F
  ?2 D- ^9 Y; @0 r  |
4.dll后面加20 90法过卡巴查杀
6 }  r9 c# p* `8 N/ z1 S: {
需要的只是一个c32asm而已，非常简单但却非常有效

如图
0 N: d" s5 u6 d6 A

% M% ~+ h4 o5 \1 T- l
4 }* ^8 f# _* [) G
我们可以看到，

在ntdll.dll后面有一个空格和一个问号对应的ascII码是20 90, c$ ^# ^; Z. p2 P; V
/ Z9 d$ B9 x% R; T" S' `
这里假设卡巴杀的是ntdll。dll下的函数ZwUnmapViewOfSection
1 C! w/ N8 _3 G' N2 e
我们只需要在他的所属dll后面加个20 90就可以了  |/ h7 I2 p8 }, U0 X4 S
. v6 S% [+ X4 \/ k' @
卡巴目前还不查杀此免杀方法

  k  N7 n9 f5 t
唧唧歪歪这么多，打字有点累了

以后有新的免杀的方法我会继续公布的。暂时先写这么多吧。
8 `+ W0 \$ y/ j4 L. B  I
[ 本帖最后由 1335csy 于 2009-3-31 11:35 编辑 ]

返回列表

[原创文章] 木马免杀之免杀输入表篇

[收藏此主题] [关注此主题的新回复]

[通过 QQ、MSN 分享给朋友]