|
|
楼主 |
发表于 2008-8-6 02:34:43
|
显示全部楼层
|阅读模式
来自 辽宁省大连市
如果你想学习免杀技术：
第一部分：基础的汇编语言
第二部分：修改工具（不指那些傻瓜式软件）。如：
OllyDbg . PEditor. C32ASM . MYCCL复合特征码定位器。UE .OC. 资源编辑器等。还有一些查壳 脱壳软件（如：PEID RL脱壳机等） . 以下是常用的几种免杀方法及工具：
一、要使一个木马免杀
首先要准备一个不加壳的木马，这点非常重要，否则 免杀操作就不能进行下去。然后我们要木马的内存免杀，从上面分析可以看出，目前的内存查杀，只有瑞星最强，其它杀毒软件内存查杀现在还不起作用所以我们只针对瑞星的内存查杀，要进行内存特征码的定位和修改，才能内存免杀。
二、对符其它的杀毒软件
比如江民，金山，诺顿，卡巴。我们可以采用下面的方法，或这些方面的组合使用。
1>.入口点加1免杀法。
2>.变化入口地址免杀法
3>.加花指令法免杀法
4>.加壳或加伪装壳免杀法。
5>.打乱壳的头文件免杀法。
6>.修改文件特征码免杀法。
第三部分：免杀技术实例演示部分
一、入口点加1免杀法：
1.用到工具：PEditor
2.特点：非常简单实用，但有时还会被卡巴查杀。
3.操作要点：用PEditor打开无壳木马程序，把原入口点加1即可。
二、变化入口地址免杀法：
1.用到工具：OllyDbg，PEditor
2.特点：操作也比较容易，而且免杀效果比入口点加1点要佳。
3.操作要点：用OD载入无壳的木马程序，把入口点的前二句移到零区域去执行，然后又跳回到入口点的下面第三句继续执行。最后用PEditor把入口点改成零区域的地址。
三、加花指令法免杀法：
1.用到工具：OllyDbg，PEditor
2.特点：免杀通用性非常好，加了花指令后，就基本达到大量杀毒软件的免杀。
3.操作要点：用OD打开无壳的木马程序，找到零区域，把我们准备好的花指令填进去填好后又跳回到入口点，保存好后，再用PEditor把入口点改成零区域处填入花指令的着地址。
四、加壳或加伪装壳免杀法：
1.用到工具：一些冷门壳，或加伪装壳的工具，比如木马彩衣等。
2.特点：操作简单化，但免杀的时间不长，可能很快被杀，也很难躲过卡巴的追杀。
3.操作要点：为了达到更好的免杀效果可采用多重加壳，或加了壳后在加伪装壳的免杀效果更佳。
五、打乱壳的头文件或壳中加花免杀法：
1.用到工具：秘密行动 ，UPX加壳工具。
2.特点：操作也是傻瓜化，免杀效果也正当不错，特别对卡巴的免杀效果非常好。
3.操作要点：首先一定要把没加过壳的木马程序用UPX加层壳，然后用秘密行动这款工具中的SCramble功能进行把UPX壳的头文件打乱，从而达到免杀效果。
六、修改文件特征码免杀法：
1.用到工具：特征码定位器，OllyDbg
2.特点：操作较复杂，要定位修改一系列过程，而且只针对每种杀毒软件的免杀，要达到多种杀毒软件的免杀，必需修改各种杀毒软件的特征码。但免杀效果好。
3.操作要点：对某种杀毒软件的特征码的定位到修改一系列慢长过程。
第四部分：快速定位与修改瑞星内存特征码
一、瑞星内存特征码特点：由于技术原因，目前瑞星的内存特征码在90%以上把字符串作为病毒特征码，这样对我们的定位和修改带来了方便。
二、定位与修改要点：
1>.首先用特征码定位器大致定位出瑞星内存特征码位置
2>.然后用UE打开，找到这个大致位置，看看，哪些方面对应的是字符串，用0替换后再用内存查杀进行查杀。直到找到内存特征码后，只要把字符串的大小写互换就能达到内存免杀效果。
第五部分：木马免杀综合方案
修改内存特征码——>1>入口点加1免杀法——> 1>加压缩壳——>1>再加壳或多重加壳
2>变化入口地址免杀法 2>加成僻壳 2>加壳的伪装。
3>加花指令法免杀法 3>打乱壳的头文件
4>修改文件特征码免杀法
注：这个方案可以任意组合各种不同的免杀方案。并达到各种不同的免杀效果。
第六部分：免杀方案实例演示部分
1.完全免杀方案一：
内存特征码修改 + 加UPX壳 + 秘密行动工具打乱UPX壳的头文件。
2.完全免杀方案二：
内存特征码修改 + 加压缩壳 + 加壳的伪装 ）
3.完全免杀方案三：
GD内存特征码修改 + 修改各种杀毒软件的文件特征码 + 加压缩壳
4.完全免杀方案四：
内存特征码修改 + 加花指令 + 加压壳
5.完全变态免杀方案五：
内存特征码修改 + 加花指令 + 入口点加1 + 加压缩壳UPX + 打乱壳的头文件
还有其它免杀方案可根据第五部分任意组合
免杀的操作顺序：
1.主动查找可能存在的特征码
2.用CCL等查找特征码，并将其更改
3.尽可能多的更改输入表函数
4.更改文件头
5.Vmportect区段加密
6.移动PE段的位置
7.加壳压缩
免杀分析：
一、主动查找可能的特征码
操作时注意：有关注册表、文件路径的信息最好只用大小写替换的方法，不要改成其他内容，那样容易出错。
优 点：可以防范未来将要出现的特征码，并且同时可以体验DIY的乐趣，顺便打造自己的“专用木马”。
不 足：无法进行有效的免杀，效果不明显。
成 功 率：几乎100%，只要不改错地方，一般更改后的程序完全可以正常运行。
二、尽量多的更改输入表函数
操作时注意：将输入表函数移动到新位置时，函数名的第一个字母最好在本行开头，另外注意地址的填写规律，不要弄错。
优 点：可以防范未来将要出现的特征码，给特征码的定位带来干扰。
不 足：无法进行有效的免杀，效果不明显。
成 功 率：只要操作上没问题，基本能保证90%以上！
三、用例如CCL等工具查找特征码并将特征码更改
操作时注意：此步骤最需要的就是耐心与细心！不能丢三落四，要及时做好备份，以防不测。
优 点：针对性非常强，免杀中最有效的方法之一。
不 足：只能针对一个杀毒软件进行免杀，无法针对多个杀毒软件进行作业，免杀文件的存活期短。另外，此方法也非常耗费时间。
成 功 率：理论上100%，主要看你的经验与编程、汇编的底子。不过其实只要有足够的经验与方法，成功率就异常可观了！
四、移动PE短位置
操作时注意：16近制的转换一定要细心，并且时刻不要忘了开头与结尾的位置。
优 点：可延长免杀期，时对付特征码在PE文件头部的必杀技！同时可以保护我们的免杀文件，其他人无法学走我们的免杀方法。
不 足：除加壳外，就无法在对木马文件做进一步加工了。
成 功 率：大约75%左右，不确定的因素太多……
五、更改文件头
操作时注意：删除部分信息时文件结构的变化。
优 点：比较节省时间，免杀效果也很明显，是免杀中的有效方法之一。
不 足：免杀时间不长。
成 功 率：大约80%左右。 |
|
发表于 2008-8-7 11:05:52
