木马免杀入门第一篇

博主： Yozz
发布时间：2021 年 02 月 23 日
1188 次浏览
暂无评论
2205字数
分类：病毒木马

恶意软件逃过杀毒软件检测称为：免杀

什么是免杀>>：点击查看

本期来对后门.exe：进行免杀

免杀方法：特征码
杀毒软件：火绒
所需工具：WinHEX，特征码定位器

什么是特征码>>点击查看

简单点说：一个木马程序有固定得函数入口,或者调用函数比如Main
假设Main为该木马某个功能函数，那么杀毒分析人员会将该Main函数纳入特征码到云病毒库样本

当扫描一个文件发现有Main字符则判断为木马程序，这就是特征码了

火绒病毒库：2021.2.22

这里不提供木马跟工具，仅提供思路

话不多说上木马
木马：test.exe
直接报毒

来定位下被报毒得特征码
用到特征码定位器
木马文件拖入特征码定位器

生成文件，生成出20个文件，扫描这20个文件，3个文件报毒
把报毒文件一键处理删除，并检查特征码
出现特征码偏移地址：000377A9

处理木马文件

打开WinHEX载入木马文件
并跳转到特征码偏移地址:000377A9
这里从A0段开始

特征码定位器并不是精确定位到点，特征码定位器定位长度偏移得设置好

得到了一个大致特征码位置,我们再手动删除过滤精确

根据定位器设置结束位置是：00041400

可以判断为000377A9 x 00041400

也就是在这偏移地址之间有特征码

知道在这之间有特征码后，从000377A9偏移开始，后面开始选择删除，保存文件
不断精确过滤，删除一些再保存，扫描文件看是否报毒

最后在00038E00位置出现被报毒得特征码
Unicode字符编码为：sitemanager.xml
看样子是个.xml 文件

看如下图

开始免杀

可以直改000，若不想改0 那就+1或-1，或者字串符大小写混合

我这里用+1-1法，看如下图对比
没修改前：

修改之后

总之就是让被检测得字串符，删除或者混淆
前提是修改后程序还能运行

火绒成功免杀

成功免杀，后门上线

总结

总之就是让被检测得字串符，删除或者混淆
前提是修改后程序还能运行

最后修改：2021 年 07 月 28 日

© 允许规范转载

如果觉得我的文章对你有用，请随意赞赏

发表评论取消回复

评论 *

私密评论

名称 *

🎲

邮箱 *

地址

智
该评论仅登录用户及评论双方可见
1
1
asd
hello
asf
adf
jenkes
安卓10 以上打不开，怎么解决？

木马免杀入门第一篇

Yozz • 2021 年 02 月 23 日

<p><strong>恶意软件逃过杀毒软件检测称为：<code>免杀</code></strong></p><h2>什么是免杀&gt;&gt;：<span class="external-link"><a class="no-external-link" href="https://baike.baidu.com/item/%E5%85%8D%E6%9D%80" target="_blank"><i data-feather="external-link"></i>点击查看</a></span></h2><p><strong>本期来对<code>后门.exe</code>：进行免杀</strong></p><ol><li>免杀方法：特征码</li><li>杀毒软件：火绒</li><li>所需工具：WinHEX，特征码定位器</li></ol><h2>什么是特征码&gt;&gt;<span class="external-link"><a class="no-external-link" href="https://baike.baidu.com/item/%E7%89%B9%E5%BE%81%E7%A0%81" target="_blank"><i data-feather="external-link"></i>点击查看</a></span></h2><p>简单点说：一个木马程序有固定得函数入口,或者调用函数 比如Main<br>假设Main为该木马某个功能函数，那么杀毒分析人员会将该Main函数 纳入特征码到云病毒库样本</p><p>当扫描一个文件发现有Main字符则判断为木马程序，这就是特征码了</p><p>火绒病毒库：2021.2.22<br><img src="https://www.nstns.com/usr/uploads/2021/02/2903563029.png" alt="Anti-Virus-1.PNG" title="Anti-Virus-1.PNG"style=""></p><hr><p><strong>这里不提供木马跟工具，<code>仅提供思路</code></strong></p><p><strong>话不多说上木马</strong><br><strong>木马：<code>test.exe</code></strong><br><strong>直接报毒</strong><br><img src="https://www.nstns.com/usr/uploads/2021/02/618590245.png" alt="Anti-Virus-1-1.PNG" title="Anti-Virus-1-1.PNG"style=""></p><hr><p><strong>来定位下被报毒得特征码</strong><br><code>用到特征码定位器</code><br><strong>木马文件拖入特征码定位器</strong></p><p><strong>生成文件，生成出<code>20</code>个文件，扫描这<code>20</code>个文件，<code>3</code>个文件报毒</strong><br><strong>把报毒文件一键处理删除，并检查特征码</strong><br><strong>出现特征码偏移地址：<code>000377A9</code></strong><br><img src="https://www.nstns.com/usr/uploads/2021/02/3243874194.png" alt="Anti-Virus-1-2.PNG" title="Anti-Virus-1-2.PNG"style=""></p><h2>处理木马文件</h2><p><strong>打开<code>WinHEX</code>载入木马文件</strong><br><strong>并跳转到特征码偏移地址:<code>000377A9</code></strong><br>这里从<code>A0</code>段开始</p><p><strong>特征码定位器并不是精确定位到点，特征码定位器定位长度偏移得设置好</strong></p><p><strong>得到了一个大致特征码位置,我们再<code>手动删除过滤精确</code></strong></p><p><img src="https://www.nstns.com/usr/uploads/2021/02/3054159954.png" alt="Anti-Virus-1-3.PNG" title="Anti-Virus-1-3.PNG"style=""></p><p><strong>根据定位器设置 结束位置是：<code>00041400</code></strong></p><p><strong>可以判断为<code>000377A9</code> x <code>00041400</code> </strong></p><p><strong>也就是在这偏移地址之间有特征码</strong></p><p><img src="https://www.nstns.com/usr/uploads/2021/02/3830250283.png" alt="Anti-Virus-1-4.PNG" title="Anti-Virus-1-4.PNG"style=""></p><p><strong>知道在这之间有特征码后，从<code>000377A9</code>偏移开始，后面开始选择删除，保存文件</strong><br><strong>不断精确过滤，删除一些再保存，扫描文件看是否报毒</strong></p><p><strong>最后在<code>00038E00</code>位置出现被报毒得特征码</strong><br><strong>Unicode字符编码为：<code>sitemanager.xml</code></strong><br>看样子是个.xml 文件 </p><p>看如下图</p><p><img src="https://www.nstns.com/usr/uploads/2021/02/3933663653.png" alt="Anti-Virus-1-5.PNG" title="Anti-Virus-1-5.PNG"style=""></p><hr><h2>开始免杀</h2><p><strong><code>可以直改000，若不想改0 那就+1或-1，或者字串符大小写混合</code></strong></p><p><strong>我这里用+1-1法，看如下图对比</strong><br><strong>没修改前</strong>：<img src="https://www.nstns.com/usr/uploads/2021/02/425969457.png" alt="Anti-Virus-1-7.PNG" title="Anti-Virus-1-7.PNG"style=""></p><p><strong>修改之后</strong><br><img src="https://www.nstns.com/usr/uploads/2021/02/2768028271.png" alt="Anti-Virus-1-6.PNG" title="Anti-Virus-1-6.PNG"style=""></p><p><strong><code>总之就是让被检测得字串符，删除或者混淆</code></strong><br><strong><code>前提是修改后程序还能运行</code></strong></p><h2>火绒成功免杀</h2><p><strong>成功免杀，后门上线</strong></p><p><img src="https://www.nstns.com/usr/uploads/2021/02/923915787.png" alt="Anti-Virus-1-8.PNG" title="Anti-Virus-1-8.PNG"style=""></p><h2>总结</h2><p><strong><code>总之就是让被检测得字串符，删除或者混淆</code></strong><br><strong><code>前提是修改后程序还能运行</code></strong></p>

Title - Artist

0:00