何谓免杀

原创 2007年09月30日 14:13:00

3b68c957

免杀,顾名思义就是说避免被杀毒软件查杀!
免杀的方法也有很多种,针对不同的情况我们运用不同的免杀方法。
⒈文件免杀:加花/修改文件特征码/加壳/修改加壳后的文件。
⒉内存免杀:修改特征码。
⒊行为免杀。
现在我来揭开免杀神秘的面纱。(这里不对免杀做深入讨论,只对原理进行分析,毕竟这不是黑客教程)
加花
加花是病毒免杀的常用手段,加花原理就是通过添加加花指令(一些垃圾指令,类似加1减1之类的无用语句)让杀毒软件检测不到特征码。加花可以分为加区加花和去头加花。(只做了解,不做解释)
特征码修改
加花以后一些杀毒软件就认不出来了,但有些比较强的杀毒软件,像卡巴斯基这类,可能还是会被杀,这时就要定位特征码修改了,要修改特征码,就要先定位杀毒软件的病毒库所定位的特征码,这个有一定难度,特别是复合特征码的定位,但复合特征码虽然增加了定位特征码的难度,但复合特征码也有它的弱点,因为定义复合特征码需要单个特征码几倍的病毒库,不方便用户的病毒库升级,所以除了特别流行的病毒,杀毒软件厂商并没有做太多的复合特征码。
定位了特征码之后就应该修改特征码了,主要方法有两种:直接修改法,跳转修改法。
直接修改法利用的是等效指令替换,或者指令顺序的改变不影响执行的效果。还有一种是如果特征码是ASCll码,可以直接修改大小写,大写替换小写,小写替换大写。
跳转修改发比较简单,主要原理是把有特征码的那段NOP掉,然后把NOP掉的那段语句写入空白的0000区,在通过JMP跳转连接起来,让杀毒软件找不到特征码,从而达到免杀的目的。

加壳
加壳的原理是给原程序加上一段保护程序,有保护和加密功能,运行加壳后的文件先运行壳再运行真实文件,从而起到保护作用。

脱壳当然就是去掉保护程序




想要加壳后能达到免杀的效果

那就要加最新的免杀壳!!!! 

版权声明:本文为博主原创文章,未经博主允许不得转载。

相关文章推荐

定位免杀NOD32的一些经验

定位免杀NOD32的一些经验----collect dying site:http://www.idying.cn欢迎大家一起讨论先说下定位方法:1 NOD32不能正向定位的,定位出来也是不能修改的!...

安全漏洞--基于NDAY和0DAY漏洞免杀技巧

一 漏洞简介 漏洞开发者在利用0day和Nday时,除了在逃过windos的自身安全机制的基础上,不可避免的要接触到与杀软对抗的工作,就一般情况来看,如果针对特定的目标杀软还是有很大可能可以绕过,难点...
  • bjtbjt
  • bjtbjt
  • 2017-05-09 13:19
  • 1068

《黑客免杀攻防学习笔记》——PE文件结构1

文章中的图片大部分为自己做截屏,少量摘自网络,若有侵权请及时告知,我会尽快删除。转载请注明出处。 1.MS-DOS头          DOS头主要就是为了兼容之前的DOS操作系统,DOS头后...

免杀基础知识总结

最近研究木马免杀,先了解一下基础的免杀知识,看了《杀不死的秘密》、《黑客免杀攻防》等免杀书籍,发现都大同小异,基本内容都是一样的,找特征码,修改特征码....我认为免杀还是要针对杀毒软件的查杀特性来做...

shellter免杀技术实战

Shellter是一个开源的免杀工具,利用动态Shellcode注入来实现免杀的效果,想了解更多可以参考shellter官网:https://www.shellterproject.com/   ...

Python写黑客小工具,360免杀

构思: client:反向连接server,执行shell命令 server:发送命令,控制客户端 import subprocess import socket import thre...

介绍下加壳、脱壳以及如何病毒免杀技术与原理

介绍下加壳、脱壳以及如何病毒免杀技术与原理 在自然界中,我想大家对壳这东西应该都不会陌生了,由上述故事,我们也可见一斑。自然界中植物用它来保护种子,动物用它来保护身体等等。同样,在一些计算机软件...

《黑客免杀攻防学习笔记》——C++设计一个简单的壳1

本文中的代码均来自《黑客免杀攻防》,如要转载,需写明来源,请勿用于非法用途,作者对此文章中的代码造成的任何后果不负法律责任。 看了一遍书本的第11章,感觉内容确实比较高级,之前虽然自认为是热衷于搞C...

《黑客免杀攻防学习笔记》——C++设计一个简单的壳2

本文中的代码均来自《黑客免杀攻防》,如要转载,需写明来源,请勿用于非法用途,作者对此文章中的代码造成的任何后果不负法律责任。本文接上一篇简单的壳1. 2.加壳部分          写这个部分的时...

免杀学习经典技术知识总结

一.机械码,又称机器码.  ultraedit打开,编辑exe文件时你会看到  许许多多的由0,1,2,3,4,5,6,7,8,9,A,B,C,D,E,F组成的数码,这些数码  就是机器码.  ...
内容举报
返回顶部
收藏助手
不良信息举报
您举报文章:深度学习:神经网络中的前向传播和反向传播算法推导
举报原因:
原因补充:

(最多只允许输入30个字)