针对〖输入表〗的免杀方法

针对〖输入表〗的免杀方法

输入

现在很多杀毒软件把木马的特征码定位在程序的输入表，代表：NOD32，瑞星。以黑仿鸽子为例 瑞星有两处内存特征码定位在输入表上，那么我们应该怎样修改呢？ 修改输入表是今年才被广泛应用的新技术，我知道的修改输入表的方法有4种。 1， 移位法。    用到的工具是C32，和LORDPE。   这个很简单，就是移动特征码的位置，但是从今年下半年起，这种方法对瑞星已经失效了。 2： 调换法    注意：长度大小必须要一样。    这种方法对NOD32 和小红伞 这两款世界出名杀毒软件的效果还不错。。利用C32上下调换输入表的位置，大家不要仅仅局限在 紧接着的上下两行调换。。。打个比方 有4行代码， 你不仅仅可以2，3行互换，你同样可以1，4行互换，只要这些代码是输入表，并且长度一样就没什么问题。 3， 指针修改法    其实就是移位法的变通，不同的是移位法是在用LORDPE改，而指针修改法是用OD把程序载入内存，找到特征码的文件偏移，然后再用C32修改。。 4， 重建输入表 用到的工具有OD   C32 Import Fix   LordPE    1．首先我们OD载入鸽子的服务端，目的使服务端载入计算机内存，然后打开ImportREC 1.6，找到鸽子服务端的程序，选中它。打开PEID载入服务端，我们找到子系统打开后面的大于号   。找到输入表信息： 000A8000   000033A2，把这2个地址分别输入到ImportREC 1.6的RAV和大小里面，然后点击获得输入表按健，获得输入表后我们继续点击显示无效的，在找到的输入函数栏里我们任意选种一个点击右健选择[删除指针]，继续我们选择[修理DUMP]出现一个提示框选择我们鸽子的服务端，系统自动生 成一个新的输入表服务端，但是这个服务端包括2个输入表，我们把原来的输入表删除了，使用我们新建的输入表。我们继续用OD载入鸽子新生成的服务端，点击 OD里的M健（内存影射），我们可以看到地址004C2000为我们新建的输入表，.IDATA 段地址004A8000是以前输入表的地址，我们找到它，去头去尾00填充掉，目的是把特征码定位在此处的信息删除掉（去除老的输入表）然后保存。此方法 对于特征码定位在输入表的免杀效果不错，大家可以尝试一下。 注意：在填充原输入表时，填0的原则是能把特征码填掉就好，鸽子的IDATA段还有别的信息.不要从头一下拉到尾整个就给填0了,这样运行会出错，我们选中间的大部分数据填0,就保证程序既能正常运行,而且特征码被填掉，大家多试一两次就可以了。 只要是特征码定位在输入表上，重建输入表这种方法基本都可以躲过，但其实个人并不提倡重建输入表，因为重建输入表后，对程序以后的加密有一定影响。。这真的是很矛盾，一方面它免杀效果好，另一方面却并不是自己想看到的，真是鱼与熊掌不可兼得。。

<script> <!-- function copyUrl(url){ var content=''; window.clipboardData.setData("Text",url); alert("复制成功,请粘贴到你的QQ/MSN上推荐给你的好友,会员奖励盟豆"); }//--> </script>