黑客免杀攻防+代码_黑客免杀攻防 pdf

文章目录：

• 1、如何让木马达到免杀效果
• 2、如何免杀卡巴2010的主动防御？
• 3、免杀有几种方法

如何让木马达到免杀效果

现在的杀毒软件对任何病毒的查杀，都是建立在拥有该病毒的特征码的基础上的。黑客为了让木马程序不被杀毒软件查杀，会通过各种方法对它进行修改或伪装，也就是进行免杀处理。 目前常见的免杀方法有加壳、加花(指令)、修改特征码、变换入口点、入口点加密等。同时当前主流的杀毒软件都采用了复合特征码，因此很多时候通过一种方法很难达到免杀效果，这时需要几种方法配合才能起到免杀效果。 实战程序免杀 一、免杀从程序内部开始 准备好我们要免杀的黑客程序。首先进行加密处理，运行加密程序MaskPE，它是一款自动修改PE文件的软件，可以将程序原有的源代码打乱，这样就能生成免杀的木马或病毒。 点击“Load File”按钮选择免杀程序，在“Select Information”列表中任意选择一项，最后点击“Make File”按钮，在弹出的窗口中对加密的文件进行另存即可。 二、花指令迷惑杀毒软件 运行“超级加花器”，这是一款全新的加花程序。首先将服务端程序直接拖动到程序的主界面进行释放，接着在“花指令”下拉列表中选择一种花指令，单击“加花”按钮后就可以了。这样，一段花指令就被成功地添加到黑客程序代码的最前面，那些从文件头提取特征码的杀毒软件也就无能为力了。 三、加壳阻止杀毒软件分析 然后进行加壳处理，这样可以阻止杀毒软件将获取的源代码和特征码进行比对。运行Private exe Protector这款加壳程序，在出现的“应用程序”列表中设置需要免杀的黑客程序。再将下面“设置”选项中将“动态保护”勾选上，最后点击工具栏中的“开始保护”按钮即可马上进行加壳处理。 四、改入口点防特征码对比 最后进行更改入口点的处理，它的目的和加壳处理相似，就是让杀毒软件无法从黑客程序的入口点来获取源代码。运行PEditor这款软件修改程序，点击“浏览”按钮选择黑客程序，找到“入口点”这个信息选项，接着在原来的数值的基础上加上1，接着点击“应用更改”按钮就可以完成刚才的设置确认。 当黑客程序进行完免杀处理以后，首先要使用多款杀毒软件对它进行杀毒检测，没有安装杀毒软件的用户也可以通过一个多引擎样本查毒网站进行检测。 如果已经不被杀毒软件所查杀了，还要在本地测试经过免杀处理后的程序是否能正常的运行。只有进行了这一系列测试以后，才能确定该黑客程序是否免杀成功。

如何免杀卡巴2010的主动防御？

过卡巴主防，可以通过加生僻的数字签名实现。

或生成木马时，不要选插入进程的选项。释放启动木马通过编写批处理完成。基本上就能过卡巴主防了。

免杀有几种方法

特征码修改包括文件特征码修改和内存特征码修改，因为这二种特征码的修改方法

是通用的。所以就对目前流行的特征码修改方法作个总节。

方法一:直接修改特征码的十六进制法

1.修改方法:把特征码所对应的十六进制改成数字差1或差不多的十六进制.

2.适用范围:一定要精确定位特征码所对应的十六进制,修改后一定要测试一下能

否正常使用.

方法二:修改字符串大小写法

1.修改方法:把特征码所对应的内容是字符串的,只要把大小字互换一下就可以了.

2.适用范围:特征码所对应的内容必需是字符串,否则不能成功.

方法三:等价替换法

1.修改方法:把特征码所对应的汇编指令命令中替换成功能类拟的指令.

2.适用范围:特征码中必需有可以替换的汇编指令.比如JN,JNE 换成JMP等.

如果和我一样对汇编不懂的可以去查查8080汇编手册.

方法四:指令顺序调换法

1.修改方法:把具有特征码的代码顺序互换一下.

2.适用范围:具有一定的局限性,代码互换后要不能影响程序的正常执行

方法五:通用跳转法

1.修改方法:把特征码移到零区域(指代码的空隙处),然后一个JMP又跳回来执行.

2.适用范围:没有什么条件,是通用的改法,强烈建议大家要掌握这种改法.

文件免杀方法：

1.加冷门壳

2.加花指令

3.改程序入口点

4.改木马文件特征码的5种常用方法

5.还有其它的几种免杀修改技巧

内存免杀方法：

修改内存特征码：

方法1直接修改特征码的十六进制法

方法2修改字符串大小写法

方法3等价替换法

方法4指令顺序调换法

方法5通用跳转法

木马的免杀[学用CLL定位文件和内存特怔码]

1.首先我们来看下什么叫文件特征码.

一般我们可以这样认为，一个木马程序在不运行的情况下，用杀毒软件查杀，若报警为病毒，说明存在该查毒软件的文件特征码的。

2.特征码的二种定位方法.

手动定位和自动定位

3.文件特征码的定位技巧.

通常用手动确定大范围，用自动精确定位小范围.

下面分别用瑞星和卡巴为例，实例演示并结合手动定位和自动定位二种方法来准确定位文件特征码。要定位的对像以下载者为例。

用卡巴来定位文件特征码

⑴.手动定位：

1 打开CLL

2 选择设置中的 总体参数 ，，，，，选中文件特征码手动定位，，，，以及路径

3选中设置中的 手动参数，，，，，选择替换方式 选中，，，总共生成规定个数的文件，，，生成个数为1000

4选择文件中的 特征码检测，，文件特征码检测，，，打开程序（要定位特证码的程序）

5在弹出的PE窗口中 直接点确定 ，之后弹出的窗口在点确定

6然后等CLL生成完毕之后用杀毒软件进行查杀

7在CLL中选 操作，结果定位，选中刚刚用来存放检测结果的文件夹

8在CLL中选

文件免杀之加花指令法

一.花指令相关知识：

　其实是一段垃圾代码，和一些乱跳转，但并不影响程序的正常运行。加了花指令后，使一些杀毒软件无法正确识别木马程序，从而达到免杀的效果。

二.加花指令使木马免杀制作过程详解：

第一步：配置一个不加壳的木马程序。

第二步：用OD载入这个木马程序，同时记下入口点的内存地址。

第三步：向下拉滚动条，找到零区域（也就是可以插入代码的都是0的空白地方）。并记下零区域的起始内存地址。

第四步：从这个零区域的起始地址开始一句一句的写入我们准备好的花指令代码。

第五步：花指令写完后，在花指令的结束位置加一句：JMP　刚才OD载入时的入口点内存地址。

第六步：保存修改结果后，最后用PEditor这款工具打开这个改过后的木马程序。在入口点处把原来的入口地址改成刚才记下的零区域的起始内存地址，并按应用更改。使更改生效。

三.加花指令免杀技术总节：

　1.优点：通用性非常不错，一般一个木马程序加入花指令后，就可以躲大部分的杀毒软件，不像改特征码，只能躲过某一种杀毒软件。

　2.缺点：这种方法还是不能过具有内存查杀的杀毒软件，比如瑞星内存查杀等。

　3.以后将加花指令与改入口点，加壳，改特征码这几种方法结合起来混合使用效果将非常不错。

四.加花指令免杀要点：

由于黑客网站公布的花指令过不了一段时间就会被杀软辨认出来，所以需要你自己去搜集一些不常用的花指令，另外目前还有几款软件可以自动帮你加花，方便一些不熟悉的朋友，例如花指令添加器等。

修改内存特征码---1入口点加1免杀法 1加压缩壳1---再加壳或多重加壳

2变化入口地址免杀法 2加生僻壳---2加壳的伪装.

3加花指令法免杀法 3加压缩壳3---打乱壳的头文件

4修改文件特征码免杀法

以上免杀方法可以自由组合成多种不同的免杀方案。

二.常用免杀方案

1.实例完全免杀方案一：

内存特征码修改＋加UPX壳＋秘密行动打乱壳的头文件。

所需工具：UPX加壳工具，秘密行动

2.完全免杀方案二：

内存特征码修改＋加花指令＋加压缩壳

3.完全免杀方案三：

内存特征码修改＋加压缩壳＋加壳的伪装或多重加壳

4.完全免杀方案四：

内存特征码修改＋去头变换入口点地址＋压缩壳

5.完全免杀方案五：

内存特征码修改＋修改各种杀毒软件特征码＋压缩壳

6.完全变态免杀方案六：

内存特征码修改＋加花指令＋去头变换入口点＋加UPX壳＋用秘密行动打乱壳的头文件.

免杀离不开破解。所以还是去看雪学院，一蓑烟雨，飘云阁，黑蚂蚁都是不错的地方。