<黑客免杀攻防>第四章 其它免杀技术 阅读笔记
2014-11-01 11:49
351 查看
1修改入口点
入口点一般随着不同编译器"类型和版本"的不同而不同.可与其它方法配合扰乱顺序
注意:PE头中入口点地址与虚拟地址的关系.
工具:PEditor
2VMProtect
参见第11章第12章3Overlay附加数据
参考资料:浅谈脱壳中的附加数据问题
不会被映射到内存的数据(因为非区段)保留在磁盘上.
有些程序会用Overlay存储配置数据,或者利用它的结束位置指针反向偏移读取来检查自身的完整性.
4驱动程序免杀修改技巧
参见第14章驱动编写与编译知识点:SEH
结构化异常处理,处理程序错误或异常的错误。
百度一大堆文章(暴露了偶只会用百度的水平)
"结构化异常处理(StructuredExceptionHandling,SEH)是Windows操作系统处理程序错误或异常的技术。SEH是Windows操作系统的一种系统机制,与特定的程序设计语言无关。外壳程序里大量地使用了SEH,如果不了解SEH,将会使你跟踪十分困难。"--摘自http://lwglucky.blog.51cto.com
a常用方法
对于保护程序作者的建议是:
VMProtect加密
用OEM混淆工具PEArmor,当然用加密壳Themide也是可以的。还有很多新的加密壳
b手工思路
1需要修复校验和
2尽量不要改变sys文件大小
3上一条可以违背。
5免杀补丁
其他方面:漏洞补丁,破解补丁作者举例补丁软件:diablo2oo2's Unversal Patcher(通过对先后文件的对比,来生成一个自动修改目标到指定状态的程序)
6PE文件进阶
1PE结构和字段具体含义参见第八章
DOS MZ headerDOS stub
PE header(默认224Byte)
区段表(区段)Section table
区段Section
输(道)入表完成动态链接工作,详见7.5节
2虚拟内存
32位对应4GB内存虚拟空间,寻址空间所限是Ring3概念
中间虚拟内存管理器
物理内存是R0的概念
区别于硬盘虚拟内存
3PE文件的内存映射
File Offset文件偏移地址
Image Base
装载基址:
exe文件一般0x00400000
dll文件一般0x10000000
虚拟内存地址
Virtual Address
相对虚拟地址:
Relative Virtual Address
在没有计算Image Base的相对内存地址.
VA=RVA+Image Base
PE区段单位:
0x200字节
加载到内存后区段单位:
0x1000为单位存放.不足补"00".
通过相对关系和绝对关系轻松推出文件偏移地址.
7网页木马的免杀
1脚本木马(入侵服务器用)
A针对传统杀软:
a加密免杀
例如对于ASP木马,微软的screnc工具.b特征码免杀
例如内部版权,特性名.针对性免杀
webshell特征码定位器宽泛性免杀
改变变量名,插入空对象.其他方法
i与数据库合并致使杀软使用数据库特征扫描导致误判.
ii移位逆位
一般用escape和unescape函数实现
B针对专杀工具的免杀
a利用Windows目录漏洞
建立windows无法访问的畸形目录(..\)例如b调用别的文件躲过专杀
copy命令与图片合并C自己编写加密算法
1分隔符加密算法ASP中split或者replace函数
2ASCII转换加密算法
2网页挂马的免杀
A使用Html混淆器B蓝星网页加解密专家等
C网页挂马压缩器
网马暂时只能学个皮毛,因为缺乏相关经验.
相关文章推荐
- <黑客免杀攻防>第六章 壳在免杀中的应用 阅读笔记
- <黑客免杀攻防>第三章 免杀与特征码 阅读笔记
- <黑客免杀攻防>第二章免杀基础知识 笔记
- <C++Primer>第四版 阅读笔记 第四部分 “面向对象编程与泛型编程”
- <当析构函数遇到多线程>阅读笔记
- <C++Primer>第四版 阅读笔记 第三部分 “类和数据抽象”
- <深入理解C指针>学习笔记和总结 第四章 指针和数组
- <黑客免杀攻防>第五章 花指令与免杀 读书笔记
- <Java 提高篇>阅读笔记
- <深入理解C指针>学习笔记和总结 第四章 指针和数组
- <tcp/ip详解卷一>阅读笔记(4)——TCP
- <C++Primer>第四版 阅读笔记 第二部分 “容器和算法”
- <游戏开发中的人工智能> -- 阅读笔记
- <tcp/ip详解卷一>阅读笔记(2)——IP层的分用(ICMP)
- <tcp/ip详解卷一>阅读笔记(3)——IP层的分用(UDP和IGMP)
- <tcp/ip详解卷一>阅读笔记(1)— 以太网帧及其分用
- Axel源码阅读笔记<二>
- <<ffmpeg/ffplay源码剖析>> 笔记
- <the google file system>阅读感受
- <学习笔记>Windows驱动开发技术详解__驱动程序的同步处理