木马兔杀常识

木马兔杀常识

如果你想学习反病毒技术： 1.基本的汇编语言 2.修改工具（不是指那些傻瓜式的软件）。 例如：

。 。 。 MYCCL复合签名定位器、UE、OC、资源编辑器等。还有一些脱壳、脱壳软件（如：PEID RL脱壳机等）。 以下是几种常用的防病毒方法和工具： 1、要避免查杀木马，首先要准备一个脱壳的木马。 这一点非常重要，否则

反杀行动无法继续。

2.然后我们需要避免木马内存查杀。 从上面的分析可以看出，目前的内存查杀只是

瑞星是最强的，其他杀毒软件的内存扫查和查杀现在都不起作用，所以我们只关注瑞星的内存扫查和查杀。

，需要定位并修改内存特征代码，防止内存被杀。

2、兼容江民、金山、诺顿、卡巴等其他杀毒软件。 我们可以使用下面的方法

方法，或这些方面的组合。 1>. 入口点加1，避免kill。

2>. 如何通过更改入口地址避免被杀

3>. 添加花指令方法免杀

4>. 添加外壳或伪装外壳以避免被杀。

5>. 破坏shell的头文件以避免被杀。

6>. 修改文件特征码，避免被杀毒。

第三部分：防病毒技术演示

1、入口点加1，避免被杀：

1、使用的工具：

2.特点：非常简单实用，但有时会被卡巴赫杀死。

3、操作要点：打开无壳木马程序，在原入口点加1。

2、如何通过更改入口地址避免被杀：

1.使用的工具:,

2、特点：操作比较简单，防杀效果比入口点加1点要好。

3、操作要点：使用OD加载无壳木马程序，将入口点前两句移至零区执行，然后

跳回到入口点下面的第三句继续执行。 最后，将入口点更改为零区域的地址。

3.添加花免杀命令方法：

1.使用的工具:,

2.特点：该杀毒软件的通用性非常好。 添加命令后，基本可以实现大量杀毒软件的杀毒功能。

3、操作要点：使用OD打开无壳木马程序，找到零区，填写我们准备好的花指令。

填写完毕后，跳转回入口点。 保存后，将入口点更改为零区域，并填写花卉命令。

与地址。

4、如何通过加壳或者伪装壳来免杀：

1、使用的工具：一些冷门的贝壳，或者带有迷彩贝壳的工具，比如木马彩衣等。

2.特点：操作简单，但躲避追杀的时间不长，你可能很快就会被杀，很难逃脱卡巴的追击。

3、操作要点：为了达到更好的反杀效果，可以使用多发炮弹，或者加一发炮弹后再加迷彩炮弹。

防杀效果较好。

5、破坏shell的头文件或者给shell添加trick以避免被杀：

1.使用工具： 、UPX加壳工具。

2.特点：操作也很傻瓜，防杀效果也相当不错，尤其是对Kappa的防杀效果非常好。

3、操作要点：首先一定要使用UPX对未脱壳的木马程序进行脱壳，然后使用 。

该工具中的函数破坏UPX shell的头文件，从而达到防病毒的效果。

6.修改文件特征代码免杀：

1.使用的工具：签名定位器、

2.特点：操作复杂，需要一系列定位和修改过程，且仅针对各个杀毒软件

为了避免杀戮，你需要

要实现对多种防病毒软件的免疫，需要修改各种防病毒软件的特征码。 不过，免疫效果还是不错的。

3、操作要点：从定位某杀毒软件的特征码到修改它的一系列缓慢而漫长的过程。

第四部分：快速定位并修改瑞星内存特征代码

1、瑞星内存签名特点： 由于技术原因，目前瑞星90%以上的内存签名都包含字符。

该字符串作为病毒特征码，给我们的定位和修改带来了方便。

2、定位修改要点： 1>． 首先使用签名定位器粗略定位瑞星内存签名位置。

2>. 然后用UE打开，找到大概位置，看看对应哪些方面

，替换成0然后使用内存扫描进行扫描杀掉。 直到找到记忆特征

编码后，只需交换字符串的大小写即可达到内存防杀的效果。

第五部分：木马查杀综合解决方案

修改内存特性代码 --->1> 入口点加1，免杀 --->1> 添加压缩壳 --->1> 添加额外加壳器或多个加壳器

2>如何通过更改入口地址避免被查杀 2>添加隐藏shell 2>添加shell的伪装。

3> 添加免杀指令 3> 破坏shell的头文件

4>修改文件特征代码避免被查杀

注：本方案可以与各种反杀方案随意组合，达到各种不同的反杀效果。

第6部分：防病毒解决方案的示例演示部分

1、完成反杀方案一：

修改内存签名+添加UPX shell+隐蔽操作工具破坏UPX shell头文件。

2、完成反杀方案2：

内存签名修改+压缩加壳+加壳伪装

3.完整的防病毒方案三：

修改内存签名+修改各种杀毒软件的文件签名+添加压缩壳

4、完成反杀方案4：

内存特征代码修改+添加指令+加压外壳

5、彻底变态反杀方案五：

修改内存特征码+添加花指令+入口点加1+添加压缩壳UPX+打乱壳的头文件

还有其他反杀程序可以根据第 5 部分任意组合。