免杀汇编教程(汇编花指令)

admin 2020-12-22 1392


相信很多朋友都做过木马免杀,早期的免杀都是加壳和改特征码,现在免杀技术已经发展到花指令免杀,改壳之类的,而这些需要一定的汇编知识,但是汇编却不是一块容易啃的骨头,所以我写了这篇菜鸟版的免杀汇编教程,帮助小菜们快速入门,掌握免杀必备的汇编知识,改花指令,改特征码的技巧和编写自己的花指令。 

  一、免杀必备的汇编知识

 

  push 压栈,栈是一种数据结构,记住四个字:先进后出。压栈就是把数据放如栈中,从栈顶放如,出栈的时候也是从栈顶取出,所以会有先进后出的特点!先进后出我们可以这样理解,例如:一个乒乓球筒,我们放入乒乓球,然后取出乒乓球,取出的都是就后放进的球。就如我们放入球的顺序是球1、2、3、4,取出的顺序是球4、3、2、1。pop 出栈,与push相对应。

    mov a,b 把b的值送给a,把它看作编程中的赋值语句就是b赋值给a,这时a的值就是b了。

 

  nop 无作用,就是什么也没做。

 

  retn 从堆栈取得返回地址并跳到该地址执行。

 

  下面是一些算术运算指令:

 

  ADD 加法

    sub 减法

    inc 加1 9Vs

    dec 减1

 

  最后是跳转指令:

 

  jmp 无条件跳

    je 或jz 若相等则跳

    jne或jnz 若不相等则跳

    jb 若小于则跳

    jl 若小于则跳0V)

    ja 若大于则跳-X7f

    jg 若大于则跳

    jle 若小于等于则跳

    jge 若大于等于则跳

 

  这些就是我们需要掌握的,怎么样不多吧,一些指令可能看不明白,看了后面的就会清楚了。对了,忘了讲寄存器了,寄存器是中央处理器内的其中组成部份。寄存器是有限存贮容量的高速存贮部件,它们可用来暂存指令、数据和位址。我们需要了解的是8个通用寄存器:EAX,EBX,ECX,EDX,ESI,EDI,EBP,ESP

 

  二、特征码和花指令的修改

 

  特征码我就不多说了,大家都知道的,现在杀毒软件查杀都用特征码查杀,改了木马的特征码,杀毒软件就查不出我们的木马,这样就达到免杀的效果。而花指令是程序中的无用代码,程序多它没影响,少了它也能正常运行。加花指令后,杀毒软件对木马静态反汇编使,木马的代码就不会正常显示出来,加大杀毒软件的查杀难度。花指令的原理是堆栈平衡。前面介绍push说了,堆栈平衡可以这样理解,有进有出,不管花指令怎么写,我们要达到的目的是加花后,堆栈与未加之前一样。

 

  网上的花指令因为是公布出来的,所以免杀周期不长,一般公布出来不久就会被杀毒软件查杀,但是我们只要简简单单的修改一两句就可以达到免杀了。下面我们来看看5种修改方法。(也适用于特征码修改)

 

  我们先看看木马彩衣(金色鱼锦衣)花指令

 

  1、push ebp

    2、mov ebp,esp

    3、add esp,-0C

    4、add esp,0C

    5、mov eax,原入口

    6、push eax

    7、retn

 

  1、2、在大部分程序开头可以经常看到。push ebp是将寄存器ebp压入堆栈,mov ebp,esp是将寄存器esp的值送给寄存器ebp.3、4、使用了add指令,add esp,-0C是寄存器esp加上-0C,add esp,0C是寄存器esp加上0C,3、4、加起来就是什么也没做,达到堆栈平衡。5、6、7、完成了跳转到入口点的功能,我们一句句来看看mov eax,原入口,将入口点送入寄存器eax,push eax将寄存器eax压入堆栈,retn我们知道是从堆栈取得返回地址并跳到该地址执行。这样就回到入口点了。

 

  我们看看实例,以木马彩衣免杀为例,先侦壳,用peid载入,显示Microsoft Visual Basic 5.0 / 6.0,(如图1)很好,免去了脱壳的麻烦,复制木马彩衣后再粘贴,得到复件 木马彩衣。exe,我们用木马彩衣对复件 木马彩衣。exe加花,加金色鱼锦衣,(如图2)然后用Ollydbg.exe载入,我们就可以看到看到金色鱼锦衣的花指令了。(如图3)用卡巴扫描,被卡巴认出来了。(如图4)这是因为金色鱼锦衣公布比较久,用的人多了,对杀毒软件就无效了。

 

 

 

  1、替换法

 

  我们用替换法来修改金色鱼锦衣,修改结果如下:

 

  1、push ebp

    2、mov ebp,esp

    3、add esp,

    4、add esp,

    5、mov eax,原入口

    6、push eax

7、retn

 

  将原来3、4、句add esp,-0C和add esp,0C改成add esp,1和add esp,-1这两句也能达到堆栈平衡,(如图5)右键选中add esp,-0C,点击汇编,将add esp,-0C改成add esp,1,将add esp,0C改成add esp,-1.选中修改部分,右键单击→复制到可执行文件→选择部分,弹出窗口,右键保存文件。这里我保存成“替换法。exe”用卡巴查杀,免杀了。(如图6) 

 

  2、移位法

 

  1、push ebp

    2、mov ebp,esp

    3、nop

    4、nop

    5、add esp,-0C

    6、add esp,0C

    7、mov eax,原入口

    8、push eax

    9、retn

    将原来的3、4、5、6、7、几个语句向下移动2行,修改后保存为“移位法。exe”。

 

  3、添加法

 

  1、push ebp

    2、mov ebp,esp

    3、push edx

    4、pop edx

    5、add esp,-0C

    6、add esp,0C

    7、mov eax,原入口

    8、push eax

    9、retn

 

  在金色鱼锦衣中加入push edx和pop edx,这两句是将寄存器edx压入和弹出堆栈,一样达到堆栈平衡。修改后保存成“添加法。exe”。

4、去除法

 

  1、push ebp

    2、mov ebp,esp

    3、mov eax,原入口

    4、push eax

    5、retn

 

  删除add esp,-0C和add esp,0C,修改后保存成“去除法。exe”。IXPUB技术博客&E"U*a(Z%Pve&y

 

  5、跳转法

 

  push ebp

    mov ebp,esp

    jmp 跳出到add esp,-0C的地址

    mov eax,复件_木?0040109C

    push eax

    retn

    add esp,-0C

    add esp,0C

    jmp 跳回mov eax,复件_木?0040109C的地址

 

  这个可能比较复杂,大家看看截图(图7),修改后保存为“跳转法。exe”。 

   

  我们用卡巴试试修改后的效果,(如图8)看看,只有原来的木马彩衣,加了金色鱼锦衣的和去除法的可以查到。去除法是因为金色鱼锦衣的代码比较短,如果花指令长点,效果会比较好。几种修改方法结合使用效果更好,当然,一样可修改特征码,相对跳转法在修改特征码中使用比较多。

 

  三、编写自己的花指令

 

  通过上面的学习我们可以知道花指令大概结构,一般开始是push ebp和mov ebp,esp,接下来就是一些能保持堆栈平衡的指令,完了就是跳回入口点了。

 

  我罗列出一些能保持堆栈平衡的代码

 

  push ebp 把基址指针寄存器压入堆栈

    pop ebp 把基址指针寄存器弹出堆栈

 

  push eax 把数据寄存器压入堆栈

    pop eax 把数据寄存器弹出堆栈

 

  nop 无作用,就是什么也没做

    mov eax,eax 将eax送入eax,等于什么也没做

 

  sub eax,1

    add eax,1 寄存器eax+1和寄存器eax-1,一样等于什么也没做

 

  sub eax,2

    dec eax

    dec eax 一样很简单的加减运算,先是寄存器eax+2,紧接着连续用dec指令处理寄存器eax两次,就是-1再-1,达到堆栈平衡。

 

  很简单,大家参考后可以自己写出N多这样的指令。写完这些就可以写跳转语句了。

 

  JMP 入口点 这时最简单的跳转了,无条件跳回入口点,最简单当然效果也最差了

 

  mov eax,入口点

    push eax

    retn   很眼熟吧,金色鱼锦衣的跳转,解释过,不多说了。

 

  mov eax,入口点

    jmp eax  和金色鱼锦衣的跳转的原理差不多吧,入口点压入寄存器eax,再跳到寄存器eax,就是跳到入口点了。

 

  je 入口点

    jne 入口点 等于则跳和不等于则跳,合起来就是绝对跳咯,像这样的条件跳转语句很多,大家可参考前面跳转指令的知识自己写。

上面的指令随便结合相信大家可以写出属于自己的花指令了,这样我这篇文章的目的也就达到了。花指令添加的方法大家可以参照去年第9期的主题乐园。


最新回复 (0)
返回
发新帖