木马加壳/脱壳的秘密 C/C++

admin 2019-8-21 261

编者按:我们将会为你全面剖析时下流行的木马攻防相关知识,让你在碰到中招的情况后,也不至于只会格式化再重装系统了事。通过对木马的“制作→伪装→种植→防范”全程攻略,让大家对于看似老生常谈的木马有一个比较系统的认识。

为什么要“加/脱壳”?对于黑客来说,这项技术被淋漓尽致地应用到了伪装木马客户端上,目的是为了防止被杀毒软件反跟踪查杀和被跟踪调试,同时也防止算法程序被别人静态分析。

用pe-scan给木马脱壳

木马研究爱好者cytkk第一时间在国外某著名黑客论坛下载到了最新的反弹端口型木马(以下简称木马Z),正欲体验其强大的功能时,不料被Norton Antivirus逮个正着,令人郁闷不已。cytkk企图使用加壳软件UPX(Ultra Packer For executable)对它进行简单包装来骗过杀毒软件,哪料提示加壳失败,检测得知木马Z早已被程序作者用UPX压缩,当务之急是要先去除这个已被Norton Antivirus识破的“烂”壳。

cytkk运行一款名叫pe-scan 3.31的软件。点击“open”打开木马Z的客户端,在居中的显示框内得知加壳类型为UPX,再点击“unpack”→“start”,cytkk按照提示设置好保存目录和文件名就完成了整个脱壳操作。这样一来就得到了木马Z的原始客户端程序。

高手传经:在经过复杂的多重加壳后,检测出的结果就不一定准确了,此时就需要使用“adv.scan”高级扫描, pe-scan会分析出被各种加壳工具加壳的可能性。

重新加壳欺骗杀毒软件

接下来cytkk要做的就是给木马Z的原始客户端进行一次成功的加壳,根据以往的经验,此时用ASPack1.12是个明智之举,它拥有标准的Windows界面,操作简单直观。为了保证加壳后程序的完整性,cytkk放弃了最大可能的压缩,在“选项”中去掉了“压缩资源”的勾选并选择了“保留额外数据”。“压缩”选项很直观,有两个进度条,上面一个表示压缩进度,下面一个则是压缩后的文件大小。压缩完成后,cytkk便迫不及待地点击左边的“测试”按钮来进行完整性测试。结果没让cytkk失望,ASPack的出色表现使以严厉著称的Norton Antivirus对加壳后的木马Z也视而不见了。


少客联盟- 版权声明 1、本主题所有言论和图片纯属会员个人意见,与少客联盟立场无关。
2、本站所有主题由该帖子作者发表,该帖子作者admin少客联盟享有帖子相关版权。
3、少客联盟管理员和版主有权不事先通知发贴者而删除本文。
4、其他单位或个人使用、转载或引用本文时必须同时征得该帖子作者admin少客联盟的同意。
5、帖子作者须承担一切因本文发表而直接或间接导致的民事或刑事法律责任。
6、本帖部分内容转载自其它媒体,但并不代表本站赞同其观点和对其真实性负责。
7、如本帖侵犯到任何版权问题,请立即告知本站,本站将及时予与删除并致以最深的歉意。
8、官方反馈邮箱:chinasuc@chinasuc.cn


上一篇:使用CSS垂直居中文本
下一篇:二进制、八进制、十六进制、十进制的转换
Whatever is worth doing is worth doing well. juvenile hacker league
最新回复 (0)
    • 少客联盟
      2
        登录 注册 QQ登录(停用)
返回