黑客防线,在攻与防的对立统一中寻求突破!2001年创刊的黑客技术专业刊物!

设为首页
收藏本站
联系我们
网站导航

黑客论坛 - 公共交流区 - 技术交流 - 浏览 - [公告]Pcshare输出表输出函数名加密法
用户体验升级,欢迎参与!        您是本贴第 359 位浏览者 本版版主

帖子主题: [公告]Pcshare输出表输出函数名加密法

  • VIP技术支持2
  • 等级: 黑客防线技术团队
  • 勋章:
  • 发贴: 1899 贴
  • 货币: 34 金币
  • 积分: 6821 分
  • 经验: 29086 点
  • 体力: 112770 点
  • 注册: 2007-05-25
[公告]Pcshare输出表输出函数名加密法

最近很多人说瑞星总是杀输出表的ServiceMain名称。最近由于很忙,论坛也不能天天上了。所以尽可能的上来帮大家解决点疑难问题,今天就教大家如何来加密我们的输出表函数名。

  由于ServiceMain输出函数并不是提供给我们的loader来进行调用的,它是在dll内部调用的,这也是大家在loader中找不到ServiceMain字符串的原因。

  那么如何修改ServiceMain输出函数名且正常运行呢,这里,我喜欢加密的方法。我们对我们的ServiceMain输出函数命进行一个简单的加密,然后在dll开始的部分在进行解密,这样不就做到了躲避杀软的方法吗。。


  ok,废话不多说,给大家简要说明下。。


首先ollydbg载入PcMain.dll,然后向下找0区域,然后我们加入我们的加密代码。


  如图











这里我简要的说明下代码。

1. 首先保存我们的寄存器环境。
通过
pushad

popad


然后 我们加入代码

pushad
call $+5   ; 机器码为E8 00 00 00 00
pop eax
xor ax, ax  ;这几句代码是求我们的基地址 但是由于我们写入的偏移量前面是以1001开头的,所以接下来我们加入rva的时候要减去10000。
add eax, 3b05h   ;3b05h为ServiceMain输出函数名字符串的偏移
xchg eax, esi
mov  edi, esi
@@:
lodsb
or   al, al
je   @f
xor  al, 18h
stosb
jmp  @b
@@:
popad

jmp  入口点


其实这里大家可以运行一遍,此时运行后我们的ServiceMain已经是加密了,然后我们在将.rdata区段数据保存。然后修改.rdata的区段属性为可读可写属性。

修改入口点位我们加入的代码的偏移,此时loader加载后就会进行解密。。


这里给出一个DLL的例子。。

有什么不懂的,请到此贴询问。


放着也是放着转到公共区吧。



加密后我们的输出函数名为此图。












注意:这个例子是为了演示输出函数名加密的方法, 例子是肯定被杀的,因为是随便拿一个版本演示。。


点击下载
.....................................
2008-9-11 19:18:53
  • zxy0040
  • 等级: 钻石VIP
  • 发贴: 69 贴
  • 货币: 0 金币
  • 积分: 1328 分
  • 经验: 1725 点
  • 体力: 11550 点
  • 注册: 2008-04-05
Re:[公告]Pcshare输出表输出函数名加密法
谢谢小鱼了,终于知道怎么改了
2008-9-12 23:32:42
  • qwertfg
  • 等级: 普通用户
  • 发贴: 138 贴
  • 货币: 0 金币
  • 积分: 445 分
  • 经验: 2830 点
  • 体力: 10795 点
  • 注册: 2007-11-20
Re:[公告]Pcshare输出表输出函数名加密法
比较想知道 怎麽照例子想自己思路 具体不是看很懂
2008-9-18 18:28:44
  • VIP技术支持2
  • 等级: 黑客防线技术团队
  • 勋章:
  • 发贴: 1899 贴
  • 货币: 34 金币
  • 积分: 6821 分
  • 经验: 29086 点
  • 体力: 112770 点
  • 注册: 2007-05-25
Re:[公告]Pcshare输出表输出函数名加密法
Quote: 以下是引用 qwertfg 于 2008-9-18 18:28:44 的发言
比较想知道 怎麽照例子想自己思路 具体不是看很懂


关键是基础,基础.......

如果你把黑防之前开展的汇编基础专题学习透彻了,那么在看会轻松的多。
.....................................
2008-9-20 19:37:32
  • asmhk
  • 等级: 普通用户
  • 发贴: 2 贴
  • 货币: 0 金币
  • 积分: 10 分
  • 经验: 10 点
  • 体力: 115 点
  • 注册: 2008-09-23
Re:[公告]Pcshare输出表输出函数名加密法
这个方法免杀效果的确不错...
2008-9-23 9:19:26