Question

修改木马特征码的规律 要详细、、

要详细的 修改特征码的规律全部的

Answer 1

个人一些特征码修改方法
本文没什么技术含量,主要是给一个免杀的思路哦~

1、定位在cmp或test后的判断跳转，je、jz如此之类的...
遇到这样的，我一般都会把它们改成jmp就能过，当然也要看看上下代码的意思，不然可能出错...个人认为这样修改的效果还是不错的..

2、定位在跳转后的地址，如je xxxxxxxx ，jmp xxxxxxxx 之类的xxxxxxxx上...
一般遇到是判断跳转的je，jnz的...按照第一个方法把跳转符改改就能过...如把je改成jmp...遇到是jmp xxxxxxxx的，就试试看下面有没有空
位构造下push xxxxxxxx
ret
或者可以把jmp xxxxxxxx ，用跳转转移到其它地方...

3、定位在call eax之类上...
把它改成push eax或其它...

4、定位在call上的...
先跟进call后面的地址看看，因为有时候那里往上拉一句就可能会有NOP之类的语句，那么我们把call后面的地址向前移一位就可以过...
如果没有NOP，我们可以用跳转转移...

5、定位在OR或者XOR上...
把OR改XOR或者XOR改OR...

6、定位在mov语句上，如MOV DWORD PTR SS:[ESP+14],ESI...
我们可以把它改成mov esp,esi
add esp,14

7、定位在cmp语句，如cmp eax,esp
jnz xxxxxxxx
那么遇到这样的，我们可以把这两句NOP掉，然后加上jmp xxxxxxxx ，这里意思就是我们不要那个比较，把代码直接跳到xxxxxxxx上运行....
遇到test 这样的也可以试试这个方法...

8、定位在字符串上，但是不能用改大小写的方法修改，修改就出错...
例如pcshare有一个定位在“%s%s%s”上的...我们可以首先用C32把“%s%s%s”向前移一位，然后用OD载入，右键，超级字符串参考，
查找ASCII，然后找到所有的“s%s%s”，由于我们向前移了一位，所以显示的应该是“s%s%s”，然后双击来一个个修改...双击后会发现，
对应的语句会有一个地址，我们把它改掉，向前一位，如4AD05168就改成4AD05167，接着同样方法继续改其它有“s%s%s”的...
这个方法通用字符串的修改...

总结:上面的只不过是我在免杀时的一些经验...实际免杀还需要读懂上下代码，实际分析，并不代表按照上面这样改就一定可以...做人要灵活，
方法都是自己悟出来的，没什么完美的通用方法...自己的免杀方法才是最好的~

本人的免杀经验
希望对你有所帮助

ID:hyidon

Answer 2

修改特征码不外乎通用条转法，等效替换法，直接填充法，或者重建表
等，方法就主要这几种，很讲究的
要想学会ibuprofen是一朝一夕的事情，建议你多看教程就行了