危险漫步博客
新鲜的“黑客思维”就是从全新的角度看待黑客技术,从更高的层面去思考;专注于黑客精神及技术交流分享的独立博客。
文章2289 浏览18982086

复合加壳再续免杀神话!

免杀,一个在黑客界永不过时的话题。从木马和杀毒软件的第一次交锋开始就始终没有中断过,黑客程序开发者和杀毒软件的技术人员的始终在较量着。面对强大的杀毒软件,病毒的免杀就显的尤为重要。免杀的方式基本分为三种:修改特征码、添加花指令和壳,最后一次,危险漫步就来和大家谈谈加壳这种最常见的免杀方式。

有些动植物长着坚硬的外壳,因为它们都着脆弱的身体,需要用坚硬的外壳来保护自己。根据这一理论,一种叫壳的程序出现了。壳诞生的初衷是为了保护自己的程序不被破解和修改,病毒作为一种特殊的程序,壳同样也可以用于病毒的保护。通过这一现象,壳的用途出现了一个翻天覆地的转变。现在提到壳,大家都会想到病毒的免杀。

一般来说,壳分为两种:加密壳和压缩壳。加密壳主要的作用是对程序进行加密,但加密后程序体积会变大。压缩壳主要用于对程序的压缩,能够减小程序的体积。另外,还有一些特殊的壳既可以加密,同时也可以压缩。

加壳不失为一种不错的免杀方式,但随着杀毒软件的普及和病毒库的日益扩大,越来越多的加壳程序被列入病毒的行列。那么我们还能使用这些壳为病毒免杀吗?YES!但我们要稍微动动手脚了。

如果说单一的添加壳,用不了多久就会被杀,人品不行的一下就被主动防御和云查杀给秒了…

我们可以把一些壳混合起来为程序加壳,也就是题目提到的复合加壳,这样也可以起到免杀的效测试才行。

我以给灰鸽子加壳为例,给大家一个复合加壳的思路。需要注意的是:要加壳的文件不能是RAR格式的,我这里使用的是没有UPX压缩的灰鸽子。先用加密壳加载灰鸽子服务端,我用到的是国外的一款名为“KeyCrypter”。这个壳的免杀效果非常不错,而且功能强大。但要注意的是:尽量选择一些不常见的加壳程序,加壳要保证一定的数量,不能只加一两个壳。

而且加壳后不等于100%免杀,还要靠我们不断分析测试才行。

我以给灰鸽子加壳为例,给大家一个复合加壳的思路。需要注意的是:要加壳的文件不能是

RAR格式的,我这里使用的是没有UPX压缩的灰鸽子。先用加密壳加载灰鸽子服务端,我用到的是国外的一款名为“KeyCrypter”。这个壳的免杀效果非常不错,而且功能强大。

简单介绍一下使用方法,左边是选择要加壳的文件,右边是设置输出文件位置。把下面所有的选项全部选上,这些选项的意思是:反编译、反沙盘等等,我们选上就可以了。然后点击“Crypt File”就为灰鸽子加上了加密壳。

现在还不能添加压缩壳,因为每个壳的兼容性都不一样,我们必须进行资源释放处理。下面我们要使用到“FreeRes”。释放资源后选择“功能”中的“建立可编辑资源”对文件进行资源重建。

接下来我们就用到压缩壳,我选用的是“蚂蚁加壳工具和Mini_pack”,因为他们都是压缩壳,经过我测试,这两个壳在压缩时不需要进行资源释放处理。勾好配置后,找到服务端后进行

二次加壳。压缩完毕,用加壳后的灰鸽子过一下瑞星、卡巴和360,都没有报毒。