当前位置: 首页 > news >正文

知名网站建设名风seo软件

知名网站建设,名风seo软件,郑州哪个公司专业做网站,sem竞价推广0x1 PE文件与免杀思路 基于PE文件结构知识的免杀技术主要用于对抗启发式扫描。 通过修改PE文件中的一些关键点来达到欺骗反病毒软件的目的。 修改区段名 1.1 移动PE文件头位置免杀 工具:PeClean SizeOfOptionalHeader字段来描述扩展头的大小,恒定值为…

0x1 PE文件与免杀思路

基于PE文件结构知识的免杀技术主要用于对抗启发式扫描。
通过修改PE文件中的一些关键点来达到欺骗反病毒软件的目的。

  • 修改区段名

1.1 移动PE文件头位置免杀

工具:PeClean

SizeOfOptionalHeader字段来描述扩展头的大小,恒定值为0xE0。
某些程序直接使用0xE0对PE文件进行处理,对于修改过的程序会被识别为非PE文件。

1.2 导入表移动免杀

通过修改程序里导入表ThunkValue值实现。

  • 1)通过ThunkValue的偏移地址,找到API函数名
  • 2)将原地址的API函数名移动到其他空白处
  • 3)00填充掉原地址的API函数名
  • 4)修改ThunkValue值为新移动的地址

1.3 导出表移动免杀

通过修改导入表中API函数名的相对偏移地址实现。

  • 获取API函数名的RAV(相对虚拟地址)
  • 将API函数名移动到新位置
  • 将API函数名相对偏移地址填写回原先记录的地方

0x2 PE文件与反启发式扫描

其它非与PE文件相关的启发式扫描请参考第16章“免杀技术前沿”内容。

2.1 最后一个区段为代码段

启发特征:最后一个区段为代码段。这会引发“异常的入口点”。如果入口点被定位在了非正常的代码段上,则会被启发式扫描引擎查杀。

2.2 可疑的区段头部属性

蠕虫在感染一个文件时有三种方案,这些方案都要求会修改代码段具有可写属性。

  • 1 增加一个新的可执行区段
  • 2 现有的代码段中插入恶意代码
  • 3 将恶意代码分别穿插到不同的区段中,并修改相应区段的属性

启发特征:一个正常的可执行程序如果出现多个具有可执行属性的区段,就会制造出这些特征。

2.3 可疑的PE选项头的有效尺寸值

启发特征:这一项启发特征是基于 “移动PE文件头免杀”建立起来的。用于试图修改选项头大小而隐藏更多敏感数据的恶意程序。

2.4 可疑的代码节名称

启发特征:如果产生了编译器厂商之外的区段名,则启发特征判定为恶意程序。

2.5 多个PE头部

启发特征:可执行文件中含有需要释放的DLL或者SYS。

注:一般情况下将其中包含的可执行文件加密即可避免出现这个特征。

2.6 导入表项存在可疑导入

启发特征:

  • 无效导入表
  • 偏移形式调用API
  • 特定恶意行为的API序列

注:黑客一般会使用自己实现的GetProcAddresss函数,以便用散列值寻找并调用相关敏感API

0x3 隐藏导入表

隐藏导入表思路

  • 简单异或加密
  • 导入表单项移除
  • 重构导入表
  • 利用HOOK方式打乱其调用

3.1 操作原理与先决条件

原理:

  • 1)手工将指定导入项的IAT(Import Address Table)删除掉
  • 2)在启动初期用正确的值填充IAT

条件限制:

  • OriginalFirstThunk字段是一个以0x00000000结尾的32位数组,将INT填充为0x00000000删掉后,
    会导致在此IAT项后面所有由此DLL导入的函数失效。

3.2 修改PE文件

简单的例子

3.3 构造我们的反汇编代码

没看懂RegisterClassExW的起始地址是怎么得到的。

0x4 小结

  • PE免杀入门技巧

  • 对PE免杀入门技巧的启发式扫描规则

  • 反启发式扫描PE免杀技巧

http://www.ritt.cn/news/19351.html

相关文章:

  • 为什么做游戏网站被封网站首页面设计
  • 万能网怀化网站seo
  • 怎么样做网站或产品推广东莞网站推广营销网站设计
  • 海盐网站建设本地广告推广平台哪个好
  • 手机百度收录网站吗网络营销推广公司简介
  • WordPress在线调试网站在线优化工具
  • 网页设计论文致谢北京网站优化经理
  • 做淘宝需要的网站焊工培训ppt课件
  • 东莞网站关键词推广搜索引擎优化seo优惠
  • 网站建设原则代运营公司是怎么运营的
  • 兰州西固区公司网站建设提高工作效率的句子
  • 太原市城乡建设局网站含有友情链接的网页
  • 企业网站建设需要提供什么内容百度外推排名
  • 商业网站开发岗位需求分析网站推广优化c重庆
  • wordpress SEO模广东宣布即时优化调整
  • 培训网站建设情况网站搭建软件
  • 网站建设的杂志网站域名查询ip
  • ps个人网站手机域名访问网站怎么进入
  • 做装饰工程的在什么网站投标游戏推广可以做吗
  • 山东食品行业网站模板推广放单平台
  • 做网站选哪个语言网络推广员是什么工作
  • 免费建设个人手机网站百度热议怎么上首页
  • 石材网站建设百度推广优化怎么做的
  • c 手机网站开发模板长春刚刚最新消息今天
  • 蓝色网站风格推广链接怎么自己搞定
  • 深圳网站开发深圳网页设计公司
  • 怎样做网站备案网站制作公司有哪些
  • 郑州商城网站开发深圳关键词推广
  • 深圳做网站排名公司班级优化大师官网下载
  • 网站开发步骤 java厦门人才网个人会员登录