免杀常用方法

适用范围:特征码所对应的内容必需是字符串,否则不能成功.（注意：函数不能用这种方法）
直接修改特征码的十六进制法（特征码十六进制加减1、nop）
修改方法:把特征码所对应的十六进制改成数字差1或差不多的十六进制、码所对应的十六进制,修改后一定要测试一下能否正常使用.
四.加花指令免杀要点：
由于黑客网站公布的花指令过不了一段时间就会被杀软辨认出来，所以需要你自己去搜集一些不常用的花指令，另外目前还有几款软件可以自动帮你加花，方便一些不熟悉的朋友，例如花指令添加器等。
四 改入口点免杀法:
1.改入口点免杀原理:杀毒软件一般都检测病毒还原之后的代码,而且一般都把代码段开始的前40个字节作为特征值.入口点改变了,说明也就破坏了特征码,这样就达到免杀的效果.
文件免杀方法：
1.加冷门壳
2.加花指令
3.改程序入口点
4.改木马文件特征码的5种常用方法
5.还有其它的几种免杀修改技巧
内存免杀方法：
修改内存特征码：
方法1>直接修改特征码的十六进制法
方法2>修改字符串大小写法
方法3>等价替换法
方法4>指令顺序调换法
方法5>通用跳转法
2.改入口点免杀方法一:入口地址加1法.
操作步骤:
第一步:配置一个无壳的木马服务端.
第二步:用PEditor打开木马程序服务端.在入口点处的地址加1.然后点应用更改就可以了.
评论:该方法对不同木马程序,有不同的效果,其它杀毒软件一般都可以躲过,但有些程序改过后还是被卡巴查杀.同时也不能过内存查杀,但以后结合加花指令,加壳等等方法,效果将非常不错.
方法一:直接修改特征码的十六进制法
1.修改方法:把特征码所对应的十六进制改成数字差1或差不多的十六进制.
2.适用范围:一定要精确定位特征码所对应的十六进制,修改后一定要测试一下能
否正常使用.
方法二:修改字符串大小写法
1.修改方法:把特征码所对应的内容是字符串的,只要把大小字互换一下就可以了.
4.选代码区域->转存->F9保存
5.测试运行->可以成功运行
6.用UPX压缩一下，缩小体积，OK 免杀成功
总结：虚拟机加密代码是比较新的免杀技术，可以和其他免杀技术有机的集合在一起，让你的木马变成金刚不坏.大家要多多掌握。
二 壳中改籽技术免杀
这种免杀很少有人用，所以免杀效果非常好，各大黑客网站也很少见到介绍，这里我把别人做黑洞免杀的文章发到这里，供大家研究.估计是浩天写的文章
4选择文件中的 特征码检测，，文件特征码检测，，，打开程序（要定位特证码的程序）
5在弹出的PE窗口中 直接点确定 ，之后弹出的窗口在点确定
6然后等CLL生成完毕之后用杀毒软件进行查杀
7在CLL中选 操作，结果定位，选中刚刚用来存放检测结果的文件夹
8在CLL中选
文件免杀之加花指令法
一.花指令相关知识：
木马的免杀[学用CLL定位文件和内存特怔码]
1.首先我们来看下什么叫文件特征码.
一般我们可以这样认为，一个木马程序在不运行的情况下，用杀毒软件查杀，若报警为病毒，说明存在该查毒软件的文件特征码的。
2.特征码的二种定位方法.
手动定位和自动定位
3.文件特征码的定位技巧.
通常用手动确定大范围，用自动精确定位小范围.
第四步：从这个零区域的起始地址开始一句一句的写入我们准备好的花指令代码。
第五步：花指令写完后，在花指令的结束位置加一句：JMP 刚才OD载入时的入口点内存地址。
第六步：保存修改结果后，最后用PEditor这款工具打开这个改过后的木马程序。在入口点处把原来的入口地址改成刚才记下的零区域的起始内存地址，并按应用更改。使更改生效。
1.修改方法:把具有特征码的代码顺序互换一下.
2.适用范围:具有一定的局限性,代码互换后要不能影响程序的正常执行
方法五:通用跳转法
1.修改方法:把特征码移到零区域(指代码的空隙处),然后一个JMP又跳回来执行.
2.适用范围:没有什么条件,是通用的改法,强烈建议大家要掌握这种改法.
七.木马免杀的综合修改方法
三.加花指令免杀技术总节：
1.优点：通用性非常不错，一般一个木马程序加入花指令后，就可以躲大部分的杀毒软件，不像改特征码，只能躲过某一种杀毒软件。
2.缺点：这种方法还是不能过具有内存查杀的杀毒软件，比如瑞星内存查杀等。
3.以后将加花指令与改入口点，加壳，改特征码这几种方法结合起来混合使用效果将非常不错。
其实是一段垃圾代码，和一些乱跳转，但并不影响程序的正常运行。加了花指令后，使一些杀毒软件无法正确识别木马程序，从而达到免杀的效果。
二.加花指令使木马免杀制作过程详解：
第一步：配置一个不加壳的木马程序。
第二步：用OD载入这个木马程序，同时记下入口点的内存地址。
第三步：向下拉滚动条，找到零区域（也就是可以插入代码的都是0的空白地方）。并记下零区域的起始内存地址。
适用范围:没有什么条件,是通用的改法,强烈建议大家要掌握这种改法.
指令顺序调换法：
修改方法:把具有特征码的代码顺序互换一下.
适用范围:具有一定的局限性,代码互换后要不能影响程序的正常执行
修改字符串大小写法：
修改方法:把特征码所对应的内容是字符串的,只要把大小字互换一下就可以了.
一 虚拟机加密免杀
最新免杀技术——虚拟机加密代码应用并非传统的修改特征码，也不是修改入口点+花指令，更不是
加壳压缩！是最新的一种免杀技术！借于这种技术你可以千变万化，是免杀对新手来说更为简单！
大家对虚拟机vmprotect是否有所了解，这个是最新的加密工具！可以加密PE文件中任何一句或一段代码
等价替换、通用跳转、指令顺序调换、大小写替换、特征码十六进制加减1、NOP、填0、以及特殊常见指令的修改方法
等价替换：
修改方法:JMP = JE JNE je改成jle ja/jle
适用范围:把特征码所对应的汇编指令命令中替换成类拟的指令
通用跳转法：
修改方法:把特征码移到零区域(指代码的空隙处),然后一个JMP又跳回来执行.（可以换成push xxxx retn）
2.适用范围:特征码所对应的内容必需是字符串,否则不能成功.
方法三:等价替换法
1.修改方法:把特征码所对应的汇编指令命令中替换成功能类拟的指令.
2.适用范围:特征码中必需有可以替换的汇编指令.比如JN,JNE 换成JMP等.
如果和我一样对汇编不懂的可以去查查8080汇编手册.
方法四:指令顺序调换法
为什么我一再提到这个区段呢？其实它就是文章的重点，也就是壳里面的籽。继续脱壳，用UPXShell打开修复好的黑洞服务端，点击解压缩，完成后我们可以看到程序由原来的201kb变成了506KB ，大了一倍多。
有人可能要问为什么一定要给它脱壳呢？直接修改不可以吗？其实主要是因为黑洞的服务端里还有一个用做键盘记录的dll文件，它也要做免杀处理。用 Resscope1.92打开黑洞的服务端，这个可是绝好的exe资源编辑器啊，先选择dllfile里面的getkey，然后点击文件→导出资源，这样dll文件就导出来了。它也是用upx加的变态壳，因为区段被加密了，所以我们也要给它脱壳，再加壳。脱壳的过程和先前脱黑洞服务端一样先用upxfix.exe打开它，但是这里注意在Decompress method里面，不要选择5，而是选择2修复，不然的话就脱不了壳了。
3.改入口点免杀方法二:变换入口地址法.
操作步骤:
第一步:用OD载入无壳木马程序服务端.
第二步:把入口点的开始二句代码(大都为push ebp mov ebp,esp).移到零区域也是就空白区域地方.并记下零区域的内存地址.同时在后面加一句跳转命令:JMP 到第三条指令的地址.
第三步:然后修正并保存,最后用PEditor打开该程序.把入口点改成刚才在零区域记下的内存地址.
test eax, eax
很多程序都是用test eax, eax来做检测返回值是否为0，那么遇到test eax, eax 那么可以直接改or eax, eax
call
例子：call 11111111
改成 call 22222222 （22222222为0区域）
2222处jmp 11111111
00404075 . 8BEC MOV EBP,ESP
00404077 . 83C4 F0 SUB ESP,10
--------------------------------------------------------------------------------
4.add ecx,2 可以改为 sub ecx,-2
(加ecx内存器＋2 减ecx内存器-2 - -2得＝2)
（特征码：0046B897）
0046B897: 83C4 F0 ADD ESP,-10 sub ESP,10
5.push 变 pop
(特征码：0046B96D)
PUSH EBP—POP EBP
PUSH EDX—POP EDX
POP EDX—PUSH EDX
6.je 变 jnz
(特征码：004230F6)
LOOPD SHORT *.*—JNZ SHORT *
7.add 变 sub
8.call跳转
call A （原地址）
先讲一下为什么这种技术叫“壳中改籽”。配置一个黑洞的服务端，然后用PEiD.exe来查看它是用什么加的壳，查到是UPX加的变态壳，程序的区段都给隐藏了，那么先得给黑洞服务端脱壳。用 upxfix.exe打开它，然后在Decompress method里面选择5，点击fix，这样就修复了。再用PEiD.exe查一下，看现在可以看到区段了吧。