等价替换、通用跳转、指令顺序调换、大小写替换、特征码十六进制加减1、NOP、填0、以及特殊常见指令的修改方法 等价替换：
修改方法:JMP = JE JNE je改成jle ja/jle
适用范围：把特征码所对应的汇编指令命令中替换成类拟的指令
通用跳转法：
修改方法：把特征码移到零区域(指代码的空隙处)，然后一个JMP又跳回来执行.（可以换成push xxxx retn）
适用范围：没有什么条件，是通用的改法，强烈建议大家要掌握这种改法.
指令顺序调换法：
修改方法：把具有特征码的代码顺序互换一下.
适用范围：具有一定的局限性，代码互换后要不能影响程序的正常执行
修改字符串大小写法：
修改方法：把特征码所对应的内容是字符串的，只要把大小字互换一下就可以了.
适用范围：特征码所对应的内容必需是字符串，否则不能成功.（注意：函数不能用这种方法）
直接修改特征码的十六进制法（特征码十六进制加减1、nop）
修改方法：把特征码所对应的十六进制改成数字差1或差不多的十六进制、或者填充90（nop）或者填0
适用范围：一定要精确定位特征码所对应的十六进制，修改后一定要测试一下能否正常使用.
test eax, eax
很多程序都是用test eax, eax来做检测返回值是否为0，那么遇到test eax, eax 那么可以直接改or eax, eax
call
例子：call 11111111
改成 call 22222222 （22222222为0区域）
2222处jmp 11111111
00404075 . 8BEC MOV EBP,ESP
00404077 . 83C4 F0 SUB ESP,10
--------------------------------------------------------------------------------
--------------------------------------------------------------------------------
1.NOP法 （常常检测自己是否定位正确）
2.加1法 （很牛B，很简单，但是不一定实用于每个特征码）
3.大小写替换（很好，很强大，修改后100%可以用！ 注意：PE头 函数 不能修改）
4.add ecx,2 可以改为 sub ecx,-2
(加ecx内存器＋2 减ecx内存器-2 - -2得＝2)
（特征码：0046B897）
0046B897: 83C4 F0 ADD ESP,-10 sub ESP,10
5.push 变 pop
(特征码：0046B96D)
PUSH EBP—POP EBP
PUSH EDX—POP EDX
POP EDX—PUSH EDX
6.je 变 jnz
(特征码：004230F6)
LOOPD SHORT *.*—JNZ SHORT *
7.add 变 sub
防盗手机套
8.call跳转
call A （原地址）
修改 call B (0区域)
B的位置写 call A (原地址)
00423210: E8 3B1DFFFF CALL 00414F50 （原地址）
0049575C: 0000 ADD [EAX],AL (0区域)
方法一：直接修改特征码的十六进制法
1.修改方法：把特征码所对应的十六进制改成数字差1或差不多的十六进制.
2.适
用范围：一定要精确定位特征码所对应的十六进制，修改后一定要测试一下能
否正常使用.
方法二：修改字符串大小写法
1.修改方法：把特征码所对应的内容是字符串的，只要把大小字互换一下就可以了.
2.适用范围：特征码所对应的内容必需是字符串，否则不能成功.
方法三：等价替换法
1.修改方法：把特征码所对应的汇编指令命令中替换成功能类拟的指令.
2.适用范围：特征码中必需有可以替换的汇编指令.比如JN,JNE 换成JMP等.
如果和我一样对汇编不懂的可以去查查8080汇编手册.
方法四：指令顺序调换法
1.修改方法：把具有特征码的代码顺序互换一下.
2.适用范围：具有一定的局限性，代码互换后要不能影响程序的正常执行
方法五：通用跳转法陶瓷灯头
1.修改方法：把特征码移到零区域(指代码的空隙处)，然后一个JMP又跳回来执行.
2.适用范围：没有什么条件，是通用的改法，强烈建议大家要掌握这种改法.
1.加冷门壳
2.加花指令
3.改程序入口点
4.改木马文件特征码的5种常用方法
5.还有其它的几种免杀修改技巧
内存免杀方法：
修改内存特征码：
方法1>直接修改特征码的十六进制法
方法2>修改字符串大小写法
方法3>等价替换法
方法4>指令顺序调换法
方法5>通用跳转法
木马的免杀[学用CLL定位文件和内存特怔码]
1.首先我们来看下什么叫文件特征码.
一般我们可以这样认为，一个木马程序在不运行的情况下，用杀毒软件查杀，若报警为病毒，说明存在该查毒软件的文件特征码的。
2.特征码的二种定位方法.
手动定位和自动定位
3.文件特征码的定位技巧.
通常用手动确定大范围，用自动精确定位小范围.
下面分别用瑞星和卡巴为例，实例演示并结合手动定位和自动定位二种方法来准确定位文件特征码。要定位的对像以下载者为例。
用卡巴来定位文件特征码
⑴.手动定位：
1 打开CLL
2 选择设置中的 总体参数 ，，，，，选中文件特征码手动定位，，，，以及路径
3选中设置中的 手动参数，，，，，选择替换方式 选中，，，总共生成规定个数的文件，，，生成个数为1000
4选择文件中的 特征码检测，，文件特征码检测，，，打开程序（要定位特证码的程序）
5在弹出的PE窗口中 直接点确定 ，之后弹出的窗口在点确定
6然后等CLL生成完毕之后用杀毒软件进行查杀
7在CLL中选 操作，结果定位，选中刚刚用来存放检测结果的文件夹
8在CLL中选
便携式翻译机文件免杀之加花指令法
一.花指令相关知识：
其实是一段垃圾代码，和一些乱跳转，但并不影响程序的正常运行。加了花指令后，使一些杀毒软件无法正确识
别木马程序，从而达到免杀的效果。
二.加花指令使木马免杀制作过程详解：
第一步：配置一个不加壳的木马程序。
第二步：用OD载入这个木马程序，同时记下入口点的内存地址。
第三步：向下拉滚动条，到零区域（也就是可以插入代码的都是0的空白地方）。并记下零区域的起始内存地址。
第四步：从这个零区域的起始地址开始一句一句的写入我们准备好的花指令代码。
第五步：花指令写完后，在花指令的结束位置加一句：JMP 刚才OD载入时的入口点内存地址。
第六步：保存修改结果后，最后用PEditor这款工具打开这个改过后的木马程序。在入口点处把原来的入口地址改成刚才记下的零区域的起始内存地址，并按应用更改。使更改生效。
三.加花指令免杀技术总节：
1.优点：通用性非常不错，一般一个木马程序加入花指令后，就可以躲大部分的杀毒软件，不像改特征码，只能躲过某一种杀毒软件。
2.缺点：这种方法还是不能过具有内存查杀的杀毒软件，比如瑞星内存查杀等。
3.以后将加花指令与改入口点，加壳，改特征码这几种方法结合起来混合使用效果将非常不错。
自制路由器天线四.加花指令免杀要点：
由于黑客网站公布的花指令过不了一段时间就会被杀软辨认出来，所以需要你自己去搜集一些不常用的花指令，另外目前还有几款软件可以自动帮你加花，方便一些不熟悉的朋友，例如花指令添加器等。志愿预测
四 改入口点免杀法:
1.改入口点免杀原理：杀毒软件一般都检测病毒还原之后的代码，而且一般都把代码段开始的前40个字节作为特征值.入口点改变了，说明也就破坏了特征码，这样就达到免杀的效果.
2.改入口点免杀方法一：入口地址加1法.
操作步骤:
第一步：配置一个无壳的木马服务端.
第二步：用PEditor打开木马程序服务端.在入口点处的地址加1.然后点应用更改就可以了.
评论：该方法对不同木马程序，有不同的效果，其它杀毒软件一般都可以躲过，但有些程序改过后还是被卡巴查杀.同时也不能过内存查杀，但以后结合加花指令，加壳等等方法，效果将非常不错.
3.改入口点免杀方法二：变换入口地址法.
操作步骤:环己甲酸
第一步：用OD载入无壳木马程序服务端.
第二步：把入口点的开始二句代码(大都为push ebp mov ebp,esp).移到零区域也是就空白区域地方.并记下零区域的内存地址.同时在后面加一句跳转命令:JMP 到第三条指令的地址.
第三步：然后修正并保存，最后用PEditor打开该程序.把入口点改成刚才在零区域记下的内存地址.
评论：该方法效果比方法一要好.经测试，用方法一改过后被卡巴查出来，用方法二就查不出来. 以后可以结合加花指令，加壳，改特征码，打
造金钢不死之身!
采用以上的方法可以躲过不少杀毒软件的追杀，并且方便快速，又很简单，所以是免杀里非常主要的手段，但是一定要检查文件是不是能够正常运行。
免杀新技术[虚拟机加密免杀]和[壳中改籽]
一 虚拟机加密免杀
最新免杀技术——虚拟机加密代码应用并非传统的修改特征码，也不是修改入口点+花指令，更不是
加壳压缩！是最新的一种免杀技术！借于这种技术你可以千变万化，是免杀对新手来说更为简单！
大家对虚拟机vmprotect是否有所了解，这个是最新的加密工具！可以加密PE文件中任何一句或一段代码
自然可以给我们用来免杀了！
免杀工具：vmprotect1.07或1.06PEID UPX
免杀步骤：原理说明：加密区段代码使杀毒软件无法识别！你可以特征码，到后加密特征码的代码！
用PEID查看入口点：假如这里的入口点是0007DB74基址是 00400000
3.用虚拟机vmprotect打开要免杀的文件，添加地址0047DB74=00400000+0007DB74基址+入口点
4.选代码区域->转存->F9保存
5.测试运行->可以成功运行
6.用UPX压缩一下，缩小体积，OK 免杀成功
总结：虚拟机加密代码是比较新的免杀技术，可以和其他免杀技术有机的集合在一起，让你的木马变
成金刚不坏.大家要多多掌握。
二 壳中改籽技术免杀
这种免杀很少有人用，所以免杀效果非常好，各大黑客网站也很少见到介绍，这里我把别人做黑洞免杀的文章发到这里，供大家研究.估计是浩天写的文章
先讲一下为什么这种技术叫“壳中改籽”。配置一个黑洞的服务端，然后用来查看它是用什么加的壳，查到是UPX加的变态壳，程序的区段都给隐藏了，那么先得给黑洞服务端脱壳。用 打开它，然后在Decompress method里面选择5，点击fix，这样就修复了。再用查一下，看现在可以看到区段了吧。
为什么我一再提到这个区段呢？其实它就是文章的重点，也就是壳里面的籽。继续脱壳，用UPXShell打开修复好的黑洞服务端，点击解压缩，完成后我们可以看到程序由原来的201kb变成了506KB ，大了一倍多。
有人可能要问为什么一定要给它脱壳呢？直接修改不可以吗？其实主要是因为黑洞的服务端里还有一个用做键盘记录的dll文件，它也要做免杀处理。用 Resscope1.92打开黑洞的服务端，这个可是绝好的exe资源编辑器啊，先选择dllfile里面的getkey，然后点击文件→导出资源，这样dll文件就导出来了。
它也是用upx加的变态壳，因为区段被加密了，所以我们也要给它脱壳，再加壳。脱壳的过程和先前脱黑洞服务端一样先用打开它，但是这里注意在Decompress method里面，不要选择5，而是选择2修复，不然的
话就脱不了壳了。
接着用UPXShell解压缩，现在dll文件的大小由原来的11kb变成了18.5kb，然后再用UPXShell重新给它加上壳。
三、修改upx壳里面的籽
把UPX加过壳的dll文件，用打开查看，这里有几个数据需要我们记录，等下和修改后的文件做比较用。
先分别把程序入口点：000C220、文件偏移量：00002620，记录下来，然后点击查看EP区段，在区段查看上面再点右键选择cave查器，把upx壳区段upx1的RVA：0000C3B5、 偏移：000027B5等参数也记录下来。
关键的时刻到了，闪亮登场。因为reloc 是一款命令下的工具，所以为了操作方便，我建议大家写一个bat文件和reloc放在同一目录。我们开始记录的数据现在派上用场了，编辑bat文件格式如下：
reloc 待修改程序 $程序入口 $文件偏移量 $壳的区段入口 $区段偏移 参数
那么对应我们的黑洞键盘记录dll文件所记录的数据，这个bat就应该这样写：
reloc 键盘记录.dll $C220$2620$C3B5$27B5 5
数据前面的零不要写到bat里面，另外最后面的这个参数大家注意，其实它是设置修改时的偏移量的，一般dll文件选择5，exe文件选择5-9之间的数，一般选择6就好了。
设置完了，我们运行这个bat文件，开始修改。完毕之后我分别用国内和国外最强的杀毒软件江民、诺盾和卡巴斯基对键盘记录.dll进行扫描，它们均未发现病毒，我们的木马成功躲了过去。用重新打开，可以发现PEiD已经无法分别键盘记录.dll是什么壳了，把原来记录的几个数据和现在对比一下发现程序入口和文件偏移量没有，而壳区段入口和区段偏移却改变。
飘舞的风在上一期的文章里面说道：“peidv0.92是通过每个程序的开头几十个字节来比较是那种壳。”，看来不仅仅如此，peidv0.92还把壳的区段入口开头的几十个字节也作为了用来判断壳的类型的特征代码，杀毒软件也是如此，这样简单修改一下我们的木马就免杀了。
着把这个已经修改好的dll文件，导回到黑洞的服务端，方法和导出dll是一样的，我就不再讲述了，然后把它用UPXShell再次加壳，加壳后的大小为200kb。
现在可以开始我们的第二次免杀之旅了，同样用把程序入口、文件偏移量、壳的区段入口、区段偏移，等数据记录下来，写入bat文件。
我的bat是这样写的：
$88620$30A20$887A3$30BA3 6
我前面已经讲过了，修改exe文件的时候，参数选择5-9之间的数，一般选择6就好了。现在运行bat文件，黑洞服务端的免杀就全部完成了。用查看，显示的是“Nothing found”看来PEiD已经不认识它了，再用江民、诺盾和卡巴斯基查杀，均显示无病毒，呵呵，欺骗成功。
四、结语
经过这么简单的修改以
豫公网安备41160202000603
站长QQ:729038198
关于我们
投诉建议