这三种是目前杀毒软件常用的杀毒模式。

1.   文件查杀

杀毒软件对磁盘中的文件进行静态扫描，一旦发现文件带有病毒库中的病毒特征代码就给予查杀。（黑洞2005 服务端VS 卡巴做演示）

2.   内存查杀

杀毒软件把病毒特征代码释放到内存中，然后与内存中的文件进行比对，发现有文件中带有病毒特征代码就给予查杀。（灰鸽子2005服务端 VS 瑞星做演示）灰鸽子2.02 特征码为：0049AEC8

3.   行为杀毒

杀毒软件用木马运行后的一些特定的行为作为判断是否为木马的依据。比如：啊拉QQ大盗在运行后会增加一个名为NTdhcp.exe的进程，还有彩虹桥的服务端在运行后会在注册表添加名为HKLM\SOFTWARE\Microsoft\Active Setup\Installed Components\{9B71D88C-C598-4935-C5D1-43AA4DB90836}\stubpath的键值。

行为杀毒的典型杀毒软件—绿鹰PC万能精灵。

[名词解释] 病毒特征代码：杀毒软件截获到一个木马后，将会提取木马中比较关键的一段代码作为辨认这个木马的特征代码，在杀毒过程中把它拿出来和磁盘中的文件做比对。就和我们辨认人一样，一看到一个人就把他的相貌特征记下来，比如：大眼睛啊、瓜子脸啊，在下次见到他的时候一眼就可以认出来。

PcShare可算国内最优秀的远程控制软件之一，其特有的驱动级隐藏技术让PS的隐蔽性有了质的提升。可再好的隐藏也必须先过安装这一关，由于杀软的特征码库中早已有PS的代码，所以在开监测的情况下，当服务端释放*.D1L和*.SYS两个文件时杀软会报警，因此没法儿安装。这时应该做什么？当然是免杀。加壳是没用的，要改特征码。改文件和内存特征码在前几期的黑防都已介绍过，照旧修改就可以。关键PS中有个驱动程序PcHide.SYS，它的特征码又应该怎么修改呢？这里就和大家交流一下含驱动的程序特征码修改，使用的杀软是最新的KV2006，PS使用的是中安网培下载的黑盟玫瑰破解完全版。（用盗版只是测试，大家多支持正版。）其它工具包括特征码修改器CCLv2.7.1、IDA　pro 4.7、OllyDbg、PeInfo、IceSword及UltraEdit。

1．驱动程序PcHide.SYS的修改
上来就是重头戏，先来修改驱动的文件特征码吧。第一步是用CCL确定其特征码位置，CCL的使用过程就不再赘述了，直接用自动定位功能，检测大小为10，检测范围为text既代码段。直接看定位结果如下：
0001 000003DC 0000001F 000003FB
0002 000003FC 0000003E 0000043A
0003 00001C78 0000001F 00001C97
0004 00001C98 0000003E 00001CD6
0005 00001CD7 0000003E 00001D15
看看结果，聪明的你应该发现虽然有5处数据，但前2段和后3段分别相连，也就是说PcHide.SYS总共只有两处特征码，分别在000003DC到0000043A和00001C78到00001D15。像这样两处相连而又相隔较远的情况，一般说来两处必须都要修改。(在结果较多且较分散时，判断起来会麻烦一点，所以我给CCL加了个功能，可以很快确定至少要修改几处，修改哪几处。将在下文介绍。)
下面是IDA反汇编，看代码。先来看3DC处。看来不是汇编指令。没关系，在IDA中切换到Hex View窗口观察，原来是字符串“D:\PcShare\瘝鐗堟湰\PcHide\objfre\i386\PcHide.pdb”。中间的乱码没关系，因为我们看到了PcShare和PcHide。改字符串最简单的方法是改大小写，原则是不能干扰原文件执行。这里的字符串给出了一个pdb文件（符号文件？）的路径，虽然我不知道它的具体作用，但大小写改变应该没问题。于是，在UltraEdit中将该处的大写字母全改为小写，完后保存。
光修改这处不行，KV检测一下还会报警，也证实了前面的判断——两处都要修改――是正确的。再来看第二处1C78的代码，修改该处代码既是重点又是难点。
…
.text:00011C78 xor ecx, ecx
.text:00011C7A cmp byte_12280, cl
.text:00011C80 jz locret_11D68
.text:00011C86 push esi
.text:00011C87 cli
.text:00011C88 mov eax, cr0
.text:00011C8B and eax, 0FFFEFFFFh
.text:00011C90 mov cr0, eax
.text:00011C93 mov edx, dword_130EC
.text:00011C99 mov edx, [edx]
.text:00011C9B mov esi, dword_130E0
.text:00011CA1 mov eax, ds:ZwQuerySystemInformation
…
修改的难点有二，一是该段中包含跳转指令jz，二是指令的顺序没法交换。驱动程序是在内核执行的文件，所以修改时一定要注意，能不添加代码就不要添加，尽量不改变原代码的整体大小。因此，这里用了个特殊的方法。注意这一句and　eax,0FFFEFFFFh。要知道eax是CPU最常用的寄存器，因此操作eax的指令通常既短小速度也快，我们看一下这句指令的十六进制编码：25 FF FF FE FF。很明显，25是指令，FFFFFEFF是参数。而and ebx,FFFFFEFF的编码是什么呢？最方便的查看指令编码的工具就是OD了，用OD任意打开一个可执行文件（OD不能直接打开驱动文件），做一下试验，得到编码为：81E3 FFFFFEFF。呵呵，多了一个字节。（看一下Intel指令参考就知道，81代表and指令，E3代表ebx及操作方式，确实eax的指令被优化了。）我们的思路，将这里的寄存器改为ebx。但多出的一字节怎么办呢，不能将所有的代码都向下平移吧！呵呵，我们要在下面的代码中将这个字节找回来。看mov edx, dword_130EC，它的编码为：8B 15 EC 30 01 00，足足6字节。把这里的edx换为eax会怎么样，同样在OD中键入mov eax,dword ptr ds:[130EC]，看到了吧，它的编码为：A1 EC300100，只有5个字节，这样代码的大小就平衡了。
还有一个问题要注意，为什么可以将edx改为eax，如果eax存有其它的值怎么办，那不就改变原程序的执行结果啦。不会的，因为向下三行有这样的代码：mov eax, ds:ZwQuerySystemInformation，说明eax的值在这里被更新，因此可以判断出修改eax的值不会影响程序执行。方法已经有了，下面修改。先在OD中将如下代码键入（加黑体的是我们修改的地方。
10003817 0F20C3 mov ebx,cr0
1000381A 81E3 FFFFFEFF and ebx,FFFEFFFF
10003820 0F22C3 mov cr0,ebx
10003823 A1 EC300100 mov eax,dword ptr ds:[130EC]
10003828 8B10 mov edx,dword ptr ds:[eax]
5句代码共19个字节，与未修改时的一样。由于OD不能直接打开SYS，所以我们用UltraEdit打开PcHide.SYS，直接修改十六进制数据。修改完后保存，再用KV检测。怎么样，文件免杀成功。
下面是非常关键的一步，修改文件的校验和(CheckSum)。这一步也许是众多网友修改后的驱动无法加载的原因。用PeInfo打开sys文件，点击CheckSum，程序自动计算出结果，再点修改就可以了。那么驱动的文件特征码改完了，内存的需不需要改呢？我们来试一下：用驱动加载程序将PcHide.sys加载到内存中，用KV进行内存检测。加载工具用InstDvr（www.rootkit.com/vault/hoglund/InstDvr.zip），运行时输入sys文件全路径，先是Install安装，然后Start开始执行。若显示Operation was successful，表示操作成功。用KV检测，呵呵，检测不到，这样就避免了我们修改内存特征码的麻烦。（没试之前我还真犯愁，CCL暂不具备定位驱动文件内存特征码的功能，这下可以偷懒了，不用再写代码！）
PcClient.dll、PcKey.dll与PcInit.exe的文件特征码修改。PS共包括四个关键文件，除了那个SYS处就是这三个。既然不是驱动程序，修改起来真是得心应手。过程就不多说了，只详细说一下改PcClient.dll的，其它直接给出结果，中间的注意事项会提出来。PcClient第一次定位设置：手动，生成100个文件，范围为整个文件。定位结果为：
0001 00000000 0000028E 0000028E
0002 00002B6E 00000147 00002CB5
0003 000036ED 00000147 00003834
0004 00007D2E 000002D2 00008000
注意，手动检测如果能剩余多个文件不被杀（文件头被覆盖的除外，比如0001项），说明该文件既使有多处特征码，也只需修改一处既可免杀。看结果，范围较大，我们将定位精度调高，再检测一次。将CCL设置为：手动，替换精度16字节，范围为00002B6E开始处0x147个字节（既选取了0002项），再次定位结果就一项：
0001 00002C3E 00000070 00002CAE
为什么我们将精度设为16，结果的范围却这么大，为70。这说明该特征码本身范围较大，任意改动一小处既可搞定。OK，都不用IDA出手，直接用OD打开PcClient.dll，来到10002C3E处，有如下代码：
…
.text:10002C41 mov edi, [esp+lpServiceName]
.text:10002C45 mov esi, eax
…
.text:10002C81 mov edi, [esp+lpDisplayName]
.text:10002C85 mov esi, eax
…
好爽，最简单的方法，交换顺序既可。保存后再用KV检测，免杀again!下面是其余两个文件的修改，这时我没用手动，而用了自动定位，检测范围就是text段，给出结果先。PcKey.dll这样修改：
.text:10001191 mov esi, eax
.text:10001193 test esi, esi
.text:10001195 jz short loc_100011F7
.text:10001197 mov ecx, 0FFh
.text:1000119C xor eax, eax
.text:1000119E lea edi, [esp+608h+var_400+1]
将test esi,esi换为or esi,esi既可。（晕死，改了一个字节就搞定，服了KV！）PcInit.exe共修改两处，一处是
.text:004016AE stosd
.text:004016AF stosb
第二处是
.text:004017CE test eax, eax
怎么改不用我说了吧。交换顺序，test变or。再检测，成功。到这里，三个文件的文件特征码全部修改成功。这里说一下上文提到的CCL定位结果排列组合功能，比如在定位PcKey.dll时，自动定位结果为：
0001 00001180 00000070 000011F0
0002 00001790 00000020 000017B0
0003 000017C0 00000010 000017D0
0004 000017E0 00000010 000017F0
精度已经够小了，可四处结果先改哪一处好呢。这时就可以用CCL的该功能：打开PcKey.dll，导入刚才的定位结果，然后点生成。如图4所示。在output文件夹里生成了一些文件名为R_X_XXXXXX的文件。用KV对output文件夹扫描，完后删除报警的文件（这里一个也没有删除），再点击检测钮，CCL会给出如下结果：

只修改一处特征码时,仅需修改
第 1 处
或 第 2 处
或 第 3 处
或 第 4 处

同时修改两处特征码时,可以修改
第 1 处 和 第 2 处
或 第 1 处 和 第 3 处
或 第 1 处 和 第 4 处
或 第 2 处 和 第 3 处
或 第 2 处 和 第 4 处
或 第 3 处 和 第 4 处

同时修改三处特征码时,可以修改
第 1 处 、第 2 处 和 第 3 处
或 第 1 处 、第 2 处 和 第 4 处
或 第 1 处 、第 3 处 和 第 4 处
或 第 2 处 、第 3 处 和 第 4 处

这说明只需任意修改一处既可。爽吧，不用一个个去试了！
3．内存特征码的修改
过去我们已经验证了瑞星的文件和内存用了两套特征码，现在KV也具备了内存检测功能，是否也同样是两套特征码呢？我试了一下，生成服务端并用KV检测，不报警，说明文件特征码已成功修改。但双击运行一下，告知没有权限或找不到文件，一切对服务端文件的操作都给禁止了，这肯定是KV搞的鬼。原理我不太清楚了，也许是KV虚拟机执行后检测到内存特征码吧，但这说明一个问题：内存特征码也得改！
定位内存特征码时可每一回合点暂停，并用KV检测内存，根据报警文件的名称选择CCL的复选框，再点击运行，进入下一回合，直到最后CCL给出结果。至于KV提示的“是否清除”，点否既可。
过程不讲了，直接给结果。对于PcClient.dll，将10002C49处的call 10002BA0改为call 10002C67，并在10002C67处的空白添加如下代码：
10002C67 E8 34FFFFFF call PcClient.10002BA0
10002C6C C3 retn
相当于做了一个间接的CALL。
第二个PcKey.dll在改完文件特征码后直接内存免杀，检验的方法为用OD加载，并用KV检测内存，dll和exe方法一样。
就剩下PcInit.exe了，还真有点麻烦，因为会出现定位结果处怎么修改都不行的情况，下面边说边解释，并给出解决方法。PcInit.exe的内存特征码定位结果倒是很简单，就一处：
0001 00001798 00000010 000017A8
该处代码为：
00401798 je PcInit.00401A58
0040179E mov eax,dword ptr ss:[ebp-20]
004017A1 cmp eax,dword ptr ds:[esi+8]
004017A4 jnz PcInit.00401A58
修改起来很简单，将je处的跳转地址改为一个空白地址004025E0，在空白处添加一个jmp就可以了：004025E0 jmp PcInit.00401A58。可这样修改后，用OD加载仍旧报警。我在这里耽误了好一段时间，最后决定改一下入口试试。在空白处添加新的入口：
004025E5 68 3C244000 push PcInit.
004025EA 58 pop eax
004025EB FFE0 jmp eax
保存后用PeInfo将PcInit.exe的入口改为000025E5。保存修改后再用OD加载并用KV检测内存，呵呵免杀。看来杀软的特征码判断确实和入口处代码(或偏移)相关，至少对待一部分程序是这样。

4．效果检测及PcShare的卸载
由于我没有肉鸡，所以只能在自已机器上检测一下运行情况，而能否正常工作就不试了，应该没问题。先生成服务端，再打开KV的全部监视，双击运行。嘿嘿，服务端的图标一闪就没了，而KV丝毫没有察觉。打开IcsSword，在SSDT里查看PS驱动是否加载。如图5所示，列表中红色的Yxxxxxxx.sys就是PS的核心，PS的文件名总是以Y开头，后面7个字母随机。还有几行红色的KRegEx.sys是什么呢？那是KV的驱动。查看进程，多了个iexplorer.exe，关闭它马上又会重启，这是因为在一个svchost.exe的进程中有守护线程。
打开KV，此时无论你用内存检测还是文件检测都没有用了。（如果可以检测出来，当初KV是不会让PS加载的。）顺便讲一下删除的方法，先在IceSword里的File里将windows\system32\drivers\Y*.sys删除，再重启动计算机。这时另一个被释放的文件windows\system32\Y*.D1L及注册表中的数据就现身了，删除之（也可以启动到DOS下删除）。在注册表里查找Y*，删除所有项就OK了。btw:IceSword确实猛！

结语：
看来靠无休止的升级杀毒软件和打补丁是没法儿保证电脑的安全的，主要还是用户的安全意识和水平的提高。介绍这个方法不是让大家都去改马，而是探讨一种方法，也是为了杀软更好的进步。

修改免杀基本方法：
修改内存特征码--->
1>入口点加1免杀法---> 1>加压缩壳--->1>再加壳或多重加壳
2>变化入口地址免杀法 2>加成僻壳   2>加壳的伪装.
3>加花指令法免杀法       3>打乱壳的头文件
4>修改文件特征码免杀法

1.完全免杀方案一:

内存特征码修改 + 加UPX壳 + 秘密行动工具打乱UPX壳的头文件.

2.完全免杀方案二:

内存特征码修改 + 加压缩壳 + 加壳的伪装

3.完全免杀方案三:

内存特征码修改 + 修改各种杀毒软件的文件特征码 + 加压缩壳

4.完全免杀方案四:

内存特征码修改 + 加花指令 + 加压壳

5.完全变态免杀方案五:

内存特征码修改 + 加花指令 + 入口点加1 + 加压缩壳UPX + 打乱壳的头文件

还有其它免杀方案可根据第五部分任意组合.

 
  想成为一个比较优秀的黑客！我们就得掌握很多方面的技术，那当然其中有一项就是免杀技术！免杀技术在重多技术中算是最简单的，但也是最基础的。对于新手来说，做一个免杀的木马还是比较棘手的！就因为这个原因，所以最近网上出现了很多卖免杀服务的人。大概1个免杀木马能卖几十元到200元之间吧！那真的有必要花这些冤枉钱吗？那么当然是没必要咯！在这里我送给大家一句话：自己动手丰衣足食！所以我决定做一套完整的免杀教程，让所有新手都学会做免杀！这只是第一节课，后面还有很多内容。所以没办法一次性做完。这节课的主要目的是让大家了解一下免杀技术的一些概念！

  如果已经会做免杀或者觉的这些内容不重要的朋友，那你们可以跳过这部分内容，因为下节课才是正式开始教大家从零开始学做免杀。

那么首先我们来了解一下什么才算是是完全免杀！那么大体上可以分为两个方面：

      一：文件免杀
      二：内存免杀

这里只要象征性的性的了解一下就行！没什么好讲的！

现在来介绍一下目前流行的几种免杀方法！

常用免杀方法：
                     
        1.特征码定位(主要是用CCL和MYCCL等工具定位出杀毒软件的特征码，然后对相应的特征码做适当的修改，从而实现免杀）优点：效果好。 缺点：费时间。
        2.大小写替换（大小写转换）
        3.指令顺序调换（把两个指令换个位子咯，当然不是随便让你换咯）
        4.16进制数值加1（这个方法不是很通用）
        5.JMP跳转（这个可以说是很实用的，通用性强简单，操作）
        6.改程序入口点（这个超简单）
        7.加花指令（这个也很简单，用一些加花工具就能办到，但这里主要涉及手工加花）
        8.指令等效替换（这个需要一点汇编基础,新手请勿模仿！）
        9.加密（这个简单的不行了。这里主要涉及VM加密和其他软件加密）
        10.加壳（这个大家应该都会）
        11.入口点加1（这个不说了，傻B都会哦）
        12.垃圾代码清0（这个要一点汇编基础，能看懂哪些代码是没用的就行！）
        13.这里省略!因为太多了～～
 
这些是比较普通的免杀方法，那么当然有很多变态免杀方法了。我们得先把这几种普通的免杀方法先掌握，在以后的教程中我会给大家公布一些我自己的免杀方法！

  下面这些内容。大家可以象征性的看一看！那么下节课就正是开始教大家做免杀。（课程内容：主要结合一些实例来演示一下目前比较常用的几种免杀方法。）
PE文件结构的总体层次分布如下所示

--------------
|DOS MZ Header |
|--------------|
|DOS Stub     |
|--------------|
|PE Header   |
|--------------|
|Section Table |
|--------------|
|Section 1   |
|--------------|
|Section 2   |
|--------------|
|Section ...   |
|--------------|
|Section n   |
--------------

1.1 DOS Header

  PE文件最开始是一个简单的 DOS MZ header，它是一个 IMAGE_DOS_HEADER 结构。有了它，一旦程序在DOS下执行，DOS就能识别出这是有效的执行体，然后运行紧随 MZ Header 之后的 DOS Stub。

1.2 DOS Stub  

  DOS Stub 是一个有效的 DOS 程序。当程序在DOS下运时，输出象 "This program cannot be run in DOS mode" 这样的提示。在 图1.1中就可以看到字符串 "This program cannot be run in DOS mode"。这是编译器生成的默认stub程序。你也可以通过链接选项 /STUB:filename 指定任何有效的MS-DOS可执行文件来替换它。

1.3 PE Header

  紧接着 DOS Stub 的是 PE Header。它是一个 IMAGE_NT_HEADERS 结构。其中包含了很多PE文件被载入内存时需要用到的重要域。执行体在支持PE文件结构的操作系统中执行时，PE装载器将从 DOS MZ header 中找到 PE header 的起始偏移量。因而跳过了 DOS stub 直接定位到真正的文件头 PE header。

1.4 Section Table

  PE Header 接下来的数组结构 Section Table (节表)。如果PE文件里有5个节，那么此 Section Table 结构数组内就有5个成员，每个成员包含对应节的属性、文件偏移量、虚拟偏移量等。图1中的节表有4个成员。

1.5 Sections

  PE文件的真正内容划分成块，称之为sections（节）。Sections 是以其起始位址来排列，而不是以其字母次序来排列。通过节表提供的信息，我们可以找到这些节。图1.1所示的 explorer.exe 中有4个节。程序的代码，资源等等就放在这些节中。