木马特征值免杀 完成木马特征值免杀实验，注意生成的种子文件名需带上学号。
并利用生成的免杀种子实现网页挂马，网页上必须有学号信息。
最后说说有哪些有趣的修改特征值的方法。
一. 木马特征值免杀 0x01. 灰鸽子配置生成木马
0x02. 使用MyCCL复合特征码定位器反复缩小目标进行定位
0x03. 直到定位到很小的区间
0x04. 用工具将文件偏移地址
0009B9C3
转换成内存地址
0049C5C3
0x05. 使用OD跳转特征值语句的执行顺序以实现免杀
0049C5C1 JMP 004A2788 ;跳转到一片空白区域.........004A279D MOV EAX,DWORD PTR SS:[EBP-101C] ;执行原特征值语句004A2788 JMP 0049C5C7 ;跳转回原地址的下一语句的地址
0x06. 将修改后的文件并重新导出为新的免杀程序
0x07. 杀毒程序扫描通过
0x08.放到http服务器上
0x09. 编辑网页参数，利用IE浏览器漏洞实现网页挂马
0x0a.
Win
+
R
输入
services.msc
打开服务窗口，找到Apache2.2右击属性,修改为手动开启，后并手动开启该服务
0x0b. Win XP访问目标网站，被远程植入木马
0x0c.Win 7灰鸽子客户端发现靶机上线
0x0d. 靶机木马程序清除步骤
手动删除： 打开XP虚拟机，启动IE浏览器，单击菜 单栏-工具-Internet选项，弹出Internet选项配置对话框，单击“删除文件”按钮，在弹出的“删除文件”对话框中，选择“删除所有脱机内容”复选框，单击“确定”按钮直到完成； 双击“我的电脑”，在浏览器中单击“工具”-“文件夹选项”菜单项，单击“查看”属性页，选中“显示所有文件和文件夹”，并将“隐藏收保护的操作系统文件”复选框置为不选中状态，单击“确定”按钮； 关闭已打开的web页面，启动“windows”任务管理器，单击“进程”属性页，在“印象名称”中选中所有“IEXPLORE.EXE”进程，单击“结束进程”按钮； 删除“C:\WINDOWS\Hacker.com.cn.exe”文件； 启动“服务”管理器，选中右侧详细列表中的“GrayPigeon_Hacker.com.cn”，单击右键，在弹出菜单选中“属性”菜单项，在弹出的对话框中，将“启动类型”改为“禁用”，单击“确定”按钮； 启动注册表编辑器，删除
HKEY_LOCAL_MACHINE\SYSTEM\CurrentContronlSet\Service\GrayPigeon_Hacker.com.cn
节点； 重新启动计算机； 打开灰鸽子程序，查看自动上线主机，已经不存在了。
二. 修改特征值的方法 方法⼀:直接修改特征码的十六进制法
1.修改方法:把特征码所对应的⼗六进制改成数字差1或差不多的⼗六进制.2.适⽤范围:⼀定要精确定位特征码所对应的⼗六进制,修改后⼀定要测试⼀下能否正常使⽤.
方法⼆:修改字符串大小写法
1.修改方法:把特征码所对应的内容是字符串的,只要把大小字互换⼀下就可以了.2.适⽤范围:特征码所对应的内容必需是字符串,否则不能成功.
方法三:等价替换法
1.修改方法:把特征码所对应的汇编指令命令中替换成功能类拟的指令.2.适⽤范围:特征码中必需有可以替换的汇编指令.⽐如JN,JNE 换成JMP等.
方法四:指令顺序调换法
1.修改方法:把具有特征码的代码顺序互换⼀下.2.适⽤范围:具有⼀定的局限性,代码互换后要不能影响程序的正常执⾏
方法五:通用跳转法
1.修改方法:把特征码移到零区域(指代码的空隙处),然后⼀个JMP⼜跳回来执⾏.2.适⽤范围:没有什么条件,是通⽤的改法
感谢每一个认真阅读我文章的人，礼尚往来总是要有的，虽然不是什么很值钱的东西，如果你用得到的话可以直接拿走： 这些资料，对于【网络安全】的朋友来说应该是最全面最完整的备战仓库，这个仓库也陪伴上万个网络安全工程师们走过最艰难的路程，希望也能帮助到你!有需要的小伙伴可以点击下方小卡片领取