简单实现特络伊木马“加脱壳”

编者按：我们将会为你全面剖析时下流行的href=”http://www.pcdu.net/anquan/Trojan/””>木马查杀法攻防相关知识，让你在碰到中招的情况后，也不至于只会格式化再重装系统了事。通过对href=””http://www.pcdu.net/anquan/Trojan/””>木马查杀法的制作→伪装→种植→防范全程攻略，让大家对于看似老生常谈的href=””http://www.pcdu.net/anquan/Trojan/””>木马查杀法有一个比较系统的认识。
　　为什么要加/脱壳？对于黑客来说，这项技术被淋漓尽致地应用到了伪装href=””http://www.pcdu.net/anquan/Trojan/””>木马查杀法客户端上，目的是为了防止被杀毒软件反跟踪查杀和被跟踪调试，同时也防止算法程序被别人静态分析。
　　用pe-scan给href=””http://www.pcdu.net/anquan/Trojan/””>木马查杀法脱壳
　　href=””http://www.pcdu.net/anquan/Trojan/””>木马查杀法研究爱好者cytkk第一时间在国外某著名黑客论坛下载到了最新的反弹端口型href=””http://www.pcdu.net/anquan/Trojan/””>木马查杀法（以下简称href=””http://www.pcdu.net/anquan/Trojan/””>木马查杀法Z），正欲体验其强大的功能时，不料被Norton Antivirus逮个正着，令人郁闷不已。Cytkk企图使用加壳软件UPX（Ultra Packer For executable）对它进行简单包装来骗过杀毒软件，哪料提示加壳失败，检测得知href=””http://www.pcdu.net/anquan/Trojan/””>木马查杀法Z早已被程序作者用UPX压缩，当务之急是要先去除这个已被Norton Antivirus识破的烂壳。
　　cytkk运行一款名叫pe-scan 3.31的软件。点击open打开href=””http://www.pcdu.net/anquan/Trojan/””>木马查杀法Z的客户端，在居中的显示框内得知加壳类型为UPX，再点击unpack→start，cytkk按照提示设置好保存目录和文件名就完成了整个脱壳操作。这样一来就得到了href=””http://www.pcdu.net/anquan/Trojan/””>木马查杀法Z的原始客户端程序。
　　高手传经：在经过复杂的多重加壳后，检测出的结果就不一定准确了，此时就需要使用adv.scan高级扫描， pe-scan会分析出被各种加壳工具加壳的可能性。
　　重新加壳欺骗杀毒软件
　　接下来cytkk要做的就是给href=””http://www.pcdu.net/anquan/Trojan/””>木马查杀法Z的原始客户端进行一次成功的加壳，根据以往的经验，此时用ASPack1.12是个明智之举，它拥有标准的Windows界面，操作简单直观。为了保证加壳后程序的完整性，cytkk放弃了最大可能的压缩，在选项中去掉了压缩资源的勾选并选择了保留额外数据。压缩选项很直观，有两个进度条，上面一个表示压缩进度，下面一个则是压缩后的文件大小。压缩完成后，cytkk便迫不及待地点击左边的测试按钮来进行完整性测试。结果没让cytkk失望，ASPack的出色表现使以严厉著称的Norton Antivirus对加壳后的href=””http://www.pcdu.net/anquan/Trojan/””>木马查杀法Z也视而不见了。
　　文中所述软件打包下载：http://www.sixvee.com/520yy/tools/cytkk-1.rar
　　”