本文目录一览：
木马怎么做免杀，会的写详细点？本人菜鸟！
如果你想学习免杀技术:1.基础的汇编语言 2.修改工具(不指那些傻瓜式软件).如:
OllyDbg . PEditor. C32ASM . MYCCL复合特征码定位器.UE .OC. 资源编辑器等.还有一些查壳 脱壳软件(如:PEID RL脱壳机等) . 以下是常用的几种免杀方法及工具:一. 要使一个木马免杀，首先要准备一个不加壳的木马，这点非常重要，否则
免杀操作就不能进行下去。
二.然后我们要木马的内存免杀，从上面分析可以看出，目前的内存查杀，只有
瑞星最强，其它杀毒软件内存查杀现在还不起作用所以我们只针对瑞星的内存查杀
，要进行内存特征码的定位和修改，才能内存免杀。
二.对符其它的杀毒软件，比如江民，金山，诺顿,卡巴.我们可以采用下面的方
法,或这些方面的组合使用.1.入口点加1免杀法.
2.变化入口地址免杀法
3.加花指令法免杀法
4.加壳或加伪装壳免杀法.
5.打乱壳的头文件免杀法.
6.修改文件特征码免杀法.
第三部分:免杀技术实例演示部分
一.入口点加1免杀法:
1.用到工具:PEditor
2.特点:非常简单实用,但有时还会被卡巴查杀.
3.操作要点:用PEditor打开无壳木马程序,把原入口点加1即可.
二.变化入口地址免杀法:
1.用到工具:OllyDbg,PEditor
2.特点:操作也比较容易,而且免杀效果比入口点加1点要佳.
3.操作要点:用OD载入无壳的木马程序,把入口点的前二句移到零区域去执行,然后
又跳回到入口点的下面第三句继续执行.最后用PEditor把入口点改成零区域的地址.
三.加花指令法免杀法:
1.用到工具:OllyDbg,PEditor
2.特点:免杀通用性非常好,加了花指令后,就基本达到大量杀毒软件的免杀.
3.操作要点:用OD打开无壳的木马程序,找到零区域,把我们准备好的花指令填进去
填好后又跳回到入口点,保存好后,再用PEditor把入口点改成零区域处填入花指令
的着地址.
四.加壳或加伪装壳免杀法:
1.用到工具:一些冷门壳,或加伪装壳的工具,比如木马彩衣等.
2.特点:操作简单化,但免杀的时间不长,可能很快被杀,也很难躲过卡巴的追杀.
3.操作要点:为了达到更好的免杀效果可采用多重加壳,或加了壳后在加伪装壳的
免杀效果更佳.
五.打乱壳的头文件或壳中加花免杀法:
1.用到工具:秘密行动 ,UPX加壳工具.
2.特点:操作也是傻瓜化,免杀效果也正当不错,特别对卡巴的免杀效果非常好.
3.操作要点:首先一定要把没加过壳的木马程序用UPX加层壳,然后用秘密行动这款
工具中的SCramble功能进行把UPX壳的头文件打乱,从而达到免杀效果.
六.修改文件特征码免杀法:
1.用到工具:特征码定位器,OllyDbg
2.特点:操作较复杂,要定位修改一系列过程,而且只针对每种杀毒软件的免杀,要
达到多种杀毒软件的免杀,必需修改各种杀毒软件的特征码.但免杀效果好.
3.操作要点:对某种杀毒软件的特征码的定位到修改一系列慢长过程.
第四部分:快速定位与修改瑞星内存特征码
一. 瑞星内存特征码特点:由于技术原因,目前瑞星的内存特征码在90%以上把字符
串作为病毒特征码,这样对我们的定位和修改带来了方便.
二定位与修改要点:1.首先用特征码定位器大致定位出瑞星内存特征码位置
2.然后用UE打开,找到这个大致位置,看看,哪些方面对应的是
字符串,用0替换后再用内存查杀进行查杀.直到找到内存特征
码后,只要把字符串的大小写互换就能达到内存免杀效果.
第五部分:木马免杀综合方案
修改内存特征码---1入口点加1免杀法--- 1加压缩壳---1再加壳或多重加壳
2变化入口地址免杀法 2加成僻壳 2加壳的伪装.
3加花指令法免杀法 3打乱壳的头文件
4修改文件特征码免杀法
注:这个方案可以任意组合各种不同的免杀方案.并达到各种不同的免杀效果.
第六部分:免杀方案实例演示部分
1.完全免杀方案一:
内存特征码修改 + 加UPX壳 + 秘密行动工具打乱UPX壳的头文件.
2.完全免杀方案二:
内存特征码修改 + 加压缩壳 + 加壳的伪装
3.完全免杀方案三:
内存特征码修改 + 修改各种杀毒软件的文件特征码 + 加压缩壳
4.完全免杀方案四:
内存特征码修改 + 加花指令 + 加压壳
5.完全变态免杀方案五:
内存特征码修改 + 加花指令 + 入口点加1 + 加压缩壳UPX + 打乱壳的头文件
还有其它免杀方案可根据第五部分任意组合.
如何给木马做免杀
给木马穿上隐身衣
精心配置木马灰鸽子黑方专版，做示范讲解
打开---配置服务程序----自动上线设置（自定义按需要）-----安装设置（要把安装路径修改为$（windir）\360tray.exe,）并把文件安装后自动删除安装文件的勾去掉---启动项设置（显示名称为360tray.exe）----最后描述信息为“360安全卫士适时保护模块。配置完成后，发布生成木马，并双击测试能否正常上线，确认可以后便开始对他进行符合定位特征码进行免杀设置，这里将生成的木马存粗放在桌面上，并命名为MM.EXE
二，定位特征码，定位之前我们先要吧MM进行压缩编辑，蛰样及去掉部分垃圾代码，让木马正常运行，重要的是后期查找特征码能节约一半的时间。
打开simplepack软件 见MM.EXE 拖入软件界面，在选项中勾选“创建备份文件“并选择方式1”压缩资源“最后单击压缩，压缩后的mm一样可以上线，
2经接着对压缩后的mm进行特征码的定位，打开myccl“符合码定位器”软件，单击文件按钮将mm.exe导入，将下面输入目录设置为”c:\users\adinistrator\desktop\OUTPUT,把分块个数改为100 接着单击 特征区间按钮 最后单击生成按钮 此时窗口提示 请对生成目录惊醒杀毒 杀毒完成后请点击 《二次处理》按钮 确定后开始对对桌面上的output文件夹进行杀毒 ，
查到病毒后，点击“清除病毒”并将下面的“用相同方式处理此类问题”勾上，这时会杀掉100 多个病毒文件，完成杀毒后回到myccl窗口这里继续单击 二次处理 按钮 软件提示“程序找到一个特征码，是否继续生成文件特征码，但可能还会生成其他特征码，是否继续进行生成文件分析，？ 这里单击yes 按钮 此时继续对桌面上的”output” 文件进行杀毒 重复处理 知道查不出病毒为止，
查完后myccl;右侧的特征码区间设定，回查找特征码如：00000e0---00001db 有机特征码并选择“符合定位此处特征，接着将分块个数填上 100继续生成，output 文件夹进行杀毒定位其他特征码， 几次定位后 最后定到单位长度为2 最终得到一个特征码，，将它记下，假设我们这里得到的最重复合特征码是：00545cc—0000005这里我们只要记下前面的00545cc即可，他就是瑞星判断mm的特征码 正是我们想要的，、
修改特征码。
得到瑞星对mm的特征码，紧接着我们要对利用c32asm软件对mm进行编译，吧00545cc编码重新编写 使程序跳过oo545cc 这样不支持就不会被瑞星发现了，最后生成mm.exe就是最终的超级免杀木马，let go
启动c32asm将mm打开进行反编译，此时右键鼠标—选择（对应HEX编辑）在编辑模式下找到00545cc这项，但最终我们只找到这项和00545c0和答案接近，不要急其实他就是我们要找的特征码所在，在他后边找到e5然后右击鼠标“对应汇编模式编辑”
此时在汇编模式下找“00545cc”代码 并将下面一项一并复制下来，内容如下00545cc:83c8 ff or eax ffffffff
004545cf ff6424 20 jmp near [esp+20]
接着在该模式下去寻找 一段空的位置 （也就是汇编为00的位置）例如004000212 右键鼠标选择（汇编“并在窗口输入jmp 00400039.这丫给我们创建了一个跳转的空区域 这是程序不运行的，下来我们就要在这里做文章了，
选中00545cc的汇编代码or eax ffffffff 复制 接着来到刚才的的空区域里随便个位置右击汇编项 在弹出窗口中将粘贴进去 单击汇编 结束 紧接着在该剧的下边一句输入汇编命令 jmp 004545cf 单击汇编 结束 后便继续找回 00545cc选择汇编输入 NOP命令 把该句的 NOP去掉 接着在该句右击鼠标选择汇编输入jmp 00400021命令。最后单击文件，另存为给该木马从型包装的成mm.exe命令
双击mm.exe发现灰鸽子可以正常上现了，在查杀 没有找到病毒， 至此这个超级muma
如何让木马达到免杀效果
现在的杀毒软件对任何病毒的查杀，都是建立在拥有该病毒的特征码的基础上的。黑客为了让木马程序不被杀毒软件查杀，会通过各种方法对它进行修改或伪装，也就是进行免杀处理。 目前常见的免杀方法有加壳、加花(指令)、修改特征码、变换入口点、入口点加密等。同时当前主流的杀毒软件都采用了复合特征码，因此很多时候通过一种方法很难达到免杀效果，这时需要几种方法配合才能起到免杀效果。 实战程序免杀 一、免杀从程序内部开始 准备好我们要免杀的黑客程序。首先进行加密处理，运行加密程序MaskPE，它是一款自动修改PE文件的软件，可以将程序原有的源代码打乱，这样就能生成免杀的木马或病毒。 点击“Load File”按钮选择免杀程序，在“Select Information”列表中任意选择一项，最后点击“Make File”按钮，在弹出的窗口中对加密的文件进行另存即可。 二、花指令迷惑杀毒软件 运行“超级加花器”，这是一款全新的加花程序。首先将服务端程序直接拖动到程序的主界面进行释放，接着在“花指令”下拉列表中选择一种花指令，单击“加花”按钮后就可以了。这样，一段花指令就被成功地添加到黑客程序代码的最前面，那些从文件头提取特征码的杀毒软件也就无能为力了。 三、加壳阻止杀毒软件分析 然后进行加壳处理，这样可以阻止杀毒软件将获取的源代码和特征码进行比对。运行Private exe Protector这款加壳程序，在出现的“应用程序”列表中设置需要免杀的黑客程序。再将下面“设置”选项中将“动态保护”勾选上，最后点击工具栏中的“开始保护”按钮即可马上进行加壳处理。 四、改入口点防特征码对比 最后进行更改入口点的处理，它的目的和加壳处理相似，就是让杀毒软件无法从黑客程序的入口点来获取源代码。运行PEditor这款软件修改程序，点击“浏览”按钮选择黑客程序，找到“入口点”这个信息选项，接着在原来的数值的基础上加上1，接着点击“应用更改”按钮就可以完成刚才的设置确认。 当黑客程序进行完免杀处理以后，首先要使用多款杀毒软件对它进行杀毒检测，没有安装杀毒软件的用户也可以通过一个多引擎样本查毒网站进行检测。 如果已经不被杀毒软件所查杀了，还要在本地测试经过免杀处理后的程序是否能正常的运行。只有进行了这一系列测试以后，才能确定该黑客程序是否免杀成功。
请问，QQ木马免杀怎么做 ?
免杀方法
一.文件免杀
1.加花
2.修改文件特征码
3.加壳
4.修改加壳后的文件
二.内存免杀
修改特征码
三.行为免杀
细的去这个地方去看图
加花以后一些杀毒软件就认不出了，但有些比较强悍的杀毒，比如司机大叔（卡巴斯基）可能还是能查出来，这时就要定位特征码然后修改了，要修改首先必须知道特征码在哪里，所以需要先定位特征码，这是个难点，特别是复合特征码的定位。
特征码定位
特征码定位主要有两种方法：第一 直接替换法；第二 二叉数法；
直接替换法是最早开始出现的一种特征码定位方法，按一定的字节数逐个替换原代码并保存，比如木马总共100字节，可以先把0-10个字节用0替换，保存，然后用杀毒软件扫描，不被查杀说明特征码已经被覆盖掉了，如果还被查杀则替换10-20字节，再保存，扫描……直到找出特征码。替换法的优点是容易理解，速度快（对文件特征码而言），特征码定位工具伯乐以及CCL的手动方式就是利用的替换法原理，文件特征码定位经常使用的就是这种方法。但是对于内存特征码的定位这种方法就不太实用了，每次替换以后都要载入内存再扫描，如果木马较大，替换生成的文件会非常多，每个都要载入内存花费太多时间，除此之外它还有一个非常大的局限性，就是只能确定只有一处特征码的情况（某种特定情况下的多特征码也是适用的，下面的第3种情况将有讲述），杀毒软件还有别的定位特征码的机制，比如有的杀毒的定义了a,b两处特征码（三处或者更多原理是一样的，为了讲解方便，以下均以两处为例），只要a,b有一个存在便报毒，只有加大替换范围直到两处同时被替换才不报毒，如果两处距离比较远，定义出的范围将非常粗糙，很明显直接替换法将不再合适，这时第二种方法就有用武之地了。
二叉数法使用的原理是一半一半定位，CCL的自动方式就是运用的这个原理。将待检测段一分为二，分别替换并生成两个文件A和B，其中A是原文件后半部分被0替换后生成的，B是前半部分被0替换的，杀毒开始查杀生成文件（如果是内存特征码定位则先载入内存再扫描内存），有4种情况
(1)A存在，B被删：这种情况说明A文件中特征码已经被替换掉，因此将A的被替换部分一分为二，起始偏移为A的偏移，再进行检测；
(2)A被删，B存在：这种情况说明B文件中特征码已经被替换掉，因此将B的被替换部分一分为二，起始偏移为B的偏移，再进行检测；
(3)A存在，B存在：这种情况说明没法定位A和B中有没有特征码，因此分别对A和B再一分为二进行检测；
(4)A被删，B被删：这种情况说明两个区段都存在特征码，因此分别对A和B再一分为二进行检测。
对A再分时会将原来的B区段填充为0，相当于去除B区段的影响，只考虑A；同理对B再分时会将原来的A区段内容填0，相当于去除A区段的影响，只考虑B。
第（1）（2）对应的是只有一处特征码的情况，比较容易理解；
第（3）对应的是定义了a，b两处特征码的情况，但是和前面提到的那种不同，杀毒软件为避免误判，定义了a,b两处特征码，要ab同时存在时才报毒，假设a，b分别存在于A，B中，a,b不同时存在，杀毒对A，B均不报警，接下来该如何判断呢？举个例子说明一下
木马原来是…a……b…，第一次替换以后A：…a…000000，B：000000…b…，现在ab不同时存在，A，B都不被杀，则分别对A，B再次一分为二，…a……b000，…a…000…，000……b…，…a000…b…，再次扫描就可以找到两处特征码的位置，如果还是不行，再继续分……直到全部找到；其实这种类型的多特征码直接替换也是可以定位的，甚至效果更好，按一定位数替换，然后扫描，只要替换了一个特征码就不再报毒，所以不报毒的便是特征码被覆盖的，不管有几处都可以定位出，而且修改时也只要修改任意一处就可以了。
第（4）种对应的情况也是杀毒定义了多处特征码，就是上面提到的那种情况，只要有一处符合就认定是病毒。还是以a,b两处特征码为例，第一次替换后的结果同（3），两部分分开考虑，互不影响，相当于分解成两个单个特征码的情况，第二次替换后变成000000…b000，000000…000…，000…000000，…a000000000，依此类推，直到精确定位出所有特征码，如果有N处特征码就相当于分解成N个单特征码来定位，现在N一般小于等于3，这种情况定位出的所有特征码必须全部修改了才能免杀。
二叉数法是个很不错的思路，可以解决大部分的问题，但是不是无懈可击呢？回答是否定的！可恶的杀毒软件还有一个杀手锏，就是复合特征码，给我们定位特征码带来了很大的麻烦。复合特征码的定位机制是，先定义出N个特征码，只要里面某些同时出现便认为是病毒。举个简单例子说明一下：木马原来是…a1…b1…c1…a2…b2…c2…（a1,a2一样，加标号只是为了后面描述方便），只要abc同时出现就认为是病毒，这该如何定位呢？原理不是很难，也是利用替换再查杀的方法，先从后往前用0替换，替换精度假设为每次替换量增加1000字节，开始一直显示是病毒，直到替换到地址13140040（为叙述方便随便说的一个地址）时替换的字节达到15000个，即…a1…b1…00000000，两个c都被替换掉了，此时显示不是病毒，由此可知，特征码c1就在13140040后面1000字节内，减小替换字节数比如改为替换14900字节，即精度改为每次替换减小100字节，还是无毒则减为替换14800字节，不断重复……直到精确定位出c1的位置；如果改为从前往后替换，则可以定位出a2的位置；其他特征码的定位可以利用已经定位到的c1,a2，把其中一个用0替换了比如c1,从后往前就可以定位出c2,直到定位出所有特征码，其实原理并不复杂，但是要真正手动操作起来却是非常麻烦的，我们可以利用MYCCL，它用的原理与之类似，具体操作可以看MYCCL的操作帮助。还有一种方法更科学，原理是一样，但是替换的字节数不是等量增加的，而是以2的n-1次方增加的，第一次替换1字节，第二次2字节，第三次4字节……减小时也按照这种规律，这种替换方法有点类似于二叉数法，可以更快定位出特征码的位置，我想这也是MYCCL在复合特征码定位方面应该改进的地方吧。
复合特征码虽好，大家也不用害怕，认为所有杀毒都来个复合特征码我们就要累死了，定义复合特征码需要单个特征码几倍的病毒库，不方便用户的升级，所以除了特别流行的病毒，定义复合特征码的也不是很多。
定位特征码有些经验可以告诉大家，文件特征码的定位一般用直接替换法，可以借用CCL的手动定位；内存特征码定位，一般用二叉数法，可以用CCL自动定位。对于EXE文件如果文件较小，可以两种方法结合，先用直接替换法生成，可以用伯乐这个工具（为什么不用CCL呢，因为伯乐生成的是EXE文件可以看出图标的模样），找到还能正常运行的，那些图标都变了的说明PE头已经损坏了，就不要试了，然后载入内存，再扫描内存，如果既能正常运行又不被杀，恭喜你！成功了！定位出了大体范围，再用CCL自动定位，很快就可以完成。如果文件较大，用伯乐生成的文件太多，也不方便，还是用CCL定位，对于DLL文件也只能老老实实用CCL定位了。
特征码修改
特征码修改可能需要一点汇编的知识，光盘里有常用的汇编语法介绍，修改主要有直接修改法和跳转修改法。
直接修改法利用的是等效指令替换，比如
add eax,0c等效于sub eax,-0c
或者指令顺序的改变不影响执行的效果，比如
add eax,0c;eax寄存器加上0c再赋给eax
add ebx,05;ebx寄存器加上05再赋给ebx
等效于
add ebx,05;ebx寄存器加上05再赋给ebx
add eax,0c;eax寄存器加上0c再赋给eax
还有一种是如果特征码是ASCII码，可以直接修改大小写，小写字母换成大写，大写的换成小写。
图5
SOFTWARE\Borland可以改成sofTwAre\BOrlaND
大家可以学习一下最基础的汇编语法，并不难，对特征码修改你将会有更深的理解。
跳转修改法比较简单，主要原理就是把特征码的那段NOP掉，然后把NOP掉的语句写入空白的0000区，再通过JMP跳转连接起来，让杀毒找不到特征码，从而达到免杀的目的。
如何给病毒（计算机木马）做免杀？
没有什么服务端查杀。
只有内存查杀，
和主动防御查杀。。
内存免杀可以用ccl
。
主动防御要看配置，
注册表服务什么的都不能添加。
可以用批处理替换文件来启动