[原创文章] 定位木马的主动特征码 木马, 特征

1335csy

自己的一些平常用的定位主动防御特征码的方法。。
" |8 g  Y0 A* i" W$ m" f) ]" d. j5 N0 _/ B4 m: h4 b* ^% v
现在分享出来。。。8 O) _! x% U3 D" |: X

% m# Q2 h' I7 Q; }2 d* o工具：myccl.OD6 L; m; O) C3 D% Y1 E

5 R" Z$ r5 v: v  M免杀必备的工具哦 . w( G7 A0 l6 W
/ G) Q: |  B6 s
用myccl分块文件。。。尽量少点   比如  10块
) n1 ]7 b/ M6 }3 C0 r1 e
2 v) @& M5 ~9 {9 \, N5 V1 Z打开文件夹   一个个拖入OD。。。（为什么要拖入OD呢，其实我们吧一个文件拖入OD时，这个文件等于变相的运行了）- v* g) _# k+ K! b: _3 V- f/ R; y! e
- H' a9 A+ u, p6 p5 A
好了，这个时候会提示文件无法运行的窗口，
% o2 N4 I) n4 G+ Y6 S( z: e% o9 y% i
我们不管它，直接确定。。8 {9 R8 F- K8 u

# g) Z( P4 \+ Y/ S  [6 A5 V3 A如果一个文件拖入OD 杀软提示了主动防御的提示
* P1 K# y. ]* W" s7 ]" D$ h0 N5 v# G9 J2 Z1 h
我们记下这个文件，删除它，
6 p2 j; g( Y- i  d9 S; q; x" T3 t) @! W6 _
接着拖入其他文件。。一一确定。。
: B( h7 ?. A3 F. |+ M3 v
4 m, w6 H, e& y8 u+ @5 ?1 K知道没有提示，我们手动删除掉被提示的文件。。。
+ t- z0 S' C% ]& c7 U% s6 s2 H" L8 u  N* m' o
接着二次处理，再一一拖入OD   再按照上面的方法  一一确定文件
! E: K1 y) p  y, W$ {6 v5 d; o  a7 w2 g
接着二次处理，重复定位   直到文件长度为2的时候( Z2 N0 r, g4 Z% z; U8 ]4 j

% D  d3 J( z* T. q9 J9 r3 n我们久确定了我们木马的主动防御特征码。
9 T. r7 w: D: ?5 w4 n+ B) B2 c9 R3 x. D9 O5 G: p1 G
注意，每个杀软的对不同的木马的特征码是不一样的7 X( @* J8 ]  X
2 s( u7 D, e5 K! a2 U
我相信 知道定位表面特征码的朋友一看就知道了。。。  呵呵

278835491

为什么不用杀软直接删除呢？一个一个拖不是很费事吗？  
# L( J' g$ j/ R7 N+ S   本人是免杀菜鸟。。。。& w. k* M3 u# r+ }

6 D* {) [' U" n' z[ 本帖最后由 278835491 于 2009-3-2 14:09 编辑 ]

柔肠寸断

谢谢咯

闲逛

.m (40). 好像有点懂了。。。

hilarylove

这些很早就懂了。不过真的要操作起来，不会的人可能会走很多弯路。