[原创文章] 定位木马的主动特征码 木马, 特征

1335csy

自己的一些平常用的定位主动防御特征码的方法。。
! Y3 C0 N8 T4 `0 u* _0 S8 W% h5 x6 r/ ?
现在分享出来。。。, x7 {8 Z9 e' Y) M5 Q; J6 l
  R9 t3 {& ]& f% _
工具：myccl.OD
) s6 `* t  H7 L1 Z; Q
& d5 M! Q3 m( k( [  L9 N免杀必备的工具哦
" Q5 Z. @( ^; ]. ~) L' K
1 p; G. O! {" L7 Y用myccl分块文件。。。尽量少点   比如  10块+ J& v5 x1 C4 @& D8 v  W, r( P
9 X, w# _+ K0 H7 `' n6 [0 P
打开文件夹   一个个拖入OD。。。（为什么要拖入OD呢，其实我们吧一个文件拖入OD时，这个文件等于变相的运行了）0 q; ]6 V* Q/ ?# O' {8 @

& x$ P( b% `5 F. k; a$ x! F好了，这个时候会提示文件无法运行的窗口，
9 ^0 k& j4 _! f# {  q
# K7 n7 P3 ~' A6 \- h" Q6 a我们不管它，直接确定。。- a  J! ^! T/ L8 P# W  [+ O3 N) Q, n
7 ^+ w' |7 s4 |! {
如果一个文件拖入OD 杀软提示了主动防御的提示
, m3 W. s1 P3 c. X% l/ D5 h5 h$ N, r. b4 Q2 L
我们记下这个文件，删除它，: |! V6 Y: n7 F" z

) D  r  f9 H% ^3 A' Z7 X) K接着拖入其他文件。。一一确定。。
' v3 V, r  v; B! @0 m1 c; {% U! a# \  y
知道没有提示，我们手动删除掉被提示的文件。。。
& y+ \( [+ {, }- P/ |3 m$ }; F! r+ U3 S
接着二次处理，再一一拖入OD   再按照上面的方法  一一确定文件
  J9 ~/ {$ C. j2 k) F. {1 p* ^
1 K7 e( Y" j  U% Q接着二次处理，重复定位   直到文件长度为2的时候
2 {& U% o* N. D
6 p" }* S! i  X9 l8 Q( H我们久确定了我们木马的主动防御特征码。
4 Z4 m+ }3 P' u1 A! E6 x( `$ a# L: J3 {& ^2 V! X/ K
注意，每个杀软的对不同的木马的特征码是不一样的# W) U! ^' W, j% R4 L) }( `

7 b1 \# `. t. c0 T) n我相信 知道定位表面特征码的朋友一看就知道了。。。  呵呵

278835491

为什么不用杀软直接删除呢？一个一个拖不是很费事吗？  0 {3 f5 g+ U0 U
   本人是免杀菜鸟。。。。& G7 ^4 g8 o! A( U& k7 |

! C# v2 V9 w7 i; p6 v4 F; Y, T7 `[ 本帖最后由 278835491 于 2009-3-2 14:09 编辑 ]

柔肠寸断

谢谢咯

闲逛

.m (40). 好像有点懂了。。。

hilarylove

这些很早就懂了。不过真的要操作起来，不会的人可能会走很多弯路。