[原创文章] 定位木马的主动特征码 木马, 特征

1335csy

自己的一些平常用的定位主动防御特征码的方法。。
4 s& p6 _4 i, ^( d. l5 Y. M
; e- K2 r9 H8 N3 ]1 a1 P现在分享出来。。。9 m7 k# n# [: |- }+ M) t7 x

# x! l7 G* t+ j工具：myccl.OD
& H/ ]! o3 l+ f& [5 ^+ X1 u* b
. q& x2 H: ?' E1 q免杀必备的工具哦
  i; [5 s( V3 C( P- a7 p/ o  E5 r& f- ^1 \( W7 R
用myccl分块文件。。。尽量少点   比如  10块) n& o  P! k' Q0 M' c$ b" ]1 T
& y% F% Z6 v. v) Z: \& E
打开文件夹   一个个拖入OD。。。（为什么要拖入OD呢，其实我们吧一个文件拖入OD时，这个文件等于变相的运行了）
8 w* |% m0 }. {3 |8 T" |- h: m0 F; M) g
好了，这个时候会提示文件无法运行的窗口，
; w" e7 Q0 B& B8 ?2 @0 T( _, t% K* c1 j
我们不管它，直接确定。。' h5 J7 e9 y/ U; W- c- w

( {3 V# E! o# O! I; _% v# ~! w如果一个文件拖入OD 杀软提示了主动防御的提示
2 Y2 j- W* c5 K" L& @- @! ?6 @1 t- t" b- ^% {
我们记下这个文件，删除它，
8 F  ^0 M9 r! U" d# b0 X' W, |0 S5 \  {4 b# q' I5 m; I# t* z. K
接着拖入其他文件。。一一确定。。1 [5 U3 M; A: c: u+ _- x
4 A% h: k. c; Q9 h/ L
知道没有提示，我们手动删除掉被提示的文件。。。
, [, N" Y& Z6 A0 F8 \9 @+ I/ D" v/ M% S, N6 a; G( _
接着二次处理，再一一拖入OD   再按照上面的方法  一一确定文件
3 Z) Q, C" m8 |" C( J4 i
2 r' g, N1 [) i& S; o1 I接着二次处理，重复定位   直到文件长度为2的时候
3 h- c  n0 O5 J) b1 y- r
2 c: R* [' n5 g& i8 }我们久确定了我们木马的主动防御特征码。
) _9 K" [7 w9 c4 j; ~
' A2 j# ^3 ^# s+ Q6 z8 j注意，每个杀软的对不同的木马的特征码是不一样的
# {+ L; [* f" Q# H: h& y% V1 B6 U' I/ ?
我相信 知道定位表面特征码的朋友一看就知道了。。。  呵呵

278835491

为什么不用杀软直接删除呢？一个一个拖不是很费事吗？  - L* X0 [! e5 F5 w  ?% w9 c. s+ s5 V
   本人是免杀菜鸟。。。。
: G. q$ U( |/ e% ^/ T3 U
  i' T9 b7 Y) T[ 本帖最后由 278835491 于 2009-3-2 14:09 编辑 ]

柔肠寸断

谢谢咯

闲逛

.m (40). 好像有点懂了。。。

hilarylove

这些很早就懂了。不过真的要操作起来，不会的人可能会走很多弯路。