[原创文章] 定位木马的主动特征码 木马, 特征

1335csy

自己的一些平常用的定位主动防御特征码的方法。。
7 J% A+ v% M5 c3 v8 V* o, {
2 I3 }. A6 L9 h" Y现在分享出来。。。* w  J0 T4 h5 u4 k' [/ b) d. d, Y

' ?3 \# s* i0 H工具：myccl.OD
8 B& Y. B1 }7 U6 t) x! V: s9 q% a0 R  c4 ?7 @
免杀必备的工具哦 * o) w! n) D$ b: N0 O0 Q4 k, }. o

( S2 m! y4 N$ v3 m( t$ [( n用myccl分块文件。。。尽量少点   比如  10块
* @( Z8 T+ _) Z5 b) o* Q5 K! D
( \8 K0 v) p- w. L+ Y打开文件夹   一个个拖入OD。。。（为什么要拖入OD呢，其实我们吧一个文件拖入OD时，这个文件等于变相的运行了）: l, n9 b, k* ^1 C/ F5 [* ]7 {

, N! u4 S2 J5 @( G好了，这个时候会提示文件无法运行的窗口，- P/ K/ E* F! R  W) F
- z. J) R$ M; R
我们不管它，直接确定。。5 ~$ b# d, E- G* Z3 l0 l# u

$ \$ I; R7 L7 X如果一个文件拖入OD 杀软提示了主动防御的提示
' p1 W6 N# G. w) p3 l# l: Q* k) n! K9 Q7 \
我们记下这个文件，删除它，
8 s/ `5 b$ B# H, w1 B( N& r
' R# x9 X2 N% \. O接着拖入其他文件。。一一确定。。
5 @- c4 W: ]2 X+ V. |/ u5 Q5 q( k0 h, {2 H8 i9 z8 s& S$ M
知道没有提示，我们手动删除掉被提示的文件。。。% h, m1 |  N5 D8 o

' R. P* V  b( c: b" ?& n接着二次处理，再一一拖入OD   再按照上面的方法  一一确定文件
* G8 q8 N! `7 k/ \  c% i
4 B+ |2 H! ?2 \* |6 Q! T8 `接着二次处理，重复定位   直到文件长度为2的时候
8 w" e, v$ k* e1 I0 g7 b$ t8 _% Q  ?' h
我们久确定了我们木马的主动防御特征码。
$ W& {% P; h( A; v( f! o
6 M# l% `' w$ S. \  V* y注意，每个杀软的对不同的木马的特征码是不一样的! m1 `  R' i, p+ h$ g/ s: U9 @

8 `8 \( m/ d1 A3 U我相信 知道定位表面特征码的朋友一看就知道了。。。  呵呵

278835491

为什么不用杀软直接删除呢？一个一个拖不是很费事吗？  , S3 I' B" O9 ]4 Z/ z
   本人是免杀菜鸟。。。。
* B* f, C# c/ C2 c4 _$ s( q/ d) ^" v7 c% M6 e+ c' p% S
[ 本帖最后由 278835491 于 2009-3-2 14:09 编辑 ]

柔肠寸断

谢谢咯

闲逛

.m (40). 好像有点懂了。。。

hilarylove

这些很早就懂了。不过真的要操作起来，不会的人可能会走很多弯路。