[原创文章] 定位木马的主动特征码 木马, 特征

1335csy

自己的一些平常用的定位主动防御特征码的方法。。
, j; G( p- h& [9 n. n) j0 f# S9 W4 y& ^0 Y. S3 q, D
现在分享出来。。。5 ^& L- n- U. K* n- Q  R% p. c; s

1 I( z8 _/ ~: j1 h, w, B) ^8 S* @工具：myccl.OD
6 ]9 d8 o; P6 V( |  `
) w) r( x" v# o1 Q' f免杀必备的工具哦
; x! r- e. \" q! B5 W+ M* W) s4 ?' j* b/ \( P# S
用myccl分块文件。。。尽量少点   比如  10块6 K) h- _4 F9 H' f. b

) y4 E) g. Y' P3 p打开文件夹   一个个拖入OD。。。（为什么要拖入OD呢，其实我们吧一个文件拖入OD时，这个文件等于变相的运行了）0 O! {8 P' t6 u& x# u0 B
( q, b; h- K) u' A4 q( q) F
好了，这个时候会提示文件无法运行的窗口，- [+ |! G/ A  |0 U- V
  d6 c4 N  ]0 r! d$ Q3 H
我们不管它，直接确定。。
+ c& w4 `# z% w. K/ W% A
& `+ e/ ?/ N- R1 j0 }9 \; L( _如果一个文件拖入OD 杀软提示了主动防御的提示
8 ~* K  W! G- B5 C) X( [/ r& H) X/ D1 w
我们记下这个文件，删除它，
( D  S% N* W; x1 C5 H* C2 N& r; n
接着拖入其他文件。。一一确定。。
" b  R; ~# @+ R: C! f4 {8 B3 e& ?) o0 G7 a: K: x7 X
知道没有提示，我们手动删除掉被提示的文件。。。6 [* t4 j5 p1 i. v

, A2 P% F8 O- l1 o接着二次处理，再一一拖入OD   再按照上面的方法  一一确定文件
! c' L/ ~$ D- P! K+ Y: c* w, g0 A6 w7 f# P! S
接着二次处理，重复定位   直到文件长度为2的时候
) `5 C6 d+ d/ {! ^0 q3 o4 Q
. m  W3 q  |& l9 L我们久确定了我们木马的主动防御特征码。; v# d1 s% ?4 x2 V
* ]2 x+ I6 J5 c3 Y8 E! s* }- _; X
注意，每个杀软的对不同的木马的特征码是不一样的5 {0 S0 v$ l9 Q% H4 e, i$ y
* |1 d. l! p* h
我相信 知道定位表面特征码的朋友一看就知道了。。。  呵呵

278835491

为什么不用杀软直接删除呢？一个一个拖不是很费事吗？  % A1 p5 Z- h' o1 L! `
   本人是免杀菜鸟。。。。
- W3 C, J/ s% w2 J& t7 [. @9 g! f4 _$ E0 F2 x8 e6 k% s
[ 本帖最后由 278835491 于 2009-3-2 14:09 编辑 ]

柔肠寸断

谢谢咯

闲逛

.m (40). 好像有点懂了。。。

hilarylove

这些很早就懂了。不过真的要操作起来，不会的人可能会走很多弯路。