|
 
- 帖子
- 143
- 积分
- 419
- 威望
- 415
- 金钱
- 446
- 在线时间
- 65 小时
     
|
当今的主流杀软都是采用特征码来查杀木马和病毒的，
& \1 N7 U1 P W) r: g
, j' o- Y. v0 ], N, O作为定位特征码的利器--myccl，自然被各大杀软研究的彻彻底底了。8 n- f7 z, s" c$ C8 ~
5 J8 j* q5 o# U于是，杀软的各种干扰措施出来了。
) b1 e0 q& o* b* g$ ]$ e( Q
' M: ]2 `$ S/ N4 M V# ?$ w以下，我就来分析下常见的使用myccl的一些问题0 L! S. V4 Z. q7 W0 V
7 n1 T8 }$ i) ~8 E1.为什么我的myccl总是卡在一个特征码，不能继续定位了.
# h2 }' F" e0 o* u2 {
7 a+ L# C a- K6 ]& P5 ^) Z2 m这个就是传说中的死循环了，杀软的一个常见干扰措施，% `' {4 p# H5 x! B# u$ Z- a
6 ?( u. U4 K- G# q% L
在早期，对付这样的情况我们可以尝试入口点+1法，现在的效果不大了，但是不妨一试。
7 ]+ x+ O$ v/ I5 M( ~% Z- Y* E; h
9 h2 v/ O; @/ s. I现在对付这样的情况可以这样，加个花指令再定位，或者定位这个已经知道的特征码，
: F5 }3 T# _1 p5 d+ V, O
$ N5 D+ a+ O4 _7 L3 a! P不要一直卡在这里，直接定位这死循环特征码到长度为2为止，改完后继续定位。* ~' R: P4 Y) b4 ~( Z
) a+ z+ c- K1 \. n
2.为什么我把所有的特征码改完后，杀软还是报毒？# [ P2 t8 s) |- r6 ~
3 w9 P( F4 {' {
这样的情况多见于国外杀软，外国杀软侧重于功能性，
1 _) G% h9 I: u0 ~. W% ?
3 b8 u" \- B3 m; e6 ]$ o特征码经常是不可能一次就定位出来，需要多次的定位，) x+ _$ V* k; W0 Z( Q! ~' T! }
2 c% ^# d \% c+ j8 r8 p8 a: c
当我们修改完以后，仍然需要定位未定位出来的的特征码。( N8 e! \+ i: h: e+ ~
6 W1 N; m% i, w2 b5 P0 i6 @3.为什么我分了100块文件，杀软全部杀了？
1 Q: L7 }4 n1 ]5 U1 N% J
9 b$ z4 X. ?8 o不知道大家见过这样的事没有，我们只分了50块，但是杀软却杀了150块。 -_-& z, A1 U/ Z+ c F7 y8 E; O0 B4 m
$ H! d/ T9 {4 f' Z6 s
这样也是常见的杀软干扰方式，
4 T- F8 A6 E1 `8 S) D! [
+ P- i' O* n9 T2 H6 `9 G我们可以这样，在填充字符那里，选择90，不要默认的00，人人都用00填充，当杀软是白痴？
$ S/ x' o$ l# g1 b+ j7 G
& W; t+ M6 ~/ r q/ E5 M7 T或者反向定位，这样的效果比正向定位要好，
$ n# m& k2 S2 e
" x7 d" F6 \4 @5 b' {) u5 M) X还有就是杀软的设置了，这样的情况建议先把杀软的高启发扫描先关了，过了再开启高启发。+ ^" U* t" |1 V( U0 I
) I$ z$ [- T! y& j5 S
最后，分块数量这里，不要太多，40~~~50就差不多了，我一般是这样定位的。, Z. K5 ?6 z" L4 M7 a* e
$ {& H4 g4 ]4 l3 d! A4 r
4.一个特征码，我已经改完了，为什么还会被杀软定位出来？
& h1 ?: U! @6 e5 b) t) m& e& k- i2 W' _3 l' c6 R( Z8 Q
这样的情况见于卡巴，我做暗组的时候遇见过，记忆犹新，- ]; Q& _* z$ Q* r/ X. Q* N5 L1 \
% \3 Z3 s% P: X一个特征码，已经被我修改了，继续定位仍然是这个特征码。-_-!& K+ e, D) I5 q( U9 [9 ?% e
# s1 B; x6 h# @9 |' o2 Q5 L
这样的情况，我们一般是反向定位，定位出结果和正向结果是不一样的，但是一样可以达到免杀的效果。* S( [1 M7 i( p# S6 k0 e
) E; B( I$ o' ~+ A( {4 [1 V' G
总结至此吧，myccl是一款非常优秀的定位工具，大家好好利用，在现在的主流杀软世界里，是可以定位出绝大部分木马特征码的。+ f+ M: b N/ c6 ~4 l, E
! C* M; \0 B. P) P7 V如果大家对于myccl有些不懂的地方，跟帖子留言 |
|
发表于 2009-5-12 18:58
| 
发表于 2009-5-12 20:56
| 