|
 
- 帖子
- 143
- 积分
- 419
- 威望
- 415
- 金钱
- 446
- 在线时间
- 65 小时
     
|
当今的主流杀软都是采用特征码来查杀木马和病毒的，
) R; l. m9 ^9 ]1 i2 b# W4 J3 R& e, N# |; K O6 J: a
作为定位特征码的利器--myccl，自然被各大杀软研究的彻彻底底了。
& }: v: l& R8 r c0 l, {
6 S7 @, D8 n- p7 Y* m2 A, ^6 ~于是，杀软的各种干扰措施出来了。; i9 _ E/ s5 b- V4 g& d
# W1 C1 u, C( j4 _* v' S r* d* y以下，我就来分析下常见的使用myccl的一些问题2 P& i# |( e7 F6 z8 z
& |" _/ \! i1 A( r& ^" I1.为什么我的myccl总是卡在一个特征码，不能继续定位了.
) R3 m* ?* O4 a& x5 h$ C. ]( X) H
这个就是传说中的死循环了，杀软的一个常见干扰措施，
; @: e* ?" q' C' {1 E
1 B- Z. U# {' e9 h* o5 W在早期，对付这样的情况我们可以尝试入口点+1法，现在的效果不大了，但是不妨一试。
7 O* x* r; r( l
8 Q( S2 z% H( b: a4 a5 D现在对付这样的情况可以这样，加个花指令再定位，或者定位这个已经知道的特征码，7 r; p* `% U$ Z" P, f/ B/ v. q9 H
2 y& | n" h6 H; u$ R3 t1 M
不要一直卡在这里，直接定位这死循环特征码到长度为2为止，改完后继续定位。
1 {% D% N8 }; q+ H9 V2 a! z, r5 h. ?0 }. P$ Q
2.为什么我把所有的特征码改完后，杀软还是报毒？, Y# @) Q9 `* ]; f7 u5 Q
: {5 f0 f& A, E7 n8 }
这样的情况多见于国外杀软，外国杀软侧重于功能性，
+ l# K1 e* D% t7 q+ b) `4 @- l9 @' D9 _+ y
特征码经常是不可能一次就定位出来，需要多次的定位，$ f; T: ~; L1 t' ]5 r
; R+ K8 j1 B7 Q当我们修改完以后，仍然需要定位未定位出来的的特征码。0 @& S& @* `6 Z3 @2 n7 @) N
' B6 ^- [5 t( P# j4 P
3.为什么我分了100块文件，杀软全部杀了？
0 w7 U. _5 q C% ^( i
; D. ?1 h( G+ k: n7 p" w/ y# t不知道大家见过这样的事没有，我们只分了50块，但是杀软却杀了150块。 -_-
6 w% x: x7 Z; x$ i8 P* C, [: Q, F! i u/ A% {
这样也是常见的杀软干扰方式，
1 Y- i U: O6 r+ b. }( o( K
3 M/ g* u) r* k# P( Q4 X我们可以这样，在填充字符那里，选择90，不要默认的00，人人都用00填充，当杀软是白痴？, Q1 l; G. H' l# H2 ]. U7 r) e
$ Y/ H# {& Z5 B& W# X
或者反向定位，这样的效果比正向定位要好，
S- G; R" G0 c& G1 \+ \+ E+ h) e# |: O/ w$ Q
还有就是杀软的设置了，这样的情况建议先把杀软的高启发扫描先关了，过了再开启高启发。
. K/ S* R! | e) T' R: K, y D4 `
0 ~2 F, e$ M, {: s* t7 g最后，分块数量这里，不要太多，40~~~50就差不多了，我一般是这样定位的。* z5 V, l: K% Q" U" Y
0 n G3 U* W h8 f4.一个特征码，我已经改完了，为什么还会被杀软定位出来？
: m: L" L" N6 A0 h* w V6 p4 y+ G
这样的情况见于卡巴，我做暗组的时候遇见过，记忆犹新，
( E! Z7 l: v& g% |& L
. T% t1 i8 ~9 r, ~: K6 Y一个特征码，已经被我修改了，继续定位仍然是这个特征码。-_-!! x+ R* M0 ?( k+ ~
; C3 R0 `7 V; u( U
这样的情况，我们一般是反向定位，定位出结果和正向结果是不一样的，但是一样可以达到免杀的效果。
! J! ^ f/ m g- D [+ w+ h, s. o5 s, J
总结至此吧，myccl是一款非常优秀的定位工具，大家好好利用，在现在的主流杀软世界里，是可以定位出绝大部分木马特征码的。" l E: F1 G* q* R8 `% h" z" R
! o& l/ g% X. q6 {如果大家对于myccl有些不懂的地方，跟帖子留言 |
|
发表于 2009-5-12 18:58
| 
发表于 2009-5-12 20:56
| 