返回列表 发帖

[原创文章] myccl使用技巧及其注意事项

当今的主流杀软都是采用特征码来查杀木马和病毒的,
+ u/ s% F& L3 f6 P3 k
* ]$ u7 @- x2 Q9 P作为定位特征码的利器--myccl,自然被各大杀软研究的彻彻底底了。* [5 a& Y% V2 L9 N( V! M
! \6 ~/ z# f% X" U. L+ H' B% y
于是,杀软的各种干扰措施出来了。
9 n5 s0 v& x9 Y
" I; M0 U( j/ @7 `1 H  ]) Q. `( `2 c以下,我就来分析下常见的使用myccl的一些问题& L7 b9 U4 m9 y3 f/ n
1 L+ C6 |% ?# J' D6 W, k8 H/ w
1.为什么我的myccl总是卡在一个特征码,不能继续定位了.( p) J9 w& q! u. G! f0 ]

& G- H9 M; x" N7 h* l这个就是传说中的死循环了,杀软的一个常见干扰措施,
' L4 D8 r$ ?  D/ H3 v) ~9 R" |4 d, Z& I; }
在早期,对付这样的情况我们可以尝试入口点+1法,现在的效果不大了,但是不妨一试。$ ~. H6 d& h* P  D( K/ n" F9 K

  Q# o! @% }( h4 u0 r现在对付这样的情况可以这样,加个花指令再定位,或者定位这个已经知道的特征码,; T1 e; D6 i# V

' k4 A( A. t- X  F' K不要一直卡在这里,直接定位这死循环特征码到长度为2为止,改完后继续定位。
' h* V/ ~- \, f1 a: U
* U# \1 p9 I# A' {) S7 l6 f! h2.为什么我把所有的特征码改完后,杀软还是报毒?
8 u' s6 ^$ o7 O  v1 n  f( P- h1 N- U$ [) g) \7 r
这样的情况多见于国外杀软,外国杀软侧重于功能性,
$ g: l+ n* ^2 [8 m* Y8 S9 n9 h
' F, ^/ \( l$ G0 u" g; u0 G特征码经常是不可能一次就定位出来,需要多次的定位,
& Z1 s0 J( d; A9 B+ ~- ]# j; E6 G) \# M: h9 w
当我们修改完以后,仍然需要定位未定位出来的的特征码。
, g7 H  O! [2 ^+ f6 P( X
- n& A! e% J+ N7 z2 ?; F+ W/ W3.为什么我分了100块文件,杀软全部杀了?
- H* d1 F, g8 |2 k
# r* Y- p: T. w. z" Y9 {: g不知道大家见过这样的事没有,我们只分了50块,但是杀软却杀了150块。 -_-6 ?' O8 q! E& [4 r, N

4 }6 k$ m, ^8 ]; a7 w+ N( J% n8 d这样也是常见的杀软干扰方式,
2 U7 O7 j7 ~  P! p( u1 V0 \
& M5 U* {7 i& X我们可以这样,在填充字符那里,选择90,不要默认的00,人人都用00填充,当杀软是白痴?
* X6 U/ ?; j+ q$ }! }$ m. [% e! l- d7 u4 |" P% q" d6 K3 y  y
或者反向定位,这样的效果比正向定位要好,. x0 w9 q1 h, K, U& l

* _  |% s& ]1 Y, ~' I还有就是杀软的设置了,这样的情况建议先把杀软的高启发扫描先关了,过了再开启高启发。
  [2 d) I4 ~, W
  t# K1 i- {  @, |最后,分块数量这里,不要太多,40~~~50就差不多了,我一般是这样定位的。
4 F) x- ~* |, j+ M6 n
& v# ^5 t9 Q  `& L7 R- c/ v4.一个特征码,我已经改完了,为什么还会被杀软定位出来?9 d- D' Y' R$ E* q8 |

8 L$ N5 t) q" A+ L' U这样的情况见于卡巴,我做暗组的时候遇见过,记忆犹新,' {* a7 e3 R. N) a5 P+ Q
- n* }6 J' Y8 ~* e4 ^  W, |
一个特征码,已经被我修改了,继续定位仍然是这个特征码。-_-!8 D$ w2 k( ]/ m- Z$ S

) K- C  b, h3 h这样的情况,我们一般是反向定位,定位出结果和正向结果是不一样的,但是一样可以达到免杀的效果。
% R* D* |! O1 k$ R+ \0 H  h6 T; S2 t1 l
总结至此吧,myccl是一款非常优秀的定位工具,大家好好利用,在现在的主流杀软世界里,是可以定位出绝大部分木马特征码的。
/ q. c+ m5 Z0 f# {# B  g  d, E
6 K: j3 u& q  B7 P$ |$ X如果大家对于myccl有些不懂的地方,跟帖子留言

呵呵,免杀王出场
希望做站长本人的学生请点击
http://www.3ast.com/viewthread.php?tid=13841
QQ790653916只负责SEO以及收费教学等方面联系,他人勿扰

于智者同行,你会不同凡响;与高人为伍,你会登上巅峰

TOP

回复 2楼 柔肠寸断 的帖子

:L :L :L :L 不要这么讲,- -! 随手写了点

TOP

拿分闪人..............

TOP

返回列表