[原创文章] 定位木马的主动特征码 木马, 特征

1335csy

自己的一些平常用的定位主动防御特征码的方法。。
0 H5 @# k+ A1 o6 A* j
# L1 p6 E) ?4 ~* }+ g现在分享出来。。。
- A: [, t' N# `* B" E
& D# f+ u1 i) t- ]( N8 b; z工具：myccl.OD
$ U9 O4 A" D  |+ h2 z
* x8 z9 R8 b/ E' V: D" w免杀必备的工具哦
( F" F3 e" m" l# h9 @2 Y
* e$ ?, i. Z; J, J# E0 ]4 M用myccl分块文件。。。尽量少点   比如  10块
& L, z; w) o1 x5 y7 N
4 h0 U# B! O; Y. p; U打开文件夹   一个个拖入OD。。。（为什么要拖入OD呢，其实我们吧一个文件拖入OD时，这个文件等于变相的运行了）
& L* W) N& p& f+ y- |( j" p$ v# j
好了，这个时候会提示文件无法运行的窗口，' p- b+ l: J( r4 k
1 z4 x) J$ H% m5 ^5 R3 N1 c1 g
我们不管它，直接确定。。7 @. U2 ?  T2 S% d1 }# _9 c

/ r& G# ^: w; M( ]. N6 L如果一个文件拖入OD 杀软提示了主动防御的提示
+ V, r$ M# T; `8 Z& M; i" Z
6 ~$ o1 ?$ n% Q: U+ t: J8 h我们记下这个文件，删除它，
: d( X8 X* j7 g1 @5 _; p7 ]: w* Y; `  e9 \
接着拖入其他文件。。一一确定。。5 ]% {$ M. y% G6 r- A

1 r% r, c+ w, y: y6 j: V; x3 Y+ H知道没有提示，我们手动删除掉被提示的文件。。。
* T/ Y1 u/ E. M$ m# q8 V% K' v7 w) h
接着二次处理，再一一拖入OD   再按照上面的方法  一一确定文件
% B+ l8 ?7 n! q7 o
9 x% f* M0 W( y8 o$ I, l接着二次处理，重复定位   直到文件长度为2的时候
& K+ E7 e( @& N3 o
. V5 _4 B8 A& ~/ I9 \我们久确定了我们木马的主动防御特征码。
: ?  A  u' A5 U8 }- `
( `9 a  H- ^, R! e2 y. C3 Q5 }9 D注意，每个杀软的对不同的木马的特征码是不一样的
4 Z" q# O+ k1 H, t' \
" r- f% |. ?4 f+ J6 b$ w9 P我相信 知道定位表面特征码的朋友一看就知道了。。。  呵呵