[原创文章] 定位木马的主动特征码 木马, 特征

1335csy

自己的一些平常用的定位主动防御特征码的方法。。
  O* T' k; U6 G  R- n( q" A
, M) a0 A9 S8 G4 v( a/ ?" d8 J现在分享出来。。。9 `' h. j3 c' ?+ ]
1 Q+ F, T! `5 f0 y# F, v6 K
工具：myccl.OD
) K3 E) L9 F/ Z3 B
6 b4 @, f: W5 C6 A# R" x. D3 Z免杀必备的工具哦
4 V6 [# \- z& R' r; e1 |- ~
8 L  n, p3 s" g# g- u用myccl分块文件。。。尽量少点   比如  10块0 s+ D0 }- x7 ]( J5 n

8 P4 m+ |6 p7 Y* ~3 l! C8 z- l' _打开文件夹   一个个拖入OD。。。（为什么要拖入OD呢，其实我们吧一个文件拖入OD时，这个文件等于变相的运行了）
- C, b2 G! A/ f: ]/ _* @  x/ S* A4 J$ E$ p% Z5 U5 k+ v/ z. h
好了，这个时候会提示文件无法运行的窗口，9 o5 C2 R; l' }* |  z5 K& I
; |; z) O$ k0 H& D* A* P/ p
我们不管它，直接确定。。
. A1 {1 f3 O* I; Y: c+ s  [5 W+ `3 N7 z# _& O: k; ^. f
如果一个文件拖入OD 杀软提示了主动防御的提示
# x: A3 J2 Y' ~
: {  [; i# ^8 B+ o& d我们记下这个文件，删除它，) Z& q3 B  X& H5 B+ R3 h, g' X2 t

/ G2 G9 z: L  `, A接着拖入其他文件。。一一确定。。
; U' }1 b6 r1 d; }3 w- W4 K# @* s' M- \( @  f: H
知道没有提示，我们手动删除掉被提示的文件。。。) _, v" ?% c* y0 s
. s# U" \) q$ d
接着二次处理，再一一拖入OD   再按照上面的方法  一一确定文件& `( M4 ]! G7 L3 R4 g

/ Y1 m7 Y  g0 e/ B+ p接着二次处理，重复定位   直到文件长度为2的时候& ?# x; D  H  C5 D5 @2 q

9 N+ w# G; ~& s. l. l我们久确定了我们木马的主动防御特征码。3 h4 N, }+ d: k( @0 i+ M
3 [( ]- \5 b3 z* X/ J
注意，每个杀软的对不同的木马的特征码是不一样的
3 }) b7 D2 e7 W4 ]8 G! ]6 E  U' p, G9 S: {
我相信 知道定位表面特征码的朋友一看就知道了。。。  呵呵