[原创文章] 定位木马的主动特征码 木马, 特征

1335csy

自己的一些平常用的定位主动防御特征码的方法。。
: d) i: q* P: u8 ~5 x6 o
: a8 f: w9 r  |" r" s5 O. B现在分享出来。。。
! S! I, l" L, O& K- Z# i* W6 j' b/ n$ R0 H; j
工具：myccl.OD
; r8 P9 Z5 N3 D* Z# ^, w# L8 l0 p; F& i1 |- W% U
免杀必备的工具哦 : M8 V( {* e6 N! @# b! j0 C
4 f& D% r  ^1 s
用myccl分块文件。。。尽量少点   比如  10块
) U6 q% @& o+ [) L$ m/ \7 O( s6 J* q9 E
打开文件夹   一个个拖入OD。。。（为什么要拖入OD呢，其实我们吧一个文件拖入OD时，这个文件等于变相的运行了）6 r9 B7 ^1 H" u4 K% k# U- N& o7 [* ~
7 R* |- c- h; R
好了，这个时候会提示文件无法运行的窗口，
- b* j  S! {' l( p
% p+ |$ Y, F! {" E7 ]2 V/ f6 O8 `我们不管它，直接确定。。, w' r/ I& R+ R- K

2 \- y" F2 {  R如果一个文件拖入OD 杀软提示了主动防御的提示; P% v  {( ]  w9 j5 c$ F' c
5 C. r0 }" J* J! m" Q% q
我们记下这个文件，删除它，1 ?  i) g5 n. r% M- U6 g
( B' m1 f' C* c# P3 M
接着拖入其他文件。。一一确定。。  k' U0 o" ?! ?- r2 X" x

' ^4 o( _/ |7 S6 Z1 f# T) b2 W知道没有提示，我们手动删除掉被提示的文件。。。% J% j% h" _/ U" Z* m! }5 s

: d) P+ X: b0 a; U; j; b, z  o7 V接着二次处理，再一一拖入OD   再按照上面的方法  一一确定文件8 E+ ?7 |6 W. `
6 x; T3 H- ?' |
接着二次处理，重复定位   直到文件长度为2的时候3 W0 Q7 x  D4 ^4 U
) e  L0 m& d) s
我们久确定了我们木马的主动防御特征码。
% \, P- ~% v! A* h
# W0 P# v% Y5 {+ {% B5 U) K注意，每个杀软的对不同的木马的特征码是不一样的
) Y. j9 H' B6 {
8 a* M2 f7 D0 S' ^3 W& A1 C% P2 G( C8 v我相信 知道定位表面特征码的朋友一看就知道了。。。  呵呵

278835491

为什么不用杀软直接删除呢？一个一个拖不是很费事吗？  
; T2 q% [" c( W# k   本人是免杀菜鸟。。。。/ E; Z: p6 ^/ z! p5 U- _! z- v" r8 o
  r* O$ u* e+ ]% y5 R! v; ?" u
[ 本帖最后由 278835491 于 2009-3-2 14:09 编辑 ]

柔肠寸断

谢谢咯

闲逛

.m (40). 好像有点懂了。。。

hilarylove

这些很早就懂了。不过真的要操作起来，不会的人可能会走很多弯路。