[原创文章] 定位木马的主动特征码 木马, 特征

1335csy

自己的一些平常用的定位主动防御特征码的方法。。
8 L# C! T) x: ^
5 J" y! Q+ I) P  d现在分享出来。。。
9 ]( L, P: c/ Z2 q4 a0 V; ^9 ~( K/ X, ?' M! `/ P9 k- X  X2 T/ d
工具：myccl.OD6 ~. f* F6 ?* J% ]( s$ X9 G

$ U0 C, n& i2 l0 w- a免杀必备的工具哦 : h+ j: r2 U/ c* C

, {5 m  G  v1 K9 s. {, S用myccl分块文件。。。尽量少点   比如  10块
  F- r& u$ i' F/ s; k! X% a
7 K4 [" J1 d, G) I4 ?$ t打开文件夹   一个个拖入OD。。。（为什么要拖入OD呢，其实我们吧一个文件拖入OD时，这个文件等于变相的运行了）
. @8 a6 i) t4 H$ p; B3 [" J. r: U  f8 p7 G# r4 i+ q* v: L6 D
好了，这个时候会提示文件无法运行的窗口，
0 ~2 ]" m" L$ f0 P
6 f# Y3 p, J, @" t) J% P我们不管它，直接确定。。2 M' r( n4 d, r: |' Q4 }0 E& G
6 V* W0 [7 o; r  {% l- ^3 t0 H
如果一个文件拖入OD 杀软提示了主动防御的提示
; c- c2 C: }+ i: T1 U
* Z9 n, f0 e1 [9 e' m我们记下这个文件，删除它，
' K& Q/ |  P% P
+ [" o0 _9 w( u' L  J: s, N2 g接着拖入其他文件。。一一确定。。
8 n5 P( F8 l& q- S! a* v, y5 ?. q4 R* W9 w3 ^1 F# Z9 @1 _7 T; l+ Z, Y4 @
知道没有提示，我们手动删除掉被提示的文件。。。
4 ]6 p. [5 l! A' x, k
  K2 X  v' b3 w& [, b5 {接着二次处理，再一一拖入OD   再按照上面的方法  一一确定文件7 `6 a& S- S( }- X( }
  ~; b% h2 r, e+ t5 C
接着二次处理，重复定位   直到文件长度为2的时候
( I; L8 Z5 N7 A  v6 K& ?' t( ~+ }& v9 O
/ c( L: ~7 k, Q9 T& X我们久确定了我们木马的主动防御特征码。7 q& D# G1 N/ G4 V1 f" `
$ x& r5 V8 w0 a9 v
注意，每个杀软的对不同的木马的特征码是不一样的
: W- K+ W- [5 y6 @( ?7 ?
- C3 {! H6 S1 E* H2 H0 a* D: |我相信 知道定位表面特征码的朋友一看就知道了。。。  呵呵

278835491

为什么不用杀软直接删除呢？一个一个拖不是很费事吗？  
# B7 \1 Q. B9 {+ j5 N   本人是免杀菜鸟。。。。: i0 Y+ I; S0 ?& Q& P4 X+ W
6 D, K+ Z$ z0 B0 U' H$ ]
[ 本帖最后由 278835491 于 2009-3-2 14:09 编辑 ]

柔肠寸断

谢谢咯

闲逛

.m (40). 好像有点懂了。。。

hilarylove

这些很早就懂了。不过真的要操作起来，不会的人可能会走很多弯路。