[原创文章] 定位木马的主动特征码 木马, 特征

1335csy

自己的一些平常用的定位主动防御特征码的方法。。& R, y% H* @! m

# u# Y& r- m- K6 z$ Q3 _现在分享出来。。。
  U# }7 ?: Q9 ~5 C5 e' x3 c
. |5 D8 J; _6 g工具：myccl.OD% y% @% Q$ ]) E  Y7 H
: b9 z. U5 r! O$ o$ X0 B7 C) n9 R
免杀必备的工具哦 * ^% Q, t. Q, e2 x+ O. r
) b8 t! c1 }" p2 I
用myccl分块文件。。。尽量少点   比如  10块
! g9 V/ h( V8 S% T% ^. n7 G+ N
- @6 e& F! Y/ C3 R4 p打开文件夹   一个个拖入OD。。。（为什么要拖入OD呢，其实我们吧一个文件拖入OD时，这个文件等于变相的运行了）# M, V3 A, r* n" N- A1 D

+ b% i1 c0 O9 P8 F, F好了，这个时候会提示文件无法运行的窗口，& Y4 R: g. o% v/ X7 G, h

: s6 [: k# M& x. {我们不管它，直接确定。。
  a+ A5 H: I0 a, o# s' u* {& z% N5 m6 S, ^  f3 e- C1 k+ r9 z" \
如果一个文件拖入OD 杀软提示了主动防御的提示
) W: Z2 @3 o4 Q; ]' i3 Y  H4 T
. r( T  _. }' `. `我们记下这个文件，删除它，
; _- K( U0 v& `( I. v" Q6 j; S) ]$ L5 K: x& n
接着拖入其他文件。。一一确定。。6 Q0 x5 r( C/ v: U* g4 B6 h3 b

5 i& u; ~! l5 Y' k" ~* v4 x知道没有提示，我们手动删除掉被提示的文件。。。
# n/ \  y+ S8 Y+ [
6 L- W- D" F( V接着二次处理，再一一拖入OD   再按照上面的方法  一一确定文件
# M9 ?7 \2 s2 ]1 i6 y9 r
! k& _8 k; Y' K' R( |9 x接着二次处理，重复定位   直到文件长度为2的时候
+ j0 I+ b2 U. D6 Q' t' J
; ?8 t1 N4 y4 J4 C* W4 v/ g, T我们久确定了我们木马的主动防御特征码。: |/ v6 a4 I0 j. a' G

- b& F, P  W( q+ ]" x9 O注意，每个杀软的对不同的木马的特征码是不一样的" }. E# I0 Y" `. g3 |/ B+ h4 b
& ^' C2 b, S+ q- ^3 ]
我相信 知道定位表面特征码的朋友一看就知道了。。。  呵呵

278835491

为什么不用杀软直接删除呢？一个一个拖不是很费事吗？  ( p5 X  K+ [9 {/ d( n+ C
   本人是免杀菜鸟。。。。
9 z# ^# ]* H& A+ d! A8 k: ~  q0 W
[ 本帖最后由 278835491 于 2009-3-2 14:09 编辑 ]

柔肠寸断

谢谢咯

闲逛

.m (40). 好像有点懂了。。。

hilarylove

这些很早就懂了。不过真的要操作起来，不会的人可能会走很多弯路。