[原创文章] 定位木马的主动特征码 木马, 特征

1335csy

自己的一些平常用的定位主动防御特征码的方法。。4 t  o, M. Y2 M$ |/ T9 R, K. C

! @8 j, I3 R8 c现在分享出来。。。
( g9 |6 G4 `! ~0 V5 G$ Y1 |
% ?$ J1 H# f) {4 g工具：myccl.OD( T  t% d! @# l8 H+ ~" N- D
" G5 X. ~7 J* V
免杀必备的工具哦
& z% F; m) _' R5 U. B
: D9 i+ V" b- Y  c( T! i用myccl分块文件。。。尽量少点   比如  10块" g" b- x7 P" q$ H# u! n
: |0 M8 F! e9 V1 K6 s2 N
打开文件夹   一个个拖入OD。。。（为什么要拖入OD呢，其实我们吧一个文件拖入OD时，这个文件等于变相的运行了）
; ~5 B" x: l  A4 d/ I9 Q, h. t3 {7 R, B9 G9 p, j, s
好了，这个时候会提示文件无法运行的窗口，+ D+ F, ^5 g2 _5 S" J: }
0 v9 z) H! h2 t  P0 E
我们不管它，直接确定。。
4 \, l" M* J0 p! h: [+ \2 g7 q4 o7 y+ u9 _  \& S3 ^- w! ~! o0 E8 P
如果一个文件拖入OD 杀软提示了主动防御的提示6 Q8 r* z$ p4 q6 k- _- y

: S; ^0 i; K4 e+ X) {: ]我们记下这个文件，删除它，
' M! @( |: |+ b0 Q4 ]* }1 o' [. I# @8 E
接着拖入其他文件。。一一确定。。- k% ~0 J4 O4 C- M: K8 Q

  Z9 v4 @  }/ r7 k8 `$ S知道没有提示，我们手动删除掉被提示的文件。。。
1 q& w# t- h0 U# Z8 V9 Y# f3 q" t/ {' u; r5 Z
接着二次处理，再一一拖入OD   再按照上面的方法  一一确定文件
" \9 e" C* N6 N% C( [7 t2 S, f" P' c8 y  }
接着二次处理，重复定位   直到文件长度为2的时候
6 `8 E8 v/ Q* L7 Y9 r
6 b! C' {( Q! N3 T* y. C我们久确定了我们木马的主动防御特征码。" R6 F5 d) @$ ~2 J+ V3 {

' F8 x% G2 p: H, L1 q1 S" T注意，每个杀软的对不同的木马的特征码是不一样的; }: M& ]* Z7 c8 ~7 N/ a

8 c6 i- S0 N7 ]+ X0 {我相信 知道定位表面特征码的朋友一看就知道了。。。  呵呵

278835491

为什么不用杀软直接删除呢？一个一个拖不是很费事吗？  5 C: j+ a- i4 A7 P; R2 f' `
   本人是免杀菜鸟。。。。
: O2 ~4 i7 [1 G8 E! V2 F7 W
4 }, H8 j" y& F) F0 r0 Q; S[ 本帖最后由 278835491 于 2009-3-2 14:09 编辑 ]

柔肠寸断

谢谢咯

闲逛

.m (40). 好像有点懂了。。。

hilarylove

这些很早就懂了。不过真的要操作起来，不会的人可能会走很多弯路。