[原创文章] 定位木马的主动特征码 木马, 特征

1335csy

自己的一些平常用的定位主动防御特征码的方法。。
4 E" D; H7 z" z  e/ T. `3 N/ Q2 l
4 R. h/ g* t" E! T现在分享出来。。。
* r5 g7 X: B% |) x9 i1 _" F8 [4 H9 y6 {5 a8 Y
工具：myccl.OD. h$ d. f0 d# C) O

% o3 [" m+ p% P1 B免杀必备的工具哦 ' J8 S( l' c/ K2 ]
' C/ d1 }# ~$ A6 a) Q1 o1 h! `
用myccl分块文件。。。尽量少点   比如  10块
) s- I9 I$ V$ J+ C0 M: h; e
% ?. H0 _' S) ?打开文件夹   一个个拖入OD。。。（为什么要拖入OD呢，其实我们吧一个文件拖入OD时，这个文件等于变相的运行了）0 Q) ?1 A( K6 P" l2 t) R
% {) e! y1 `+ ?6 s$ j
好了，这个时候会提示文件无法运行的窗口，
( |5 r! l/ ^* j  m3 i2 R" d+ A
* V! J! g, E- g$ J" x1 z我们不管它，直接确定。。
% s" P& q2 j4 |- A) C6 Q) q5 S4 O: A9 X
如果一个文件拖入OD 杀软提示了主动防御的提示
" t; u: a) e5 h: [+ Y" s* h8 {6 n; T4 ?: q' T
我们记下这个文件，删除它，
- ^3 E4 E. p. {2 ^& t; Y
3 `0 v9 Y) B1 |1 y+ T8 U接着拖入其他文件。。一一确定。。4 \. v2 [4 o* Y

% z" ?$ D0 d7 M- S知道没有提示，我们手动删除掉被提示的文件。。。: S' R' O# K$ ?. b" b& x. k1 p& q/ o

5 w! O, M2 a2 @5 z6 E8 S5 Q接着二次处理，再一一拖入OD   再按照上面的方法  一一确定文件
) B) h" g# H' D; e8 A5 s
% |7 S" f- L+ a1 B6 {0 U接着二次处理，重复定位   直到文件长度为2的时候
$ ?2 ]0 B; `$ ~
) P9 ~4 q- M4 ~, m+ d9 k+ F" n我们久确定了我们木马的主动防御特征码。
1 r# Q2 z  A& f- [( J
& j/ ^2 v* Q) M# G0 R注意，每个杀软的对不同的木马的特征码是不一样的: t0 M& ~0 i9 r4 s# |& b- t+ Q
4 N3 }8 Q1 y; p6 j
我相信 知道定位表面特征码的朋友一看就知道了。。。  呵呵

278835491

为什么不用杀软直接删除呢？一个一个拖不是很费事吗？    s' N$ \' _9 B, a% n' h- c+ ~
   本人是免杀菜鸟。。。。
" S  S& {$ M* {6 Z/ \( N" W5 L4 Y! A0 I* v. H9 s' I
[ 本帖最后由 278835491 于 2009-3-2 14:09 编辑 ]

柔肠寸断

谢谢咯

闲逛

.m (40). 好像有点懂了。。。

hilarylove

这些很早就懂了。不过真的要操作起来，不会的人可能会走很多弯路。