[原创文章] 定位木马的主动特征码 木马, 特征

1335csy

自己的一些平常用的定位主动防御特征码的方法。。
' y9 T) J1 I- y
4 I; `9 J4 ~8 g* b, F" V9 K6 I3 ?0 ]现在分享出来。。。
3 {; L$ e% I" f' u8 o% I- J$ O4 H; s4 V
工具：myccl.OD- g# B* l4 G& K7 _

( e. A, j9 e5 C: P- x0 D' ^免杀必备的工具哦
& e3 @- h! j) v7 x6 \4 q* I, v% `2 y: \; m$ d: [
用myccl分块文件。。。尽量少点   比如  10块$ Z6 K" r$ l; m% m1 t3 |! r6 }

- T% ]* F3 m2 t: I1 ]- T( }) \打开文件夹   一个个拖入OD。。。（为什么要拖入OD呢，其实我们吧一个文件拖入OD时，这个文件等于变相的运行了）
$ h- V& R3 M) k; \  E# e6 a7 P3 @! w" ^& b; a8 _. O  s) Y
好了，这个时候会提示文件无法运行的窗口，' C% L* M: j3 s9 f$ D- k2 M

3 {5 u" k* Y, r9 a! P我们不管它，直接确定。。9 v- r. R- _' Z# `) ^, D  N2 J6 Z

$ s) Z( J6 t; r! R: F' n/ E* \4 B# y( Q如果一个文件拖入OD 杀软提示了主动防御的提示: c/ Z' d, r% o
7 N/ H5 C& M7 A% L5 n- S# q
我们记下这个文件，删除它，
0 W  D' ^+ c$ g* x, v* ?& T* W  i7 s: G; J
接着拖入其他文件。。一一确定。。
: ]9 i: u2 R; i' }# D3 D/ w  S4 h5 i7 n7 p0 }" [' H
知道没有提示，我们手动删除掉被提示的文件。。。
$ j( t) u3 o; ?3 K8 L5 B% Q: H% `0 d- Q. ?- ?2 t" x
接着二次处理，再一一拖入OD   再按照上面的方法  一一确定文件/ |- G1 b5 U5 S
) u5 I3 g4 u0 _7 J8 c+ v
接着二次处理，重复定位   直到文件长度为2的时候
" ^/ f. L* n" \( P% ]
; I+ i+ W* k- S; P! @/ v1 a9 q! B9 L我们久确定了我们木马的主动防御特征码。
6 \, Z' L# [0 J! ^# s7 M) k" R6 _% J/ q
注意，每个杀软的对不同的木马的特征码是不一样的
0 t$ h. I  q$ R% [/ Q
: x. o! {* {2 a, N+ Z6 D我相信 知道定位表面特征码的朋友一看就知道了。。。  呵呵

278835491

为什么不用杀软直接删除呢？一个一个拖不是很费事吗？  
$ ?$ ~; I9 F2 H' m$ z   本人是免杀菜鸟。。。。
0 a  ^2 Q+ w; p, ]
, k" ^5 ^5 H' p7 W# N! y[ 本帖最后由 278835491 于 2009-3-2 14:09 编辑 ]

柔肠寸断

谢谢咯

闲逛

.m (40). 好像有点懂了。。。

hilarylove

这些很早就懂了。不过真的要操作起来，不会的人可能会走很多弯路。