[原创文章] 定位木马的主动特征码 木马, 特征

1335csy

自己的一些平常用的定位主动防御特征码的方法。。  [( i- o0 \/ |
+ M5 i1 K; k! E
现在分享出来。。。( l4 H* m  e# I- D5 I+ t8 {

. J6 d7 P0 \: g% P+ Q1 l工具：myccl.OD, B1 O: j% x& [% i
& ~" D. A8 }8 m  D) e$ N) k4 ?
免杀必备的工具哦
& H. E! Q( v9 F, V+ r# P
" H$ Q1 f: }- y用myccl分块文件。。。尽量少点   比如  10块
) X2 p. i; H& m2 h
9 Q! j3 u+ w% z* _1 U! M: F* P打开文件夹   一个个拖入OD。。。（为什么要拖入OD呢，其实我们吧一个文件拖入OD时，这个文件等于变相的运行了）
. [  W+ X0 M. c: v& T  M7 W& Z! R+ |  B
好了，这个时候会提示文件无法运行的窗口，, u* k. r( `& H' M+ v8 K

% }% Z/ u5 M% E6 I2 g我们不管它，直接确定。。
! n, _8 ~: e- T; J( M
# a# O6 U) w3 W2 A# J/ ~如果一个文件拖入OD 杀软提示了主动防御的提示) v3 c  T1 `$ O% P  {
( {' n4 L& p4 p
我们记下这个文件，删除它，: X) e& l  W# j% g) K* O
9 k# a6 Y0 Z2 [9 u7 Y3 O
接着拖入其他文件。。一一确定。。
, m2 I: b- h* l" [( y: s; p  t4 ?( f1 Z$ b1 U# m* i6 \' N# T; K
知道没有提示，我们手动删除掉被提示的文件。。。
1 s- A( r) F! J' R# i3 J1 i
" I, a# m) I8 C6 q# J( H& y* v6 h接着二次处理，再一一拖入OD   再按照上面的方法  一一确定文件% a: y+ @) G8 w
3 o- e  `" K. ]- s
接着二次处理，重复定位   直到文件长度为2的时候
- e4 E* P* K9 Q9 N$ y% [' X, R$ o6 X
我们久确定了我们木马的主动防御特征码。" @+ |. R3 @+ K8 M' q9 l# A1 b7 x

+ M& ?3 d+ q' @/ ^# j) i( `注意，每个杀软的对不同的木马的特征码是不一样的, w$ Z: G/ T, C3 b" G+ p% A4 K' T

# R( n+ q& I6 r, e9 g0 E5 z6 v' m我相信 知道定位表面特征码的朋友一看就知道了。。。  呵呵