[原创文章] 定位木马的主动特征码 木马, 特征

1335csy

自己的一些平常用的定位主动防御特征码的方法。。  U& C- P! s+ R* [. |% ]

1 p9 M7 `5 S  y/ S. |现在分享出来。。。
, q* ~+ Y7 r/ O  p4 J& g- G8 t$ d- }: g& P" Y
工具：myccl.OD
2 E7 l* k: `8 A1 Q, T; q
4 O5 {0 t- o# _$ h( f# _% ^( F# R; F免杀必备的工具哦
5 p1 a. s: ]( R3 {* W: L- S" `+ M* M3 W) c2 R
用myccl分块文件。。。尽量少点   比如  10块2 @% [( A, o, s* C
- q! D& d: n: y
打开文件夹   一个个拖入OD。。。（为什么要拖入OD呢，其实我们吧一个文件拖入OD时，这个文件等于变相的运行了）
! y2 X1 P  G# @5 W5 C" @. l" M) ?$ }
好了，这个时候会提示文件无法运行的窗口，/ B+ ]0 F. V' [

% s8 z2 a, o8 C9 [+ w我们不管它，直接确定。。
( j7 P" L: _7 e. ]: X" `  `% k( M  u; f/ K6 A& r3 k# [9 I
如果一个文件拖入OD 杀软提示了主动防御的提示" _2 f! W  H& m1 M' F$ R- K9 N$ p

& ^2 I- q9 I. p0 X1 |我们记下这个文件，删除它，: @6 q5 h; @- N" n+ A
. B; p. o: \' B: b5 F$ S
接着拖入其他文件。。一一确定。。
) O$ N5 f6 z2 N, `& I$ y3 U8 b7 p; V# E. `: y
知道没有提示，我们手动删除掉被提示的文件。。。
: g8 }* i; a+ \! O
/ A4 s; K. v7 o* |; F* \接着二次处理，再一一拖入OD   再按照上面的方法  一一确定文件
) H7 |1 N' v( L1 {: c  x5 ~5 e  ^" M4 C5 T# h: i" b' `  @
接着二次处理，重复定位   直到文件长度为2的时候: y0 A' g; \+ N
) V% A8 |" q) p5 T
我们久确定了我们木马的主动防御特征码。
- n5 u. W/ e8 \3 E/ b
, b" V& [7 \$ [$ n注意，每个杀软的对不同的木马的特征码是不一样的
( r) j5 O# ^; z4 y, L
+ m" {) I9 k2 T( w, J我相信 知道定位表面特征码的朋友一看就知道了。。。  呵呵

278835491

为什么不用杀软直接删除呢？一个一个拖不是很费事吗？  
- E3 z, q' X( A6 e! d. g6 m/ K4 H' m   本人是免杀菜鸟。。。。
  U1 Y/ V  G3 S
" Q  s" }8 A% x  O; l[ 本帖最后由 278835491 于 2009-3-2 14:09 编辑 ]

柔肠寸断

谢谢咯

闲逛

.m (40). 好像有点懂了。。。

hilarylove

这些很早就懂了。不过真的要操作起来，不会的人可能会走很多弯路。