[原创文章] 定位木马的主动特征码 木马, 特征

1335csy

自己的一些平常用的定位主动防御特征码的方法。。' v2 l2 s; U3 k+ b6 M

3 l2 |0 X- K' H5 r# F现在分享出来。。。7 u. R5 `( ^" V9 `* Q, d6 m4 h
( f; d& j) a5 S$ O7 K+ L4 B. q- r" Y, y
工具：myccl.OD0 z* Y) M3 p& ?6 n- g9 B

' J5 T- J. P. s0 |- d免杀必备的工具哦 % p6 X. Z& Q* T3 [- l/ ]; T# G

, V- b7 d, R. S( x" L/ T用myccl分块文件。。。尽量少点   比如  10块
; d/ Z/ F5 C$ ]$ @1 C7 b
) P# N# Z7 {) G) j" ]打开文件夹   一个个拖入OD。。。（为什么要拖入OD呢，其实我们吧一个文件拖入OD时，这个文件等于变相的运行了）
  l7 B$ X9 G4 F
$ `1 F' H# t" Q/ N: |+ A- F7 y好了，这个时候会提示文件无法运行的窗口，
  \6 k1 _; Y3 I6 p) D0 n, M$ O; b- i( ?" {8 B9 ~
我们不管它，直接确定。。+ J. m/ M. W  T; N! L5 V1 e

$ n' ~* S% ?( J, n# X: n. Y如果一个文件拖入OD 杀软提示了主动防御的提示
6 ^9 Z! n& h2 @# q
0 U  x6 A& Y6 [! R  h我们记下这个文件，删除它，
2 W5 J* c' R, U3 q6 K+ M( z
. M# Q+ s/ ~, J' y接着拖入其他文件。。一一确定。。4 A' K% L6 h- U6 Q

% N" z( M. O) c8 r6 d知道没有提示，我们手动删除掉被提示的文件。。。* Z  Q' I9 K& ?" @% c) t: w0 T
- E; B% W$ h6 \9 A
接着二次处理，再一一拖入OD   再按照上面的方法  一一确定文件
! q! A9 ~+ h! z6 s3 y. ]  y/ k' Q$ D
  q! y* @9 N' R4 g8 H" B! q/ D接着二次处理，重复定位   直到文件长度为2的时候( ?) d+ O# O/ F; J  d- h

$ _; h& X3 w+ I3 t) {1 R6 n% W我们久确定了我们木马的主动防御特征码。/ [/ v2 V$ n3 y7 u

( x. Y- S$ M1 b0 E9 \( N" X注意，每个杀软的对不同的木马的特征码是不一样的9 W) ]1 V- R3 I% m7 ]5 K. w
  ~! J; c% B, d9 U
我相信 知道定位表面特征码的朋友一看就知道了。。。  呵呵

278835491

为什么不用杀软直接删除呢？一个一个拖不是很费事吗？  
$ @# p, F( Z# M+ |/ B# ?1 y. o   本人是免杀菜鸟。。。。
1 \1 P* Y+ Z4 a7 b6 R* B
0 |4 v$ b/ z4 Z6 R# D[ 本帖最后由 278835491 于 2009-3-2 14:09 编辑 ]

柔肠寸断

谢谢咯

闲逛

.m (40). 好像有点懂了。。。

hilarylove

这些很早就懂了。不过真的要操作起来，不会的人可能会走很多弯路。