|
 
- 帖子
- 143
- 积分
- 419
- 威望
- 415
- 金钱
- 446
- 在线时间
- 65 小时
     
|
当今的主流杀软都是采用特征码来查杀木马和病毒的，: r# D' ~$ u9 g# F$ ^2 O' ?
* q- J4 \( d; a+ `
作为定位特征码的利器--myccl，自然被各大杀软研究的彻彻底底了。
6 G$ b5 h) \. K6 i+ b2 I* j9 p1 p& x6 N O4 L! Q
于是，杀软的各种干扰措施出来了。# ^. C, j2 n* \9 [- f% c/ A$ `
V/ g2 S. q! s# ~以下，我就来分析下常见的使用myccl的一些问题, t6 t0 s2 x4 ^) \9 X
4 p2 C. s h+ @2 L5 ~) Z, V% X n1.为什么我的myccl总是卡在一个特征码，不能继续定位了.
. f; }" b1 L, K- E$ K h
8 y; t; f% G$ W! s$ q这个就是传说中的死循环了，杀软的一个常见干扰措施，# n+ ^% @ ?8 v6 N
( U+ C' j! ?0 z* {) H9 C在早期，对付这样的情况我们可以尝试入口点+1法，现在的效果不大了，但是不妨一试。$ m3 P+ u* N! k2 E8 F7 h- o2 \
8 M/ d( K4 \0 d) z, z' d9 j$ F现在对付这样的情况可以这样，加个花指令再定位，或者定位这个已经知道的特征码，
# m2 @2 V! _0 R% [
- l. j; n" t, O2 k不要一直卡在这里，直接定位这死循环特征码到长度为2为止，改完后继续定位。
& U1 M" A+ E$ K; [# P
9 ]2 w- q2 u8 I, X1 F2.为什么我把所有的特征码改完后，杀软还是报毒？6 n2 U6 g6 v7 ]1 r
# q: j7 e8 Z7 I' A' A7 y
这样的情况多见于国外杀软，外国杀软侧重于功能性，
. E. y* [* C: h- k5 F9 ~+ ]( W7 j3 E/ R6 o2 U
特征码经常是不可能一次就定位出来，需要多次的定位，( o; O( O1 V1 L! Y
, m$ P; s1 ]: c当我们修改完以后，仍然需要定位未定位出来的的特征码。
3 b# p: F7 o Y& Z+ @/ Q, [% [5 l
3.为什么我分了100块文件，杀软全部杀了？
) ^5 W" p; t- G- z
5 W, _* j: V7 F, S: z不知道大家见过这样的事没有，我们只分了50块，但是杀软却杀了150块。 -_-
( Y$ s/ R5 a4 T, a$ x m
$ s3 e0 t N0 y+ W# C这样也是常见的杀软干扰方式，. y* ~# A F3 m9 w! V
# U2 Z: c) H; w我们可以这样，在填充字符那里，选择90，不要默认的00，人人都用00填充，当杀软是白痴？5 B/ C: ^! n( x: N! }+ g7 @% ~, H
# U0 k. @: f6 Z: v$ h
或者反向定位，这样的效果比正向定位要好，, f( I% V$ X. X
6 A$ U6 ]& H) \( L6 G c3 C9 q
还有就是杀软的设置了，这样的情况建议先把杀软的高启发扫描先关了，过了再开启高启发。
% B* ?* l9 N7 Z2 o& i- k* H; K+ j
$ G/ P# Y1 h* B8 R. o S最后，分块数量这里，不要太多，40~~~50就差不多了，我一般是这样定位的。
( P+ r- h& R K& L
6 y C% M6 V+ y$ b4.一个特征码，我已经改完了，为什么还会被杀软定位出来？
& \1 J: e9 t; S. g$ j3 e2 s% t7 ~& y! t4 p+ Q* A: [
这样的情况见于卡巴，我做暗组的时候遇见过，记忆犹新， J1 L% ]/ H- K8 f7 |9 ^0 G
/ i' n6 u$ i6 V) c8 @' V) C4 b
一个特征码，已经被我修改了，继续定位仍然是这个特征码。-_-!/ r4 {& s+ T1 Z
( D4 h8 Z, \+ E" M* n. ~这样的情况，我们一般是反向定位，定位出结果和正向结果是不一样的，但是一样可以达到免杀的效果。; ^5 P. C% x/ j& p" F7 |7 |
& t7 y# f( {( C! a4 Z
总结至此吧，myccl是一款非常优秀的定位工具，大家好好利用，在现在的主流杀软世界里，是可以定位出绝大部分木马特征码的。
i1 @" k! u. m. Z8 P" @1 o K+ l% `% H" x1 \6 l2 o% \
如果大家对于myccl有些不懂的地方，跟帖子留言 |
|
发表于 2009-5-12 18:58
| 
发表于 2009-5-12 20:56
| 