[原创文章] 定位木马的主动特征码 木马, 特征

1335csy

自己的一些平常用的定位主动防御特征码的方法。。- _8 U0 }; ^: P5 Q
2 B' z  L5 x4 I+ K5 R
现在分享出来。。。
( M/ e0 G3 J/ }  l4 G$ B* T
3 J1 y* E! r, a, y' `, }. ?/ |+ _工具：myccl.OD- R+ E! P( \5 t# z- {: y! P
7 ?+ o; }5 y- o7 h& S( F
免杀必备的工具哦
3 r% O% @9 Q! H0 w' ~/ d& X# h
9 X& y# b3 D6 E6 }$ U. u用myccl分块文件。。。尽量少点   比如  10块
7 m) h4 n2 V$ `8 N: k7 k3 s- s: C. j/ f- M* H' Y
打开文件夹   一个个拖入OD。。。（为什么要拖入OD呢，其实我们吧一个文件拖入OD时，这个文件等于变相的运行了）3 E; j+ }1 V5 N* ^, m+ b9 t
$ c( P  j. P6 U; a5 q" T* ^
好了，这个时候会提示文件无法运行的窗口，
" I8 f/ ~1 t* O& N* h- r
/ C: J: \- ^: y' @4 l! U我们不管它，直接确定。。4 i7 B6 x% k/ ]4 x! D

2 m+ j0 _0 Q% q2 G1 w! A- T如果一个文件拖入OD 杀软提示了主动防御的提示( a- D* Z( G4 h% O, A. b

( l. u. G% m# e5 O5 q$ K# x& W我们记下这个文件，删除它，
+ J9 G9 i5 ?) h% T( P0 c3 T8 x/ R; R: p, i5 v+ K
接着拖入其他文件。。一一确定。。
& l% l9 o# D2 i
: F" c: n8 \+ e! _2 b+ L知道没有提示，我们手动删除掉被提示的文件。。。
) ?/ ?- e* D3 w* ?% I5 {# ^% p' M9 r1 ?" t$ A7 o
接着二次处理，再一一拖入OD   再按照上面的方法  一一确定文件7 x' b* p2 P, u6 C5 J1 b6 g

8 `5 V6 ?, W3 ^: G8 R5 e6 w0 [接着二次处理，重复定位   直到文件长度为2的时候, Y2 U5 s. \9 Y' }
# N: G- f' D/ _* X1 O. m
我们久确定了我们木马的主动防御特征码。
- r& ]5 L+ S: |  W  U0 B
. d3 f2 H. b9 K5 Q3 c* k注意，每个杀软的对不同的木马的特征码是不一样的
% l% f2 P( m  m& w$ v0 _6 @- x% Q6 w( ]4 y
我相信 知道定位表面特征码的朋友一看就知道了。。。  呵呵