|
 
- 帖子
- 143
- 积分
- 419
- 威望
- 415
- 金钱
- 446
- 在线时间
- 65 小时
     
|
当今的主流杀软都是采用特征码来查杀木马和病毒的，. z* a B8 R, G- j
. ^) c: `# m1 H
作为定位特征码的利器--myccl，自然被各大杀软研究的彻彻底底了。
' P% }; q2 C0 ~9 {" R; L3 i
$ S: r) R( f' H4 Y- p于是，杀软的各种干扰措施出来了。: H* Q. U. `" s; t5 w
$ V& O; L) e0 d" F以下，我就来分析下常见的使用myccl的一些问题
( B" d3 Z8 N& E( Y) r( [
$ ]; @% H. S+ H0 i) @, m, B) X2 H1.为什么我的myccl总是卡在一个特征码，不能继续定位了.4 H* e* t d1 Q- k& B) n; B
' H! r/ D$ j4 Y1 }7 i' f" \0 Q
这个就是传说中的死循环了，杀软的一个常见干扰措施， C: B: Y, y o4 a w
1 [0 |$ Z. ^$ k+ m$ \在早期，对付这样的情况我们可以尝试入口点+1法，现在的效果不大了，但是不妨一试。
5 D; w5 w6 K( u' O m& [( l) K n' M% H
现在对付这样的情况可以这样，加个花指令再定位，或者定位这个已经知道的特征码，( i) j" m3 g9 q8 y4 ]: y0 {
/ Z e' R$ ]( P' n
不要一直卡在这里，直接定位这死循环特征码到长度为2为止，改完后继续定位。
' Z" }) K6 ^" d5 i: y8 t5 Z6 J/ p0 h4 j/ |' O m: Q) Y* d$ D
2.为什么我把所有的特征码改完后，杀软还是报毒？
$ E+ |) M3 O. e. T; `& `
% n8 h4 M7 u$ g这样的情况多见于国外杀软，外国杀软侧重于功能性，
a( I! @$ P) K1 J) p8 l
& w% V# ~7 [ i" v$ Q' \) U& I特征码经常是不可能一次就定位出来，需要多次的定位，
: s( ?! W- F) ^" O$ P/ a2 X8 a/ k
0 x/ v" G& s. ^3 q* P+ B$ F3 z当我们修改完以后，仍然需要定位未定位出来的的特征码。
7 ]1 b* O5 t5 L5 X% U
3 A* i/ C' Q* c3.为什么我分了100块文件，杀软全部杀了？
( z5 I: [* t" M
+ c q$ ]' N6 A# c不知道大家见过这样的事没有，我们只分了50块，但是杀软却杀了150块。 -_-
8 \) N: q2 d& I: g+ f. _, E4 H7 t5 {2 J! c# @* R
这样也是常见的杀软干扰方式，
0 ~7 [2 N- u+ Y* K$ q
; b% M+ z2 k& C) q6 r6 z( o我们可以这样，在填充字符那里，选择90，不要默认的00，人人都用00填充，当杀软是白痴？* B4 V) j! q! o$ o7 l
! x7 U* y% P; {0 F$ O7 B+ b: x
或者反向定位，这样的效果比正向定位要好，
' p1 x" E3 b% p$ G8 e) J- L5 b/ n3 P7 c" n! H% P- `# S( m+ G
还有就是杀软的设置了，这样的情况建议先把杀软的高启发扫描先关了，过了再开启高启发。4 }' V* E, y6 e+ e6 `
: a( O& w8 d0 M1 w
最后，分块数量这里，不要太多，40~~~50就差不多了，我一般是这样定位的。2 X# g9 V, s; s& z
: c; V5 Y5 z' {8 m4.一个特征码，我已经改完了，为什么还会被杀软定位出来？
* `3 ?9 h7 _/ Z1 k: G
3 R; j9 n* t% Q. v- u这样的情况见于卡巴，我做暗组的时候遇见过，记忆犹新，
4 e. X7 T" p. D( U& z' w- t# D5 X+ U& n; W' ^( m; o: g/ P
一个特征码，已经被我修改了，继续定位仍然是这个特征码。-_-!
# [8 D) c; I8 F" Q# u+ k) N4 U: N+ X& y7 O4 ~" F1 h3 ~6 D
这样的情况，我们一般是反向定位，定位出结果和正向结果是不一样的，但是一样可以达到免杀的效果。
- X4 Q$ T% a6 B; Z0 q2 M
! f4 Q% l; m5 l/ Z( h总结至此吧，myccl是一款非常优秀的定位工具，大家好好利用，在现在的主流杀软世界里，是可以定位出绝大部分木马特征码的。, @3 S/ u u; c& W
R! N7 V2 V; s: z; L/ U
如果大家对于myccl有些不懂的地方，跟帖子留言 |
|
发表于 2009-5-12 18:58
| 
发表于 2009-5-12 20:56
| 