[原创文章] 定位木马的主动特征码 木马, 特征

1335csy

自己的一些平常用的定位主动防御特征码的方法。。
3 W- u5 S7 W- R$ o7 |; k
" |1 l; v( Q7 [$ B现在分享出来。。。
' P/ Z( P3 x7 U7 z! s) y6 J& `+ R! a( L# o8 y, T
工具：myccl.OD) t& K) w% V' C4 Y
2 G; w0 X9 K4 h: r4 t
免杀必备的工具哦   f5 b  ?# p; ~  i9 P! Q- z- y

. f% d" m/ g' c用myccl分块文件。。。尽量少点   比如  10块7 U( `2 a* R9 T2 P! L# c) U

/ x. {1 I+ X2 V' n8 A* `% A3 S打开文件夹   一个个拖入OD。。。（为什么要拖入OD呢，其实我们吧一个文件拖入OD时，这个文件等于变相的运行了）1 H- K5 N/ O% s5 Z3 n

: w3 x8 }4 }# f! {# _- v) G好了，这个时候会提示文件无法运行的窗口，
- F4 q8 O5 F" R- o9 W( n3 P1 B
% W8 M" Z2 t" ^; V我们不管它，直接确定。。
( g! l& h: x; @
& k1 x' `3 x' N! j$ G% ?2 O% s9 I8 }: d如果一个文件拖入OD 杀软提示了主动防御的提示
/ \" @7 W; t% }8 I9 L7 O% Z9 l+ m
: s* W3 U; g3 I: B6 |4 |我们记下这个文件，删除它，
' p, M# H" L- S# F6 ^# v; A6 \) ^) m& h9 k1 ]2 Y2 N) H
接着拖入其他文件。。一一确定。。. r: Z8 R6 b, k2 O% y
2 z3 V; K6 C5 a- p( f
知道没有提示，我们手动删除掉被提示的文件。。。
) J/ s. `. A- D0 J9 G3 G; L0 V
: I9 A- W% m! `4 @& Z6 @6 d接着二次处理，再一一拖入OD   再按照上面的方法  一一确定文件
( [# f( X7 v+ \2 e8 v* J$ e6 W2 v$ ]: F0 p+ H- {
接着二次处理，重复定位   直到文件长度为2的时候
5 L6 V+ y2 P5 y; \" t6 H6 l1 a2 d6 }* x6 d% X
我们久确定了我们木马的主动防御特征码。9 F( ]' C- u" O# K$ s/ v0 O" i$ n9 R

9 I6 d3 \& c3 W$ J9 `- e% n注意，每个杀软的对不同的木马的特征码是不一样的
6 j+ c# p$ w2 v0 T2 [8 Z: h6 m. j/ z$ X( v" I, I+ S/ q: A' v$ Z% @& m
我相信 知道定位表面特征码的朋友一看就知道了。。。  呵呵

278835491

为什么不用杀软直接删除呢？一个一个拖不是很费事吗？  ! d7 M5 O# q# C1 u6 s; T. L
   本人是免杀菜鸟。。。。$ M# Z2 X" d  J) [, g3 Z
2 e. _. J% k; n4 g
[ 本帖最后由 278835491 于 2009-3-2 14:09 编辑 ]

柔肠寸断

谢谢咯

闲逛

.m (40). 好像有点懂了。。。

hilarylove

这些很早就懂了。不过真的要操作起来，不会的人可能会走很多弯路。