[原创文章] 定位木马的主动特征码 木马, 特征

1335csy

自己的一些平常用的定位主动防御特征码的方法。。
2 e: W. c" n/ t* @5 D& d. K# N5 M% B( O0 R# b6 X) j5 q5 c, |
现在分享出来。。。
' Y; z$ v. @) d( J4 J! l6 }% z6 x4 U2 P9 A! w
工具：myccl.OD
% c& j# w! o) P8 G  {* P+ e% z) d9 O# A/ L4 X
免杀必备的工具哦
7 i1 v8 N& v7 v/ c. o# L
5 S+ _- r% r! B) W6 i用myccl分块文件。。。尽量少点   比如  10块
; v% |9 R+ x. _/ t* y* z4 C
! Z) ^0 \* ?4 c. g7 v7 @打开文件夹   一个个拖入OD。。。（为什么要拖入OD呢，其实我们吧一个文件拖入OD时，这个文件等于变相的运行了）
7 ~& s( q* X; j/ f* X# L4 B$ Q0 i) w- J$ j, m3 C# q
好了，这个时候会提示文件无法运行的窗口，
5 R, w" ?9 V, R  N, f
. B* f# F) `% o6 a  C我们不管它，直接确定。。; ~. v6 L% b' z6 Q8 p+ g# T

& D% @' Z6 X2 O0 a3 w如果一个文件拖入OD 杀软提示了主动防御的提示7 T3 X: I# c6 q& h3 w; ?1 g: m# j* w

. o  U: H8 y  B: j& `  N. O1 P) Z我们记下这个文件，删除它，
* |) F% F/ F+ ~1 G0 p5 Y; N3 S3 w' t* Y0 B2 m
接着拖入其他文件。。一一确定。。5 a% J+ p" F4 S- A* k; D8 O. P

' o& r, X9 N& }5 C- k, ^知道没有提示，我们手动删除掉被提示的文件。。。
; P1 z6 N, [/ }% d/ x
! `! z- a& w) v9 ^4 H' t' I接着二次处理，再一一拖入OD   再按照上面的方法  一一确定文件2 c( d, R! L2 k/ v; o) X5 [
; P6 I- n# y) u6 Y0 A/ Q9 j
接着二次处理，重复定位   直到文件长度为2的时候
  g( F9 k8 A! J, g" u2 G, t( ^8 ?3 f/ b3 X
我们久确定了我们木马的主动防御特征码。
5 {+ F' @2 ~0 R/ Y6 q
7 C) _$ ~& z; {' i: K2 J2 h* ^  r1 \0 ?5 b注意，每个杀软的对不同的木马的特征码是不一样的& ~# E3 ]5 u( ~; W

, K0 J% _; u  j# ]. g我相信 知道定位表面特征码的朋友一看就知道了。。。  呵呵

278835491

为什么不用杀软直接删除呢？一个一个拖不是很费事吗？  
: X: P( q1 }5 y- Y' x7 {   本人是免杀菜鸟。。。。) I( F7 ]9 e/ \# p
( R, D" o# f! X: E7 L4 J+ m5 E( Q
[ 本帖最后由 278835491 于 2009-3-2 14:09 编辑 ]

柔肠寸断

谢谢咯

闲逛

.m (40). 好像有点懂了。。。

hilarylove

这些很早就懂了。不过真的要操作起来，不会的人可能会走很多弯路。