[原创文章] 定位木马的主动特征码 木马, 特征

1335csy

自己的一些平常用的定位主动防御特征码的方法。。4 M/ R( S: l; A7 _
7 l- W  {8 J. J6 s0 |1 l+ R: @0 r
现在分享出来。。。
4 Z( h* S% Y/ p) w; v" Q! A6 E0 E: k) w& D1 _
工具：myccl.OD
$ P$ g3 Z; {' `. k, K
! _5 h2 T$ f) V0 H& D( q7 k; Y免杀必备的工具哦
5 s; I" H" f5 R9 n3 m6 d1 _' U! k4 N6 l+ d' _, Z6 ?
用myccl分块文件。。。尽量少点   比如  10块* A" ~" ~$ x, t7 ]. O( g

8 X4 b" `, z2 i! b打开文件夹   一个个拖入OD。。。（为什么要拖入OD呢，其实我们吧一个文件拖入OD时，这个文件等于变相的运行了）/ b, g9 l+ @3 y- M0 @- W4 E

  y3 S9 X& W: @+ U. \! F好了，这个时候会提示文件无法运行的窗口，
$ v! J) ~* B$ V! B: m  Y6 @, e# q2 q& @6 b
我们不管它，直接确定。。
; K  Y$ M/ M- N. s! M+ T
1 v& S5 `& {2 l  I如果一个文件拖入OD 杀软提示了主动防御的提示
% d3 a, c5 S# N7 O( j8 [3 o2 X9 Y- R, j- V! B9 J  I3 `$ k# M3 N
我们记下这个文件，删除它，$ s& w) f1 |0 a4 Q: z  ~9 n. K
/ _; M3 _& b' j5 z! v+ v+ @
接着拖入其他文件。。一一确定。。  A; X5 c& O. d7 Q
7 q# v! s6 ]3 c* C
知道没有提示，我们手动删除掉被提示的文件。。。* u! S% b7 Z) Z/ u( _

! A8 g2 }$ p3 M7 H6 l4 w接着二次处理，再一一拖入OD   再按照上面的方法  一一确定文件# R( j* U8 @+ F7 a
4 @& T7 h- I' o# Y3 c
接着二次处理，重复定位   直到文件长度为2的时候! L  r4 r5 ^8 f) y; l1 {- s

8 L9 j& y+ E3 L" P/ D我们久确定了我们木马的主动防御特征码。5 l% _4 m4 D+ K( m2 L; r7 y2 V3 G2 v
' i4 z& h" F2 J
注意，每个杀软的对不同的木马的特征码是不一样的$ r/ Y7 N1 |% b
! ?* T5 m: y& P/ ^
我相信 知道定位表面特征码的朋友一看就知道了。。。  呵呵

278835491

为什么不用杀软直接删除呢？一个一个拖不是很费事吗？  . I. b( f9 K5 W* F, ?# O; Y
   本人是免杀菜鸟。。。。3 \- n$ m' C2 M. C1 ]3 I

: \$ N6 X( p3 H. U* C( q; d[ 本帖最后由 278835491 于 2009-3-2 14:09 编辑 ]

柔肠寸断

谢谢咯

闲逛

.m (40). 好像有点懂了。。。

hilarylove

这些很早就懂了。不过真的要操作起来，不会的人可能会走很多弯路。