[原创文章] 定位木马的主动特征码 木马, 特征

1335csy

自己的一些平常用的定位主动防御特征码的方法。。
. x# ]9 @/ m4 U+ |/ B: O0 e2 v3 t. ?# w! a9 v1 R% w
现在分享出来。。。
8 }, s* P% n' w( i
2 u- h. v  A, O, v( s+ N7 M工具：myccl.OD
6 |  o* p% {& x3 a% c1 d
( o, I$ f! p1 y$ g免杀必备的工具哦 # f$ l" l# L* i

% H; V8 n/ F& s- o用myccl分块文件。。。尽量少点   比如  10块
' K1 V5 b5 y/ J$ f, Q; _+ M
9 \% v' l- \$ V& {$ h打开文件夹   一个个拖入OD。。。（为什么要拖入OD呢，其实我们吧一个文件拖入OD时，这个文件等于变相的运行了）/ B- S8 h! o( r2 X9 {0 i7 Y
. _% a& ?6 B3 Q1 m5 Q
好了，这个时候会提示文件无法运行的窗口，
  X; P4 c3 ]+ x2 h  Q. {+ q* |# o3 d3 Z1 u( C/ S2 R6 b9 O4 ~
我们不管它，直接确定。。
: R4 H6 ^5 v+ W$ z! h- N2 t/ K: J; U; T- I9 N# Z
如果一个文件拖入OD 杀软提示了主动防御的提示
& G3 z# Z' c7 {0 f/ m4 n& C+ ~, B' f/ q
我们记下这个文件，删除它，
" P- _. {5 o1 T1 V9 H% W- [; u. f9 \/ f" g2 ~' J) Q
接着拖入其他文件。。一一确定。。
! H7 S' Z! o; _+ u% {* R" j8 ]& D! u/ R: R, ?% a! K
知道没有提示，我们手动删除掉被提示的文件。。。
7 Q. e! q+ h  B" P/ e
* S4 v1 M3 H. A  v/ F6 {3 B接着二次处理，再一一拖入OD   再按照上面的方法  一一确定文件9 B5 V. k* ~" S- k5 n, m

; N5 l% o6 z' d4 {3 l# F接着二次处理，重复定位   直到文件长度为2的时候7 g" m* ~9 [4 z. h

! ]4 y: n" |8 D( ?我们久确定了我们木马的主动防御特征码。
* f# r: q* G. f  B* L0 ], D5 y. f$ a- x1 c! H5 ~* Y' x/ e
注意，每个杀软的对不同的木马的特征码是不一样的
7 U3 V& H! X' u: J4 z6 L
* V5 f3 R( }; S7 l2 W我相信 知道定位表面特征码的朋友一看就知道了。。。  呵呵

278835491

为什么不用杀软直接删除呢？一个一个拖不是很费事吗？  1 v( \3 C: F0 A
   本人是免杀菜鸟。。。。4 U' Q, _7 n6 r/ \& J, Y4 d

: o5 O) _# x! b( I[ 本帖最后由 278835491 于 2009-3-2 14:09 编辑 ]

柔肠寸断

谢谢咯

闲逛

.m (40). 好像有点懂了。。。

hilarylove

这些很早就懂了。不过真的要操作起来，不会的人可能会走很多弯路。