[原创文章] 定位木马的主动特征码 木马, 特征

1335csy

自己的一些平常用的定位主动防御特征码的方法。。
& M/ ^0 F+ |" c! a9 M2 n! D) b* k
现在分享出来。。。
$ S& }& C/ ~5 t* S2 A3 V9 \6 Z- M- q( `+ @5 O& }  y3 K: b9 g) |
工具：myccl.OD
/ a) c* T0 [0 [- D' W  V. d- |3 M! u: d$ k" j2 h+ n
免杀必备的工具哦 ! S9 C1 {/ @! Y) e& q

$ w0 _% {# U2 h+ v1 n/ \' N用myccl分块文件。。。尽量少点   比如  10块- H1 V$ v- ~- q" @3 p8 ?
) t. u8 o7 ~, {8 Q" e
打开文件夹   一个个拖入OD。。。（为什么要拖入OD呢，其实我们吧一个文件拖入OD时，这个文件等于变相的运行了）( p+ Q2 \: I* d

% N0 p8 y; z5 V) M1 ~' P  `' y5 f. |/ D好了，这个时候会提示文件无法运行的窗口，* T7 Q3 P( L* E) a) ?/ f; l

9 {) Y$ s1 f; i8 ?4 t" `8 A) P* u我们不管它，直接确定。。3 x) U  B2 @4 E2 z6 n

; l& g- G7 \+ u- p如果一个文件拖入OD 杀软提示了主动防御的提示
, o" ]- c# j/ v
. D5 c% w: n0 ^' A我们记下这个文件，删除它，% h8 K+ _6 r( k5 M( e5 L
1 a1 Y4 ~' S) m
接着拖入其他文件。。一一确定。。
5 n& S& @8 d  L
, y' Z5 s: v" `) g4 ~) Z9 u知道没有提示，我们手动删除掉被提示的文件。。。- v7 n+ i4 V, w" ]/ u4 @( b
: J7 o# d7 r' v
接着二次处理，再一一拖入OD   再按照上面的方法  一一确定文件
: g! k9 R: r& o  ?/ [# P( @
2 F1 f3 ?' e/ b! i1 t* B* a接着二次处理，重复定位   直到文件长度为2的时候
6 O- s: a8 T: r$ U
) C5 R- P! g6 g. {4 p2 l4 u) }我们久确定了我们木马的主动防御特征码。/ Z# r- B, W; S) h  i; ^' K1 I

2 ~5 C# C9 D& m% d0 R8 d注意，每个杀软的对不同的木马的特征码是不一样的: h/ Q: B5 z9 j2 c3 S
. o4 W) h/ \: t
我相信 知道定位表面特征码的朋友一看就知道了。。。  呵呵