[原创文章] 定位木马的主动特征码 木马, 特征

1335csy

自己的一些平常用的定位主动防御特征码的方法。。
1 u1 `  @  S2 [9 _5 ?5 d7 P
, j; g3 n3 s4 D$ T' n' M0 Y现在分享出来。。。
8 y* ?* i0 k: A" v! g3 E- u0 V" b5 A' F% [+ H
工具：myccl.OD) E) M' x, X9 K9 z4 P& }3 H0 _
; {/ I$ z* t6 y! z0 s6 d2 |* b
免杀必备的工具哦
0 M7 B! B8 x1 d. L) u" d. t. t
0 l0 C) t! b. y" z% x用myccl分块文件。。。尽量少点   比如  10块% c( @' [6 H+ {+ n; y% N

- y- b1 Y( _% L1 t3 X打开文件夹   一个个拖入OD。。。（为什么要拖入OD呢，其实我们吧一个文件拖入OD时，这个文件等于变相的运行了）9 }) e2 n: K( j: p4 B; j7 u! D

' q6 F6 u( |0 ?) S$ b$ T* {# V好了，这个时候会提示文件无法运行的窗口，  i! [  i) E. B% i- d

, ^8 R2 E# n7 Q( j* M0 l我们不管它，直接确定。。
0 z7 R+ r( [2 ^& H, |+ f5 k: \0 I- ?7 E( Y9 k4 C
如果一个文件拖入OD 杀软提示了主动防御的提示4 E9 ~, y9 O0 \) ]" Y  x# e6 C
/ t5 u" a& S. I' G! K% o' U
我们记下这个文件，删除它，  \1 P3 ~+ z$ q: |  l
; p1 t( c7 d) V. }1 v
接着拖入其他文件。。一一确定。。
6 O# \6 [# b9 h- O) d2 f5 B/ [- {# P2 f. h0 F7 U
知道没有提示，我们手动删除掉被提示的文件。。。
5 _( E# W0 W, c8 i) W9 g. `
4 l( A/ L: A2 V5 f接着二次处理，再一一拖入OD   再按照上面的方法  一一确定文件' ?$ |- u9 n% X: e' K2 B

/ G( f: m3 Z' w6 M5 ~' t接着二次处理，重复定位   直到文件长度为2的时候
0 R3 B7 ]. l  k
& z  m# \/ F" S8 @; U我们久确定了我们木马的主动防御特征码。1 m4 N& ^: x: ]2 k! a' h

1 K+ {6 @$ b/ G6 [" d4 Z注意，每个杀软的对不同的木马的特征码是不一样的
/ H. p( i, P* c7 n) g' l# z4 R, e$ U
我相信 知道定位表面特征码的朋友一看就知道了。。。  呵呵

278835491

为什么不用杀软直接删除呢？一个一个拖不是很费事吗？  
( b9 `! P4 ?7 T3 g# y   本人是免杀菜鸟。。。。
+ |7 o" |, @' z. R" z; d
! F8 o# g0 A" `# ?' p! c$ T, g[ 本帖最后由 278835491 于 2009-3-2 14:09 编辑 ]

柔肠寸断

谢谢咯

闲逛

.m (40). 好像有点懂了。。。

hilarylove

这些很早就懂了。不过真的要操作起来，不会的人可能会走很多弯路。