|
 
- 帖子
- 143
- 积分
- 419
- 威望
- 415
- 金钱
- 446
- 在线时间
- 65 小时
     
|
当今的主流杀软都是采用特征码来查杀木马和病毒的，
, _7 I1 S* C' m/ d: n7 z! Z
% k/ V) Y @, u' a作为定位特征码的利器--myccl，自然被各大杀软研究的彻彻底底了。
* t1 D2 L4 l: C0 k4 F( d8 K% F: k" g7 |4 {* g
于是，杀软的各种干扰措施出来了。. z! W0 _0 |& p- U% x% G
9 p/ }: v8 V1 g/ ^2 P P0 x
以下，我就来分析下常见的使用myccl的一些问题. `7 B* _$ \8 E
8 w9 H7 D& A( u# l1 q1.为什么我的myccl总是卡在一个特征码，不能继续定位了.
; S/ x- |6 X" Y/ [* F$ G4 f' h4 k
这个就是传说中的死循环了，杀软的一个常见干扰措施，1 N; F# I- p# C+ Z3 `' J) h$ y8 D
$ R6 X" U% f! P4 p( ^- r: R
在早期，对付这样的情况我们可以尝试入口点+1法，现在的效果不大了，但是不妨一试。/ u1 ?( x/ ~* d7 ]/ M( D6 n
& y, o& d( ^/ C现在对付这样的情况可以这样，加个花指令再定位，或者定位这个已经知道的特征码，% J' Y* z0 ]3 \' Q- Y& R( w
! l1 S9 y( s. A# b
不要一直卡在这里，直接定位这死循环特征码到长度为2为止，改完后继续定位。
+ e, _7 W8 p: n: {0 k" }2 N) D
2 ~, a+ A* O, }6 z$ t% S2.为什么我把所有的特征码改完后，杀软还是报毒？
9 b6 x/ A7 P& K7 @4 p$ w" r8 w7 U" t& k3 P
这样的情况多见于国外杀软，外国杀软侧重于功能性，
; R! E7 Y+ Z# \' s
% V1 _# R( J" R6 @2 X1 D% I% O3 l特征码经常是不可能一次就定位出来，需要多次的定位，
' w$ _2 p0 `# ]5 g7 x$ D: \
# N5 n( E4 R$ k0 ?) ^3 X% x! r当我们修改完以后，仍然需要定位未定位出来的的特征码。1 Q! m6 [3 W3 _: n7 x2 Q
5 d$ x& E: s% d; s% A9 K4 ?
3.为什么我分了100块文件，杀软全部杀了？
% Y {9 P! E# G, a$ s e( _; p; h# |; N6 o$ m2 F
不知道大家见过这样的事没有，我们只分了50块，但是杀软却杀了150块。 -_-$ H3 l8 ^4 i4 A
F( [: [0 u( P z这样也是常见的杀软干扰方式，" W* Q( X' B1 |+ k$ N$ X4 i
( d3 r/ g9 [4 A) S# m% H5 x- G
我们可以这样，在填充字符那里，选择90，不要默认的00，人人都用00填充，当杀软是白痴？
0 ]; c) O* O8 S `. m* L! { r; v8 A# d; J4 X3 @
或者反向定位，这样的效果比正向定位要好，6 i. ]! P/ _, Q+ c) l
( x( v" @2 ^9 x! A! r$ W( l
还有就是杀软的设置了，这样的情况建议先把杀软的高启发扫描先关了，过了再开启高启发。
/ A( U) n5 E1 M0 ?
! N8 h* r' j* I \" F( [: c4 m最后，分块数量这里，不要太多，40~~~50就差不多了，我一般是这样定位的。3 U+ W/ {* }# ~& \6 D
2 j+ S7 Q1 S+ C8 E, c4.一个特征码，我已经改完了，为什么还会被杀软定位出来？
. E& j+ S" p; z6 X7 B* u$ X" ]
' X8 W0 F! v( I1 h7 @这样的情况见于卡巴，我做暗组的时候遇见过，记忆犹新，
# Y) f6 Q0 K- g3 O w$ \9 `% v3 S) [& S( w3 z
一个特征码，已经被我修改了，继续定位仍然是这个特征码。-_-!6 T8 A& O" z% Z/ I0 P
% m4 M, E4 |1 t& _
这样的情况，我们一般是反向定位，定位出结果和正向结果是不一样的，但是一样可以达到免杀的效果。
5 h* x! B- A+ q2 r8 C/ Z$ [4 M7 k" x# \$ b0 ]4 S# f
总结至此吧，myccl是一款非常优秀的定位工具，大家好好利用，在现在的主流杀软世界里，是可以定位出绝大部分木马特征码的。5 w% P+ E, M. h3 x
- T# F) j) q" ^: n1 p如果大家对于myccl有些不懂的地方，跟帖子留言 |
|
发表于 2009-5-12 18:58
| 
发表于 2009-5-12 20:56
| 