[原创文章] 定位木马的主动特征码 木马, 特征

1335csy

自己的一些平常用的定位主动防御特征码的方法。。) f* U6 V/ v0 h* q0 v9 _; x

* L8 B- i! K5 i现在分享出来。。。& H: }& ]8 v7 o; [7 s

1 [# L# Q7 Q, s' H工具：myccl.OD% q2 P& D4 L8 m  Y4 Z4 |) g9 u

9 ]" P+ _' M' ?0 |% w) e免杀必备的工具哦
7 s9 ~) b9 Z: H. i  r$ f* ^# B
, ?8 }$ _# W3 g8 g; @& r用myccl分块文件。。。尽量少点   比如  10块
( B9 O2 \* h6 g% O. s. A  ~$ ^! c" K7 z+ U7 \8 ?. B
打开文件夹   一个个拖入OD。。。（为什么要拖入OD呢，其实我们吧一个文件拖入OD时，这个文件等于变相的运行了）; A& \4 a% M1 h% P) W
0 n  ~) p5 z' e8 x2 ~
好了，这个时候会提示文件无法运行的窗口，0 N! @9 Y* `  G) S/ K+ j

0 j) J" J- ~8 q* I$ E我们不管它，直接确定。。  B- b9 K5 X% L& ~! ~  O" B, y

% }( q' i" U7 C5 b! M( f. W如果一个文件拖入OD 杀软提示了主动防御的提示
3 k( H- z/ J& A% ]3 k! b6 D9 u' ?, l- d- a3 d9 i) G* e, I
我们记下这个文件，删除它，
3 }" m: h. f- h, I! |5 _' E
" C" n) I: Z6 U0 s/ }接着拖入其他文件。。一一确定。。) X2 n- f: X- M* D, j( \+ ]( N
# f5 |2 g7 C: E
知道没有提示，我们手动删除掉被提示的文件。。。' h3 n# }7 X6 Q2 C& d

3 d9 K8 P% Y  e) h5 F. B- g0 N接着二次处理，再一一拖入OD   再按照上面的方法  一一确定文件
6 L0 n1 T9 p* t: ^. J* M1 P9 R* M  m' \
接着二次处理，重复定位   直到文件长度为2的时候
4 k* C+ D# b" h3 q: p( j. I& }
( t! i+ a* Z1 ^  v: B我们久确定了我们木马的主动防御特征码。! t  V% v/ |4 h- w8 W! @- r1 E

1 F6 ?9 K. [# B4 ?- T6 i注意，每个杀软的对不同的木马的特征码是不一样的3 k+ ]# }0 b3 T$ b* o, _. R' g

( a# M) w0 s& d9 L我相信 知道定位表面特征码的朋友一看就知道了。。。  呵呵

278835491

为什么不用杀软直接删除呢？一个一个拖不是很费事吗？  
0 H' s, X' Q. c# W9 E  o: T3 S1 G   本人是免杀菜鸟。。。。
% G, T  Z$ H$ `, i
* Q3 T8 ]) h/ Q5 k3 p5 X' p[ 本帖最后由 278835491 于 2009-3-2 14:09 编辑 ]

柔肠寸断

谢谢咯

闲逛

.m (40). 好像有点懂了。。。

hilarylove

这些很早就懂了。不过真的要操作起来，不会的人可能会走很多弯路。