[原创文章] 定位木马的主动特征码 木马, 特征

1335csy

自己的一些平常用的定位主动防御特征码的方法。。9 a4 M$ I) I' k2 K* ?; q# m

2 ]# F3 z  L) t$ F" n现在分享出来。。。; C. t# ?9 n+ F- }5 Q  t9 @+ X* p: J
; b+ N! k; K0 \( g
工具：myccl.OD3 i& D. j+ S+ \0 I% z8 `

% N1 J" k3 w* ?9 h2 C# m2 d免杀必备的工具哦 4 d0 X1 ~8 y" F; Y; R* o# ~

$ R+ T% \2 s! [* n0 R  y" l用myccl分块文件。。。尽量少点   比如  10块; I" {& K- N: `4 @' P
) r: V) I* U& S4 z* Q0 \. D: Z
打开文件夹   一个个拖入OD。。。（为什么要拖入OD呢，其实我们吧一个文件拖入OD时，这个文件等于变相的运行了）% |1 ?$ c9 ^9 t
$ W9 t, X% {  S2 s+ E. U7 o
好了，这个时候会提示文件无法运行的窗口，) _5 L/ {9 @$ Q8 M7 z0 U

7 S. W' \" K" F我们不管它，直接确定。。
$ k( P" T0 u/ T& r1 G) a! V: a; x0 A! S5 q' Q8 S
如果一个文件拖入OD 杀软提示了主动防御的提示
& M. Q0 }" T( _2 y. e
. I7 _, f5 B$ X* V6 F% h我们记下这个文件，删除它，' P) p  b9 _6 L  ^2 Z
9 p. p5 V% v  {( t! T
接着拖入其他文件。。一一确定。。
# f5 h; V" S7 z4 U( W
/ W) |3 L. K$ j( t7 d知道没有提示，我们手动删除掉被提示的文件。。。5 K1 k0 g$ u+ P0 W/ G

: ^$ u0 q3 y5 J6 E6 `1 M6 W7 J接着二次处理，再一一拖入OD   再按照上面的方法  一一确定文件
1 V9 d; O- a6 O! V, [' \* q# A* s6 g: c# ^  S. C) t& Y
接着二次处理，重复定位   直到文件长度为2的时候
; k( f* R' c2 q" @: ~) J2 `
6 J- B9 T5 M% [8 }7 X1 q; F" H$ D+ Q( }我们久确定了我们木马的主动防御特征码。+ v- Y1 P9 S6 O5 ~9 U" P
  h* Z* m' X2 r: Q
注意，每个杀软的对不同的木马的特征码是不一样的
2 O' X: E6 @9 H1 @% w6 t  T& I; O1 u$ P! k0 r# T
我相信 知道定位表面特征码的朋友一看就知道了。。。  呵呵

278835491

为什么不用杀软直接删除呢？一个一个拖不是很费事吗？  
5 ^* s0 `# Z8 L- [6 D  H% H   本人是免杀菜鸟。。。。  h1 {6 g: Z' D* C1 P
3 _. r# E+ s1 d: m7 t6 n& A
[ 本帖最后由 278835491 于 2009-3-2 14:09 编辑 ]

柔肠寸断

谢谢咯

闲逛

.m (40). 好像有点懂了。。。

hilarylove

这些很早就懂了。不过真的要操作起来，不会的人可能会走很多弯路。