[原创文章] 定位木马的主动特征码 木马, 特征

1335csy

自己的一些平常用的定位主动防御特征码的方法。。
$ E. U! }; c5 ^- g
" O( M+ C7 O( ?' Z: Q, M/ e现在分享出来。。。. w. _* V+ D8 _% e, g5 p  W% D
" }0 G  e- w; P* h8 D
工具：myccl.OD; P2 i2 {/ f2 _: I

5 d: r0 J/ O! Y* h3 |6 Q免杀必备的工具哦 6 r  [5 @! `2 v

* E* W( i: j. B: e) |; J+ [用myccl分块文件。。。尽量少点   比如  10块
( s3 J: E6 d- e0 ?' H; m# o- N* W  ^& K- N5 T
打开文件夹   一个个拖入OD。。。（为什么要拖入OD呢，其实我们吧一个文件拖入OD时，这个文件等于变相的运行了）
& L" ]8 R0 s; M. G5 f2 M6 ?
; G8 J) f9 w% x* n好了，这个时候会提示文件无法运行的窗口，, }4 k/ I* c+ |# F# b9 t0 L  {( ?( l
# R. m% C- w' n7 D- z" [4 j
我们不管它，直接确定。。0 l3 q- ^. S1 D6 X) F
: ]$ ^& X% |- n. Y- a# R: ~  O
如果一个文件拖入OD 杀软提示了主动防御的提示
+ B7 X/ G9 ]! T" q; i( c0 t* {, y$ |) E' Y
我们记下这个文件，删除它，+ g5 ^$ j( t1 ^. ^( u% b
$ \7 S9 N3 Q1 Z# B, E7 ]
接着拖入其他文件。。一一确定。。
. O# q/ X- _% p: j: `
. }- ]: i; c5 G3 s! [/ a$ S知道没有提示，我们手动删除掉被提示的文件。。。
! t9 K6 @7 l5 n0 b4 P4 k0 ~8 ^- g7 r4 d0 V5 |
接着二次处理，再一一拖入OD   再按照上面的方法  一一确定文件' W6 K6 g) i' c4 |6 B& G7 S3 [
- ~! ~9 s4 o1 }+ {  C' @
接着二次处理，重复定位   直到文件长度为2的时候" m; v, a9 \2 [- P3 P, l- B3 t

/ T# w8 ~% V; _- X7 @2 s我们久确定了我们木马的主动防御特征码。
8 Y5 H+ D; Q/ U
; q, a0 ]6 I1 ^5 z# L注意，每个杀软的对不同的木马的特征码是不一样的
8 z$ y& n/ u/ f3 v* w# M, C& k
$ J0 o) J! l, i6 y( A4 J; [我相信 知道定位表面特征码的朋友一看就知道了。。。  呵呵

278835491

为什么不用杀软直接删除呢？一个一个拖不是很费事吗？  : l% }; r% \1 a
   本人是免杀菜鸟。。。。  B8 c1 _( [& L6 J" t- n

1 j8 B! U4 m$ [' a$ J$ D$ W9 G& g[ 本帖最后由 278835491 于 2009-3-2 14:09 编辑 ]

柔肠寸断

谢谢咯

闲逛

.m (40). 好像有点懂了。。。

hilarylove

这些很早就懂了。不过真的要操作起来，不会的人可能会走很多弯路。