[原创文章] 定位木马的主动特征码 木马, 特征

1335csy

自己的一些平常用的定位主动防御特征码的方法。。4 Y$ s5 w# y$ M0 e+ a

6 z* w6 c! d+ ]现在分享出来。。。
2 l' C) w8 v* V; Q/ Q; u$ x- v# p: U4 Y' u8 ~# K1 y0 X2 z
工具：myccl.OD; @( F  v3 h( d" i5 c) R: I
! K( o$ j; k( O* `/ `
免杀必备的工具哦 0 e; k: N8 {. x# P2 T: c- o
' S0 q$ J8 R( x
用myccl分块文件。。。尽量少点   比如  10块5 ~0 v+ H6 l5 B" T# r" e2 ~2 B  `
8 p* Y7 ^8 m. e+ n; F8 t( x5 s$ ?/ ?/ G
打开文件夹   一个个拖入OD。。。（为什么要拖入OD呢，其实我们吧一个文件拖入OD时，这个文件等于变相的运行了）; r' _" K; I, M9 F

0 v. H% l* V+ t' r好了，这个时候会提示文件无法运行的窗口，
6 j# O4 }/ s1 P+ G) C$ G# _1 F5 {8 E  @  n: s% `
我们不管它，直接确定。。1 ~6 X; z6 |( G$ E5 f, q

. M$ X1 s& v/ S, W如果一个文件拖入OD 杀软提示了主动防御的提示
0 [0 ?% q7 X( p7 s) o' R6 S
* @: W# Y! R9 |% o" b) H我们记下这个文件，删除它，: a1 o& w* ?6 Z/ A
3 a3 j& i" E" ~$ n; o+ @0 H; n; y% X
接着拖入其他文件。。一一确定。。3 `3 Y! P1 a: n3 n# K/ X! n( {
9 s8 j7 f' |0 b, r' M
知道没有提示，我们手动删除掉被提示的文件。。。; m7 ?1 Z4 O. I" Y. Z' r/ k3 @

% V& P+ E% r, E* |0 u接着二次处理，再一一拖入OD   再按照上面的方法  一一确定文件2 o2 U4 z9 P3 f- E* B6 Y5 r

) C9 s! @; ^& J- G  Z2 Q& g2 v接着二次处理，重复定位   直到文件长度为2的时候
7 H9 ]0 S1 Y4 h6 s1 H7 _5 v3 `: s& ^# F* r$ ^( u, A7 J" j: `8 C
我们久确定了我们木马的主动防御特征码。; k+ U9 c, h$ X% x

/ u: D- A& |9 k: c: j注意，每个杀软的对不同的木马的特征码是不一样的5 ]4 c# C: _+ H9 ?
; V- {/ ]$ I% {, c  P' C
我相信 知道定位表面特征码的朋友一看就知道了。。。  呵呵

278835491

为什么不用杀软直接删除呢？一个一个拖不是很费事吗？  
) H8 v6 F9 C* ^6 `   本人是免杀菜鸟。。。。, z& ^' Y" `; ]* d, b1 m

3 k  j/ [9 y8 V& M5 ?/ A' x% `8 o5 ^* @[ 本帖最后由 278835491 于 2009-3-2 14:09 编辑 ]

柔肠寸断

谢谢咯

闲逛

.m (40). 好像有点懂了。。。

hilarylove

这些很早就懂了。不过真的要操作起来，不会的人可能会走很多弯路。