[原创文章] 定位木马的主动特征码 木马, 特征

1335csy

自己的一些平常用的定位主动防御特征码的方法。。
. T: H6 O' b/ }
8 g7 p  Q8 l3 \& \! r7 w2 J1 y+ j7 L现在分享出来。。。
4 T+ I7 x# b- x0 b
! _7 _% |2 R' B* q  s工具：myccl.OD* x9 c+ ?. s7 P1 O/ Z6 S( P

/ b1 m0 h- ?- v9 W/ N, r- ]免杀必备的工具哦
+ e& }, S, }: B  C, G+ V2 q7 ~7 y7 C, j4 h5 G3 P: J& T& {% W
用myccl分块文件。。。尽量少点   比如  10块" u% @( w! o- d. @

6 u) p6 n1 }1 m打开文件夹   一个个拖入OD。。。（为什么要拖入OD呢，其实我们吧一个文件拖入OD时，这个文件等于变相的运行了）( i! }& Y# v9 f2 x( L: {

* _1 A; X5 b! {/ r' y好了，这个时候会提示文件无法运行的窗口，
* Q1 X) G, r8 U! F* M+ f0 o6 n
7 ~+ g0 h% A' d& t- G4 s. e0 h我们不管它，直接确定。。
) Y9 s, ^1 k9 g( m# ?9 X" u3 d. T) }4 o! R- g* i, a3 ]) N* @
如果一个文件拖入OD 杀软提示了主动防御的提示
) u* |# V. o& W2 x5 q) i1 X  U8 y& [; o# [# |
我们记下这个文件，删除它，
3 c7 I5 x% L6 U- X1 V0 B$ m5 H
3 d* z+ A5 j8 ]0 D4 ~# a, G7 A接着拖入其他文件。。一一确定。。
8 i; n' O0 I& l; b3 t3 @
% @( t9 [! I1 P' _9 z知道没有提示，我们手动删除掉被提示的文件。。。, \* I* u7 c+ g

" c% e- W0 n7 w" ^' z! U接着二次处理，再一一拖入OD   再按照上面的方法  一一确定文件1 d# q% q' w- H+ C7 a
4 |5 u. n0 |' r* `/ }) ^3 C) `
接着二次处理，重复定位   直到文件长度为2的时候
- i3 s& n; \* V' g) e$ A- V* X
+ L" E6 w- X2 [. W% J7 \/ G我们久确定了我们木马的主动防御特征码。1 B5 A  M9 [. }% v5 s+ D) N
) m. @  `! R& l; V& g
注意，每个杀软的对不同的木马的特征码是不一样的
/ q! B+ N! i  O' S9 f
7 I4 y2 b# g% k. Y  O* L我相信 知道定位表面特征码的朋友一看就知道了。。。  呵呵

278835491

为什么不用杀软直接删除呢？一个一个拖不是很费事吗？  * L, c% l5 {! L" m
   本人是免杀菜鸟。。。。, |+ R9 {# N) }+ N& ]8 y& n

7 j6 t  @7 ~  o) S; _4 V[ 本帖最后由 278835491 于 2009-3-2 14:09 编辑 ]

柔肠寸断

谢谢咯

闲逛

.m (40). 好像有点懂了。。。

hilarylove

这些很早就懂了。不过真的要操作起来，不会的人可能会走很多弯路。