[原创文章] 定位木马的主动特征码 木马, 特征

1335csy

自己的一些平常用的定位主动防御特征码的方法。。
- Q5 c/ P$ {3 q& Q+ H( g
: a3 H! y4 _. c  t0 ~8 V现在分享出来。。。
5 V  m1 X( f3 m; ^% n* e3 l+ L3 k$ J, ^) W  m2 \4 _
工具：myccl.OD. M, ?6 r% I% ~6 X) c& L- V

+ T9 t/ O& R$ C' p3 V- T5 }6 D/ L# K免杀必备的工具哦
4 B) K$ u6 S$ K6 c# S. P; Q% @5 I+ C4 t/ @
' e2 H. I. a+ k4 E用myccl分块文件。。。尽量少点   比如  10块
- n2 w3 h8 m8 g/ |; _( t" q, F! N& S/ Y: Y$ |/ ~; @
打开文件夹   一个个拖入OD。。。（为什么要拖入OD呢，其实我们吧一个文件拖入OD时，这个文件等于变相的运行了）
9 g  ]# C! D4 u* F4 U
+ v2 D7 ?7 h! ~$ ?好了，这个时候会提示文件无法运行的窗口，
# q' Y" r1 u) e8 V: {$ x9 V( l+ i. i9 A7 M" c3 W) ?
我们不管它，直接确定。。. @' ^' b" C+ f* {
3 [8 }! Z2 P, J# w$ y. w7 Y
如果一个文件拖入OD 杀软提示了主动防御的提示
1 s0 ~3 S; v' W" i7 G- g+ h" K2 B3 R5 E( i+ y* M+ T
我们记下这个文件，删除它，: c, V- Y5 e$ t1 j! N
0 a& Z9 K& ^" a* `( g' {
接着拖入其他文件。。一一确定。。
% _. L- ?- [/ P' w
1 t4 h) M( a  ^4 r: V知道没有提示，我们手动删除掉被提示的文件。。。- v1 ~# L* f3 R0 j: _: U/ N5 P6 P

1 f# G- a% n( L* i% x7 J接着二次处理，再一一拖入OD   再按照上面的方法  一一确定文件- J4 x# B5 w" i. C3 E( s8 C
, u4 s! l. r4 n* w! ]" E
接着二次处理，重复定位   直到文件长度为2的时候' R0 L" ?. ~; _7 P  k# k$ e( X
- _( t- V; l3 x! X' ]; N, j. ~$ l
我们久确定了我们木马的主动防御特征码。0 q. G+ Y4 f! L' g* e

9 P# G- o! K% K- m, [# C注意，每个杀软的对不同的木马的特征码是不一样的
" C, h+ E0 [6 U% [" F8 [4 Y8 D7 O& P+ \% {5 W
我相信 知道定位表面特征码的朋友一看就知道了。。。  呵呵

278835491

为什么不用杀软直接删除呢？一个一个拖不是很费事吗？  , f  u6 R" l7 r
   本人是免杀菜鸟。。。。3 I; I* w: X  i2 b% S% p

3 v& F1 C+ y1 L/ l8 G! u! ^3 s[ 本帖最后由 278835491 于 2009-3-2 14:09 编辑 ]

柔肠寸断

谢谢咯

闲逛

.m (40). 好像有点懂了。。。

hilarylove

这些很早就懂了。不过真的要操作起来，不会的人可能会走很多弯路。