[原创文章] 定位木马的主动特征码 木马, 特征

1335csy

自己的一些平常用的定位主动防御特征码的方法。。
. J# |6 R/ V6 T: `: u( b  W! N
* I  t5 t8 }+ d1 Y, }现在分享出来。。。7 W' J! b9 |& ~/ y8 X# g
  I6 q; `- N0 D0 _  e' O4 ~6 k/ x
工具：myccl.OD
  G: C; u5 K+ C- u8 B
0 E, p0 E( W% t% X免杀必备的工具哦 & Y8 k1 d( Z6 m

, X% l$ S, Z% f3 |4 I. e7 I; m用myccl分块文件。。。尽量少点   比如  10块
6 ^5 l# U- R7 d5 g7 f( \; v0 I4 q2 d
# [# q5 ]# F6 F: A' @% P0 h& u: t打开文件夹   一个个拖入OD。。。（为什么要拖入OD呢，其实我们吧一个文件拖入OD时，这个文件等于变相的运行了）, Y. N8 P( e( K- F
" j3 X% b8 H0 J& s& [, A
好了，这个时候会提示文件无法运行的窗口，
7 f' s$ u6 u7 u6 o9 B  [4 y" R
' ]7 h$ H9 m* t) x$ J# s我们不管它，直接确定。。
# r' C- a2 u3 Z* l* A' t% r# k9 X5 x/ @% j  d
如果一个文件拖入OD 杀软提示了主动防御的提示" B- L8 w( x4 x: ^

/ ]4 h9 b0 d- @- _; n8 B我们记下这个文件，删除它，
& J0 U# L% J9 @) j( t; D1 U9 t: w( X& k* t" b: q5 n
接着拖入其他文件。。一一确定。。
5 w- J0 U8 H" @" X7 X2 Q: X# Q* Y5 f
) b  c& S' b+ Y知道没有提示，我们手动删除掉被提示的文件。。。
+ U* q6 T/ l% F/ a+ _! k9 D4 s1 e4 W3 m, M
接着二次处理，再一一拖入OD   再按照上面的方法  一一确定文件6 a: V3 J# d# h+ @
4 u- x6 e- _" }6 a- ~
接着二次处理，重复定位   直到文件长度为2的时候& v# N( Y1 X0 s- e' D
' b4 |) P, C( h: \! P; K' `5 U  C
我们久确定了我们木马的主动防御特征码。
$ G& K5 r. |' s. y: @7 D: N& S; u7 e+ F- L' K0 a
注意，每个杀软的对不同的木马的特征码是不一样的
, h/ ^! C0 v2 j5 x" m7 Z+ u4 X; I- N: X7 L/ w" b; Q3 j
我相信 知道定位表面特征码的朋友一看就知道了。。。  呵呵

278835491

为什么不用杀软直接删除呢？一个一个拖不是很费事吗？  
: |& _+ W+ p: _   本人是免杀菜鸟。。。。2 t- @7 t8 \  O. m
- o# @: Q* L5 g
[ 本帖最后由 278835491 于 2009-3-2 14:09 编辑 ]

柔肠寸断

谢谢咯

闲逛

.m (40). 好像有点懂了。。。

hilarylove

这些很早就懂了。不过真的要操作起来，不会的人可能会走很多弯路。