[原创文章] 定位木马的主动特征码 木马, 特征

1335csy

自己的一些平常用的定位主动防御特征码的方法。。# _% V5 k9 z" Y5 n+ C
. f7 U9 N  U1 J
现在分享出来。。。( r% h; ?3 r  X, L4 v9 A+ {- q

# r. s: w+ q; G; V工具：myccl.OD
7 d4 S" m9 O/ G) n# g: i8 n. [' ?& S6 z% g+ c' f! |* s
免杀必备的工具哦 , i( B" f/ @2 {* v( f0 }* [
$ j0 S8 S' z& a8 W6 c$ b$ p3 V- L
用myccl分块文件。。。尽量少点   比如  10块
: {( m% k6 k& q! ]
, f1 |, x- O$ y* {! k打开文件夹   一个个拖入OD。。。（为什么要拖入OD呢，其实我们吧一个文件拖入OD时，这个文件等于变相的运行了）
. Z. f/ z, d$ g3 d$ I$ j/ e
7 G( }2 u: l! S( j4 T  ?6 ^好了，这个时候会提示文件无法运行的窗口，
3 O7 v9 ?' D8 l! @. ]' f" ^0 f: l- ^- g! t( U: L* m: W7 d+ l
我们不管它，直接确定。。8 u3 I# W, X9 ]9 I0 C! Q, x# i
+ [4 Z1 z9 H9 h0 v8 ~
如果一个文件拖入OD 杀软提示了主动防御的提示
% F7 M1 Z# P, x/ t" X& M
' W) `# ^: X( j+ L9 W( c! ^7 P我们记下这个文件，删除它，
) A+ k$ C1 h8 I" j4 m' F+ X0 q8 ~8 y. C
接着拖入其他文件。。一一确定。。- i) ?6 G4 e; R3 p5 B6 m
$ i8 X, P3 N+ J( G- u+ q5 q' @
知道没有提示，我们手动删除掉被提示的文件。。。
7 N% a5 W' c' J  {3 G
3 j' \# z9 r# }1 l! W8 s1 _2 F接着二次处理，再一一拖入OD   再按照上面的方法  一一确定文件5 ?1 u2 T+ A: S2 P5 ]9 W

: f; w7 b$ }9 r* F2 z2 w接着二次处理，重复定位   直到文件长度为2的时候
( |9 f7 R9 J5 [# B: ~4 R# T9 ^# w8 _7 \6 `6 r
我们久确定了我们木马的主动防御特征码。
' C& G+ M6 K  r- M( v2 H6 K7 b' \" X. `$ s+ ]: N. U# k5 b
注意，每个杀软的对不同的木马的特征码是不一样的
4 Z8 C( B) F9 t1 Z' r
$ C6 n/ p! z0 u1 Z1 V0 i. k我相信 知道定位表面特征码的朋友一看就知道了。。。  呵呵

278835491

为什么不用杀软直接删除呢？一个一个拖不是很费事吗？  " L/ }4 Z! `% z# F& p% G4 p
   本人是免杀菜鸟。。。。4 a- X8 j% q2 t: b, e

& P+ T' {7 C0 m! k7 @( e( y[ 本帖最后由 278835491 于 2009-3-2 14:09 编辑 ]

柔肠寸断

谢谢咯

闲逛

.m (40). 好像有点懂了。。。

hilarylove

这些很早就懂了。不过真的要操作起来，不会的人可能会走很多弯路。