[原创文章] 定位木马的主动特征码 木马, 特征

1335csy

自己的一些平常用的定位主动防御特征码的方法。。2 u% p6 F  }5 B# F
; c8 o. J8 V1 I  H; h# G( K! Z
现在分享出来。。。0 G  i6 |" b2 }- {" a1 n
5 k) V5 ~( Z  P. T! J* g4 T
工具：myccl.OD
- Y' A" V3 }5 Y, ?
. L/ I$ y8 U( j免杀必备的工具哦 4 @3 \2 n  d/ _) a. [& b( l: @

4 g! I# v/ U  H9 a2 M6 r7 G用myccl分块文件。。。尽量少点   比如  10块
, t  p) a) Z$ N5 U; z5 `$ e
. S6 C  m. y0 L2 j打开文件夹   一个个拖入OD。。。（为什么要拖入OD呢，其实我们吧一个文件拖入OD时，这个文件等于变相的运行了）5 j* i0 i0 b6 H  W
+ b' C" D  z# s& C* @3 ~
好了，这个时候会提示文件无法运行的窗口，
2 P$ K, m' K2 Y! Z6 S5 r6 g" R& @
8 w0 A, e4 E) ]4 j0 m5 C" J我们不管它，直接确定。。
, E! U/ p$ z. m- O, x2 h% h* e
& j4 G$ o( ~1 G* ?7 ?0 c如果一个文件拖入OD 杀软提示了主动防御的提示
& Z% D1 O3 o8 @: _( T1 G% ^) W* I& F( _; S* R% A' X) a4 t7 F3 O$ M
我们记下这个文件，删除它，2 l7 ~" N% c* }5 f
8 Y+ r" @+ @2 P
接着拖入其他文件。。一一确定。。6 y; K; D5 y' J
) s, q1 ^  v+ j! r& O, ]
知道没有提示，我们手动删除掉被提示的文件。。。% o+ c; U8 x: w% S1 e5 Y* O
. c" `0 o3 X2 E0 v; a- E- ^
接着二次处理，再一一拖入OD   再按照上面的方法  一一确定文件
( k( w, p$ Q8 k6 M1 a  k7 a4 B( [, g  v  K
接着二次处理，重复定位   直到文件长度为2的时候2 A! t- D8 \) H7 w: k

9 a9 R3 y2 E9 s2 ?& ?) r* t我们久确定了我们木马的主动防御特征码。
7 d  m0 X& }* r! _( J8 d* B/ A3 o9 \$ q9 C4 J* X
注意，每个杀软的对不同的木马的特征码是不一样的
' p7 K' x! ]' {; m7 y6 S) e0 E
- N9 L1 ?4 h+ w我相信 知道定位表面特征码的朋友一看就知道了。。。  呵呵

278835491

为什么不用杀软直接删除呢？一个一个拖不是很费事吗？  
2 e8 a: g$ [& a2 O3 m   本人是免杀菜鸟。。。。
6 A  f. J$ C! P8 G* }5 p6 \
* v& H/ D' X2 d* o% i* a[ 本帖最后由 278835491 于 2009-3-2 14:09 编辑 ]

柔肠寸断

谢谢咯

闲逛

.m (40). 好像有点懂了。。。

hilarylove

这些很早就懂了。不过真的要操作起来，不会的人可能会走很多弯路。