[原创文章] myccl使用技巧及其注意事项

myccl, 事项, 技巧

当今的主流杀软都是采用特征码来查杀木马和病毒的，
0 ^$ j4 ^9 U3 [1 X
作为定位特征码的利器--myccl，自然被各大杀软研究的彻彻底底了。
: D% h1 U' m, T  l# R
于是，杀软的各种干扰措施出来了。3 `! h2 G- h4 W$ Y$ b

以下，我就来分析下常见的使用myccl的一些问题

1.为什么我的myccl总是卡在一个特征码，不能继续定位了.  m1 i8 H7 X  I* Q0 @. S! f
5 v' s& @' d  V2 S% J0 M
这个就是传说中的死循环了，杀软的一个常见干扰措施，

在早期，对付这样的情况我们可以尝试入口点+1法，现在的效果不大了，但是不妨一试。
8 H6 r. w1 t* C2 G( U5 w4 K9 e
现在对付这样的情况可以这样，加个花指令再定位，或者定位这个已经知道的特征码，
8 a- f. U) y* a) Y9 Y! \
不要一直卡在这里，直接定位这死循环特征码到长度为2为止，改完后继续定位。
- @: i4 @& ?$ Q  l% J6 H7 d, z
2.为什么我把所有的特征码改完后，杀软还是报毒？5 n3 F1 i- `. q9 \
7 B9 k! A5 L; K3 {. ?3 O% f$ e
这样的情况多见于国外杀软，外国杀软侧重于功能性，

特征码经常是不可能一次就定位出来，需要多次的定位，( [9 v: D. e+ g% `5 H( j
1 j* K) d' b0 @
当我们修改完以后，仍然需要定位未定位出来的的特征码。0 ], N" T" n& S, B: i
' a: r! g% m2 d: O
3.为什么我分了100块文件，杀软全部杀了？
0 M  r3 ^6 {- l( k
不知道大家见过这样的事没有，我们只分了50块，但是杀软却杀了150块。 -_-

这样也是常见的杀软干扰方式，

我们可以这样，在填充字符那里，选择90，不要默认的00，人人都用00填充，当杀软是白痴？$ c* H+ ]: h) E$ j5 R6 v

或者反向定位，这样的效果比正向定位要好，
/ Q! W2 J8 J8 \# Q# }
还有就是杀软的设置了，这样的情况建议先把杀软的高启发扫描先关了，过了再开启高启发。; f0 n1 X4 y+ t% z# {
; ?! Y; C) r7 w! W( F3 ]* r1 b
最后，分块数量这里，不要太多，40~~~50就差不多了，我一般是这样定位的。
- K. Q. ]1 [9 J% L
4.一个特征码，我已经改完了，为什么还会被杀软定位出来？
% N2 o8 j, I2 g* z( @6 T0 B; e4 g
这样的情况见于卡巴，我做暗组的时候遇见过，记忆犹新，

一个特征码，已经被我修改了，继续定位仍然是这个特征码。-_-!
) f  V! s. r. o1 C/ M
这样的情况，我们一般是反向定位，定位出结果和正向结果是不一样的，但是一样可以达到免杀的效果。$ W* Z9 L) p1 A' i1 I2 K

总结至此吧，myccl是一款非常优秀的定位工具，大家好好利用，在现在的主流杀软世界里，是可以定位出绝大部分木马特征码的。

如果大家对于myccl有些不懂的地方，跟帖子留言