315技术社区 » 木马免杀 » 内存特征代码的定位

amtf 发表于 2008-5-10 22:08

内存特征代码的定位

内存的特征代码主要是在：代码段区段（所谓代码段区段，段名一般为.CODE或.text）

内存查杀主要是定位的瑞星杀毒软件的内存特征代码

修改要点：由于技术原因，瑞星内存特征代码大部分都是字符，我们只要修改大小写就行了！呵呵`

工具：ccl ，winhex

所以为了更快的定位，我们一般也是采用2次定位法定位内存（假如直接准确定位32 16 字节的话，速度会很慢的）
具体是这样的：第一次定位出一个大的范围，第2次有2种方法：1.ccl进行详细的定位 2.winhex打开特征代码的段，改几个大小写看看，免杀而且正常运行上线就ok了！

ccl:工具//仓数//内存特征代码自动定位，目录//自动仓数 间隔5 大小 （自己选`一般为32  16 2次）

1000字节替换

        -------------定位结果------------
      序号    起始偏移     大小     结束偏移
    0001    00057E80    00000A50    000588D0   

50字节

        -------------定位结果------------
      序号    起始偏移     大小     结束偏移
    0001    0005806F    000000A4    00058113  
    0002    00058114    000000A4    000581B8

52059727 发表于 2008-6-3 14:35

；) ；) 还是么看懂

ownrst 发表于 2008-6-12 17:57

很实用
谢谢了

情深梦远 发表于 2008-6-15 13:52

好像不是一般人看的,晕..........

xxc 发表于 2008-6-16 01:53

是啊 这个软件没有用过 看不懂！以前一直用MYCCL  好象不能用了！

trnepwq5221 发表于 2008-6-16 11:00

我是一般人,所以看不懂了!最后得了结论一般人看不懂!

查看完整版本: 内存特征代码的定位