关于红伞的特征码

显示全部楼层 · 发表于 2008-4-5 16:16:03

按照你这个说法，谁都可以免杀，不过这就是废话

显示全部楼层 · 发表于 2008-4-5 16:17:40

原帖由 llxm920 于 2008-4-5 13:08 发表
我附件里的第一个没做改动，直接定位得到6处特征码，
000A7452_00000002
000A70B9_00000002
000A758F_00000002
000A1572_00000003
000B50E9_00000003
000B9242_00000003
红伞的特征码都算多了。改起来只是输入 ...

请问
你一般用什么方法跳转还是填0

显示全部楼层 · 发表于 2008-4-5 16:18:09

原帖由 mofunzone 于 2008-4-5 16:16 发表
按照你这个说法，谁都可以免杀，不过这就是废话

这只是对于靠特征码有很大的作用启发 gen还要废点神但也不至于过红伞就非常难
至于行为分析嘛

[ 本帖最后由 woai_jolin 于 2008-4-5 16:21 编辑 ]

显示全部楼层 · 发表于 2008-4-5 16:34:07

输入表的用跳转`其他的直接00填充还有大小写替换

显示全部楼层 · 发表于 2008-4-5 16:35:43

估计用反向定位,
把00填充改成90

卡巴斯基启发式很怪
尾部数据倒数第4个字节存在数据就显示有病毒
好像只要在尾部添加几个字节让倒数第4字节无数据就过卡巴启发式扫描

显示全部楼层 · 发表于 2008-4-5 16:47:29

原帖由 derekyao 于 2008-4-5 16:35 发表
估计用反向定位,
把00填充改成90

卡巴斯基启发式很怪
尾部数据倒数第4个字节存在数据就显示有病毒
好像只要在尾部添加几个字节让倒数第4字节无数据就过卡巴启发式扫描

反向定位对nod的免杀启发很有用
对卡巴的启发还没有试过
反正过卡巴最好的方法就是加花

[ 本帖最后由 woai_jolin 于 2008-4-5 16:53 编辑 ]

显示全部楼层 · 发表于 2008-4-5 16:48:28

原帖由 llxm920 于 2008-4-5 16:34 发表
输入表的用跳转`其他的直接00填充还有大小写替换

怎样来保证不免死
因为我原来弄几乎都改死了

显示全部楼层 · 发表于 2008-4-5 16:53:40

改一处就运行看看`死了再改`一般来说跳转的话没那么容易死的`

显示全部楼层 · 发表于 2008-4-5 16:56:55

有些BT壳- -带壳来跳转反而方便
（至于花么- -一看就知道了）

显示全部楼层 · 发表于 2008-4-5 16:58:22

卡巴资源查杀也很怪- -
两个资源只要一个是加密的。。。
就报- -原因不清楚

[技术原创] 关于红伞的特征码

回复 20楼 woai_jolin 的帖子

回复 22楼 woai_jolin 的帖子

回复 22楼 woai_jolin 的帖子