小红伞查杀的原理

KK院长

小红伞查杀的原理：
小红伞的高启查杀步骤：
步骤1。判断文件类型（可以使用LordPE来查看）；
步骤2。分两种方法：
1.   分析文件PE头，查看是否有特征PE头(针对DLL)；
2.   分析文件区段，先找到输入表所在区段，并判断该区段内是否加载了含有特定的输入表函数。（针对EXE或是SYS）


本文来自：http://www.darkst.com/bbs/thread-15874-1-9.html   特修正

[ 本帖最后由 KK院长 于 2009-2-24 17:07 编辑 ]

dd2006

红伞也能拖壳，只是支持的种类很少而已。
是拖壳还是报壳是策略问题，没有好坏之分

淡青呀有

引用几句话:
脱壳不能解决全部的问题。请记住你可以轻松的进行多层的加壳这样不管nod32，kav，bd，dr.web或其他的软件甚至是有仿真器功能的软件都不可以对他们进行脱壳。（themida就是其中之一）
如果仿真器用了超过60秒钟的时间来进行脱壳，有什么好处吗？（nod32永远的痛）nod32在开启高启发之后在进行大量病毒扫描的时候速度十分的糟糕，甚至于100倍慢于antivir。你真的认为值得支付这样的代价来取得更“好”或者准确的侦测吗？
顺便说一句，kav，nod32，bs和dr.web都开始在基础侦测中加入报壳，或者已经使用了很久了。 peed.gen（bitdefender的），packer.morphine（antivir 的），packer.win32.cryptexe（kav的），win32.pacex.gen（nod32的）和其他很多很多。这样吧，请告诉我哪个杀毒软件现在“没有”这样做！
所以再次的，拥有大量的脱壳和好的仿真器是很好的，但是并不能解决侦测问题。病毒制造者一样可以免杀，如果他们放入足够的精力来做的话

stonejr

转贴请注明.
http://www.darkst.com/bbs/thread-15874-1-9.html

heroboy0923

看了一下原帖，下面回复的都说小红伞不好过呢
哈哈

hnkaspersky

好，学习了

minvay

学习了，但还是不懂

speed717

报壳就是卑劣，杀了你的马岂不是十恶不赦…

金色飞龙

学习了

左手

观望一下，真的假的？