查看: 13402|回复: 1

杀毒软件的查杀模式和综合木马免杀方案

[复制链接]

斷々弦

电梯直达

1^#

发表于 2009-11-23 01:00:21 | 只看该作者回帖奖励

|倒序浏览 |阅读模式

毒软件的查杀模式
这三种是目前杀毒软件常用的杀毒模式。
1.文件查杀
杀毒软件对磁盘中的文件进行静态扫描，一旦发现文件带有病毒库中的病毒特征代码就给予查杀。
（黑洞2005 服务端VS 卡巴做演示）

2.内存查杀
杀毒软件把病毒特征代码释放到内存中，然后与内存中的文件进行比对，发现有文件中带有病毒特征代码就给予查杀。
（灰鸽子2005服务端 VS 瑞星做演示）灰鸽子2.02 特征码为：0049AEC8

3.行为杀毒
杀毒软件用[url=http://www.7747.net]木马运行后的一些特定的行为作为判断是否为木马的依据。比如：啊拉QQ大盗在运行后会增加一个名为NTdhcp.exe的进程，还有彩虹桥的服务端在运行后会在注册表添加名为HKLM\SOFTWARE\Microsoft\Active Setup\Installed Components\{9B71D88C-C598-4935-C5D1-43AA4DB90836}\stubpath的键值。行为杀毒的典型杀毒软件—绿鹰PC万能精灵。
[名词解释] 病毒特征代码：杀毒软件截获到一个木马后，将会提取木马中比较关键的一段代码作为辨认这个木马的特征代码，在杀毒过程中把它拿出来和磁盘中的文件做比对。就和我们辨认人一样，一看到一个人就把他的相貌特征记下来，比如：大眼睛啊、瓜子脸啊，在下次见到他的时候一眼就可以认出来。

综合木马免杀方案

修改免杀基本方法：
修改内存特征码--->
1>入口点加1免杀法---> 1>加压缩壳--->1>再加壳或多重加壳
2>变化入口地址免杀法 2>加成僻壳 2>加壳的伪装.
3>加花指令法免杀法 3>打乱壳的头文件
4>修改文件特征码免杀法

1.完全免杀方案一:
内存特征码修改 + 加UPX壳 + 秘密行动工具打乱UPX壳的头文件.

2.完全免杀方案二:
内存特征码修改 + 加压缩壳 + 加壳的伪装

3.完全免杀方案三:
内存特征码修改 + 修改各种杀毒软件的文件特征码 + 加压缩壳

4.完全免杀方案四:
内存特征码修改 + 加花指令 + 加压壳

5.完全变态免杀方案五:
内存特征码修改 + 加花指令 + 入口点加1 + 加压缩壳UPX + 打乱壳的头文件
还有其它免杀方案可根据第五部分任意组合.

收藏0

使用道具举报

返回列表

		自动登录	找回密码
密码			注册

杀毒软件的查杀模式 和 综合木马免杀方案

杀毒软件的查杀模式和综合木马免杀方案