修改特征代码.docVIP

修改特征代码 ? ? 一般来说，一个木马程序在不运行的情况下，用杀毒软件查杀，若报警为病毒，说明存在该查毒软件的文件特征码的。很多杀毒软件都是利用文件特征码方式进行查杀，所以这里以修改文件特征码为主。 要修改文件特征码，首先需要进行特征码定位。特征码有二种定位方法，手动定位和自动定位，通常用手动确定大范围，用自动精确定位小范围，下面就来看看如何操作。 （1）手动定位 打开特征码定位器CLL，如图1所示。 图1：特征码定位器 选择设置中的“总体参数”，选中文件特征码手动定位，并设置好生成文件的存放路径，如图2所示。 图2：设置手动定位及存放路径 然后再选中“设置”中的“手动参数”，“替换方式”选中“总共生成规定个数的文件”，生成个数为1000。 选择“文件”|“特征码检测”|“文件特征码检测”，打开程序（要定位特征码的程序），在弹出的PE窗口中直接“确定”，如图3所示。 图3：选中的木马文件的相关信息 确定之后弹出的“生成文件信息”窗口，再次确定后便开始生成小文件。 图4：生成文件信息 然后等特征码定位器CLL生成完毕之后用杀毒软件进行查杀。接下来，在特征码定位器CLL中选“操作”|“结果定位”，选中刚刚用来存放检测结果的文件夹，然后在特征码定位器CLL中选择“文件”|“保存结果”，这时就是手动检测出来的特征码了，如图5所示。 图5：手动检测出来的特征码 （2）自动定位 打开特征码定位器CLL，选择“设置”|“总体参数”，选中“文件/内存特征码自动定位”项和生成文件存放位置。 然后选择“设置”|“自动参数”，进行自动操作参数设置，这里要注意生成文件的时间，必须要保证在这个时间内杀毒软件能够删除有毒文件，否则定位不精确，一般7到10秒；至于替换的字节应该根据文件大小，文件大可以设置大点，如图6所示。 图6：自动操作参数设置 然后选择“文件”|“特征码检测”|“文件特征码”，并选择要定位特征码的程序，打开后，将前面手动检测的定位结果，分别填入弹出的对话框中的“起始位置”和“检测大小”处，点击“添加区段”按钮，如图7所示。 图7：输入手动检测的定位结果 确定后同样会弹出“生成文件信息”对话框，操作步骤同手动定位方式。最后保存定位的结果。定位完成后打开Ultraedit把特征码所在位置替换为0，再次杀毒，如果没报毒，就证明定位结果准确，修改特征码也就完成了。 同理可以定位内存特征码的结果。