哪位大神说说 什么是 文件的 特征码？详细一点！

文件特征码

阅读人数：1259人页数：6页价值：0下载券709448646

如今杀软的升级，他们的性能越来越强大，查杀力度和广度都大幅度提高，启发式杀毒的日益完善，使免杀工作越来越困难。杀软在进步我们小黑也不能落其后啊，我们必须努力掌握最新的免杀技巧和动向，同时也不能一步登天的忘了我们的基础。而传统的特征码差杀，杀软依然在使用。因此要想使我们的木马文件不被查杀，修改文件特征码也是一种常用的方法，今天就以特征码修改技术给大家做一个总结，献给支持和关心暗组的朋友，也献给免杀初学者和即将要学习免杀的朋友，本人能力有限，错误之处请大家指出，我们共同学习进步…

      

      

      一． 什么是“特征码”

      

      

      我们从字面意思上看，就是具有一定特点或特征的一串字符…而这串字符就是被杀软定义一文件是否是病毒的依据..

      然而稍微专业点就是程序运行时，在内存中为完成特定的动作，要有特殊的指令，一个程序在运行时，同一内存地址的指令是相同的同一个程序中，一段连续的地址（它的指令相同），那么我截取这段地址，就可以判断它是不是这个程序。为了防止出现病毒的误查杀，可以提取出多段特征码。这也就是我们所说的复合特征码.

      

      

      A. 特征码主要又分为：文件特征码，内存特征码，行为特征码，（主动特征码，如瑞星）

      B. 同时，又分为：单一特征码和复合特征码；

      单一特征码就是说，一个程序中的几句代码被杀毒软件做为识别标志。修改掉一处就可以免杀。

      复合特征码:一个程序中的多句代码被杀毒软件作为识别标志。有一处不修改都不能免杀。

      

      

      二. 修改特征码免杀技术

      

      

      修改特征码技术，是以杀软查杀特点得来的。杀软会用它们的特征库（也就是我们说的病毒库）和我们的文件某些字符作对比，如果彼此吻和，就定义为我们的文件为木马病毒。同时，我们只要修改了它定义出的文件特征码，这样会出现什么情况呢，不用说那就是我们所说的免杀，也就是用修改特征码技术来达到我们文件的免杀.

      

      

      三． 分析文件特征码

      

      

      我们要使一个木马文件免杀就要修改它的特征码，但这些特征码我们如何得来。这就

      说到了我们特征码分析，也就是我们所说的特征码定位。而定位的工具有很多，常见也是大家都觉得好用的有（CCL MYCCL multiCCL等）.这就不具体说明，我们重点是特征码修改.

      

      

      四． 修改特征码常用工具

      

      

      OD(Ollydbg.exe) C32(C32Asm.exe) 辅助：RestoratRestorator.exe LordPE.exe

      PEID 0.95.exe 汇编指令查询器（可以很好的帮助我们在修改特征码过程中遇到不认识的汇编指令时，我们可以用它来查询，了解相关功能）（如下图）五． 

      

1/6页

修改特征码基础汇编指令

      

      

      到了这里眼看就要修改了做免杀了。大家别急，有句话说的好：“巧妇难为无米之炊”。

      也就是说，我们现在有了好的工具但是你会用吗？如果回答是否定的，那一切还是等于零。工具的使用我这里就不说了，暗组论坛自己搜，NEW4写的OD使用说明就很不错，大家可以看看。好了，我们言归正传。修改特征码需要具备基本的汇编知识，不懂没关系，只要你肯学肯记，不需要你对汇编了解太深，只要记住常见的指令和它们的作用。大家请注意，这步是学习免杀即修改特征码最关键的一步，这步学习的好坏，决定你以后修改特征码技术的高低…这里我给大家列出我们必须去掌握的一些指令，希望大家下来好好背记…

所谓特征码，就是例如每个文件的MD5运算后得出的数值。用这数值对比官方公布的数值可以确认文件是否被别人修改。壳就是对执行程序进行.所谓特征码，就是例如每个文件的MD5运算后得出的数值。用这数值对比官方公布的数值可以确认文件是否被别人修改。壳就是对执行程序进行.所谓特征码，就是例如每个文件的MD5运算后得出的数值。用这数值对比官方公布的数值可以确认文件是否被别人修改。壳就是对执行程序进行.所谓特征码，就是例如每个文件的MD5运算后得出的数值。用这数值对比官方公布的数值可以确认文件是否被别人修改。壳就是对执行程序进行.

---