特别说明:
本软件谢绝任何支持或使用3721(及及该公司其他产品如雅虎助手等)的人士使用。
multiCCL
by niu-cow in NE365
开发调试环境及工具 :
win2k+sp4
dev-cpp 4.992
Lcc_win32
MASM32 v9.0
Radasm
ollydbg 1.10
winHex 12.5
包含文档:
1. multiCCL_f.exe 文件特征码专用版
2. multiCCL_m.exe 内存特征码专用版
3. multiCCL_inj.exe 注入代码块内存定位专用版
4. memtest.exe 用作内存定位时加载dll或运行exe或向目标进程注入的辅助程序
(为了防止主程序被杀毒软件Kill,用了远程线程注入)
5. multiCCL_readme.txt 本说明文档
6. multiCCL原理图示.htm 基本原理图示
功能:
原来已有的 文件特征码定位功能 (对 PE文件 和 非PE文件)--此功能已较稳定
本版新增功能:内存特征码定位(对PE文件)---------此功能测试中
因为现在杀毒软件针对特征码定位器设置了某些干扰,最终决定把文件定位和
内存定位做成两个独立的部分。
其实代码基本一样的,只为方便日后的维护和升级。
-----------------------------------
......内存定位.重要提示.......
1.定位期间不要浏览任何放有病毒样本的文件夹
以免被杀毒软件的实时监控删掉
2. 现在打开杀毒软件的实时检测(保护级别在自定义中设置得严格些)
实时检测的执行动作可设置为:
a. 提示用户操作
b. 禁止访问并删除
推荐选 a ,千万不要选“仅禁止访问”,“隔离”也不要选
3. 当然也可以按提示手动扫描内存
执行动作设为“仅报告”或“提示用户操作”
只要杀毒软件报告检测结果就行了,不需要它删除或禁用什么
4. 防火墙不要监视远程线程
因为multiCCL为了避免主程序被杀毒软件kill,用远程线程加载样本
(另外,正在找有关驱动方面的资料)
------------------------------------
------------------------------------
现在重点测试内存特征码的定位功能。
通过后再添加。现在的界面也还有点马虎,用cmd界面也是为测试
方便,因为随时都可输出中间信息。
((听 tankaiha 一说还真不想写GUI界面了))
需要说明的问题是:
1. 开始定位一个样本时,如果发现样本目录中存在旧的记录文件,
程序会读取并认可 旧记录中的特征码。
如果想完全重新开始定位,应该先把旧的记录文件删除或改名,
之后再打开multiCCL 。
2. 输出目录里不要放置任何您想保留的文件,以免给您带来损失。
定位过程中将删除里面的一些文件。
另一个简单的做法是:先手动在样本所在目录下建一个名为
output 的子目录,然后在选择目录的对话框点
“取消”,这样输出文件就都放到这个output
目录下了。
3. 设置保护片段时,如果所保护的片段本身是独立的特征码,就会
导致定位失败,因为所生成的文件会全部被杀,而且一直如此。
所以在设置前,
先要确认所保护的片段不是独立的特征码。
v 0.100 beta 之后的版本用的是等分法,限制区域的优化效果,
对于文件特征码来说是很不明显的,
而对于内存特征码的定位还是比较明显的。
; 要注意的是,文件定位每次提醒杀毒时,一定要把识别出的文件全部删除,
否则程序会判断错误的。(内存定位就没关系了)
记录文件格式:
只要注意以下几个字段和键值就可以了:
[Characto
2019-12-21 19:21:50
56KB
CCL
1