标题:
灰鸽子成功穿越微点主动防御(文章)
[打印本页]
作者:
zjf954
时间:
2007-11-8 17:50
标题:
灰鸽子成功穿越微点主动防御(文章)
灰鸽子成功穿越微点主动防御(文章)
微点真有那么强吗..其实它跟瑞星的主动差不多...
首先配置鸽子的时候..生成地址假设为 c:\windows\123.exe
配置出来的鸽子端也改名为123.exe (微点也带特征查杀,,这里就已经达到免杀了)
并且配合RAR的自解压缩..把123.exe释放到c:\windows\下运行
这样..等于木马是没进行释放的..所以微点查不到
但这样有个缺点...只能即时运行程序..无法写入服务项..则重起后就无法启动了
解决办法..生成地址为 启动目录下...RAR自解压缩也到同一目录下
这样..开机就可以自动运行
不足就是....第一.降低了隐蔽性..别人只要看启动目录..就会发现木马(不过经常去看那个地方的人很少吧)
第二..自解压缩选项如果把隐藏运行RAR和解压缩后运行某程序都设置了..那微点就绝对会弹未知木马.解决办法.只设置隐藏运行RAR..不设置解压缩后运行程序..这样就不会弹..但必须等重起木马才能运行.
还有一个解决办法..设置解压缩后运行程序,在安静模式中选择第2项隐藏启动对话框,这样,木马就会直接运行了.也不会弹拦截..但运行自解压的时候会弹出个框.虽然是一瞬间..但也降低了隐蔽性.
阐述下思路...微点的拦截就是根据程序的释放来判断.....如果木马跟释放位置及文件名为同一个..这样..木马就不算是释放后运行的了..自然也就判断不出来..
文章作者: 小东￠酷儿(通用论坛ID:cici584522)
QQ:104940507
2007年11月7日
作者:
bigpoint
时间:
2007-11-8 18:04
像这样的鸽子，能否穿越微点？
现在这样的文章满大街都是
作者:
lotei
时间:
2007-11-8 18:06
首先配置鸽子的时候..生成地址假设为 c:\windows\123.exe
配置出来的鸽子端也改名为123.exe (微点也带特征查杀,,这里就已经达到免杀了)
改个名字也能免杀！
其他的没什么好说的！没有技术含量的东西！呵呵！
作者:
cici584522
时间:
2007-11-12 10:34
我是此文章的作者....没想到文章被转到这来了...
此方法绝对是可以穿越微点的(微点防火墙同时开占时还无法穿越)...并且可以穿越卡巴/瑞星/江民/的主动
也可以穿费尔的默认主动设置(中级)
[
Last edited by cici584522 on 2007-11-12 at 11:23
]
作者:
cici584522
时间:
2007-11-12 10:34
如果需要测试..请来位版主级以上的...测试完成后还请回帖证明
作者:
david1126103
时间:
2007-11-12 17:21
[quote]Originally posted by
cici584522
at 2007-11-12 10:34:
我是此文章的作者....没想到文章被转到这来了...
此方法绝对是可以穿越微点的(微点防火墙同时开占时还无法穿越)...并且可以穿越卡巴/瑞星/江民/的主动
也可以穿费尔的默认主动设置(中级)
[
Last edited ... [/quot]
原理和卡饭那个过卡巴主防那个相同
用微点测试时，释放同名文件，微点并不报警，因为是正常软件安装动作，需重启抢在杀软运行前，开启微点防火墙的话，会报警。。。
作者:
cici584522
时间:
2007-11-12 19:45
你没注意卡饭那个过卡巴的也是我发的吗
作者:
yiyefuwei
时间:
2007-11-12 21:21
的确没技术含量
作者:
olol
时间:
2007-11-13 10:33
这个问题有点严重..
作者:
cici584522
时间:
2007-11-13 13:28
今天测试..依然可以过
作者:
sxh_sxh
时间:
2007-11-13 14:35
请看
http://bbs.micropoint.com.cn/showthread.asp?tid=21026&fpage=1
Legend的答复。
作者:
qq2008444
时间:
2007-11-14 14:51
"微点真有那么强吗..其实它跟瑞星的主动差不多..."
本质不同
其他的.....其实没很大区别
因为都是给用户保护的
作者:
nasdaq
时间:
2007-11-14 15:14
请确认微点预升级版本修复bug后，本测试方法已作废。
应原作者要求，本帖锁帖处理。
来自: cici584522
到: nasdaq
时间: 2007-11-14 14:54
内容:
http://bbs.micropoint.com.cn/showthread.asp?tid=20714&fpage=1
麻烦把此帖锁了..第一..是别人转发我的文章
第二..此方法已经被封
欢迎光临 微点交流论坛 (http://bbs.micropoint.com.cn/)
bbs.micropoint.com.cn
