然后是安装程序的自删除。自删除本来就是个比较麻烦的问题，为了不产生兼容性问题，又不能使用太变态的方法。以前程序是在结束时调用 CMD 用 del 命令自删除，把CMD.exe的进程优先级设置为最低，使能在进程结束后，CMD 才开始执行 del 命令。但瑞星拦截了。于是，换了一个比较烂的方法：又写了一个小程序，专门执行删除，放在安装程序的资源中，安装程序运行时把这个小程序解到 Windows 目录中，安装完成时调用这个程序，然后自己退出。执行删除的程序会在删除成功时才退出，退出时调用 MoveFileEx() 使系统在下次启动时删除掉自己。
[ Last edited by tcjgdw@163.com on 2009-12-10 at 13:53 ]作者: 点饭的百度空间 时间: 2009-12-10 18:02 “...”那句话转自于楼主 另外有什么过微点的方法 不怕你拿出来呵呵作者: pchy 时间: 2009-12-10 22:58
Quote:
Originally posted by 点饭的百度空间 at 2009-12-10 18:02:
“...”那句话转自于楼主 另外有什么过微点的方法 不怕你拿出来呵呵
:) 我只是对瑞星太失望了。因为我能轻松绕过瑞星的主动防御，说明很多人都能轻松绕过。不过不排除瑞星继续研究达到微点现在的程度的可能性。
对杀毒软件，我其实都很失望，一般的网游木马，通常放出去几个月之后才会被杀，一般情况下，连代码都不用改，只改编译参数，重新编译一下，又可以坚持几个月，直到被杀得改编译参数都没有用了，才修改代码中的各个函数名（比如函数名前面加个 A 加个 B 之类的），修改代码的物理顺序（就是把一些函数在源代码中的位置换一下，剪切粘贴），这样编译之后的二进制文件里面的物理顺序就不一样了，杀毒软件又找不到特征码了，对于杀毒软件来说，又是个新木马。
对微点我还是比较信任的，基于行为判断，通常的过杀毒软件的方法就没用处了。
但瑞星的主动防御目前来说确实有很多很弱智的地方。
关于过微点，我暂时没有找到经过验证的有效的方法，也不想做实验。只是提出一些想法：
1. 程序本身只是连接网络，从Web服务器下载一些加密的二进制代码片断，不存储为文件，而只是在内存中 new 一块内存出来，把加密的二进制代码片断解密后写到内存中，通过内存地址直接调用。这样应该任何主动防御和杀毒软件都无法拦截这种行为。平时这个程序是潜伏的，只在需要时才下载特定的代码执行，而且不生成任何文件，如果只是用来窃取数据而没有其它的破坏行为，应该是不会被拦截的。
