微点交流论坛 - 微点软件使用交流 - 过微点的思路【转帖】

理想未来
禁止发言

积分 386
发帖 382
注册 2008-12-10

#1 过微点的思路【转帖】

原帖：http://bbs.7747.net/read.php?tid=92710

微点真有那么强吗..其实它跟瑞星的主动差不多...

首先配置鸽子的时候..生成地址假设为 c:windows123.exe

配置出来的鸽子端也改名为123.exe (微点也带特征查杀,,这里就已经达到免杀了)

并且配合RAR的自解压缩..把123.exe释放到c:windows下运行

这样..等于木马是没进行释放的..所以微点查不到

但这样有个缺点...只能即时运行程序..无法写入服务项..则重起后就无法启动了

解决办法..生成地址为启动目录下...RAR自解压缩也到同一目录下

这样..开机就可以自动运行

不足就是....第一.降低了隐蔽性..别人只要看启动目录..就会发现木马(不过经常去看那个地方的人很少吧)

第二..自解压缩选项如果把隐藏运行RAR和解压缩后运行某程序都设置了..那微点就绝对会弹未知木马.解决办法.只设置隐藏运行RAR..不设置解压缩后运行程序..这样就不会弹..但必须等重起木马才能运行.
还有一个解决办法..设置解压缩后运行程序,在安静模式中选择第2项隐藏启动对话框,这样,木马就会直接运行了.也不会弹拦截..但运行自解压的时候会弹出个框.虽然是一瞬间..但也降低了隐蔽性.

阐述下思路...微点的拦截就是根据程序的释放来判断.....如果木马跟释放位置及文件名为同一个..这样..木马就不算是释放后运行的了..自然也就判断不出来..

这个也是一个

http://www.darkst.com/bbs/thread-23319-2-1.html

http://forum.darkst.com/thread-46963-1-2.html

http://hi.baidu.com/fwj0801/blog ... eadbca7831aaec.html

http://hbhhq.uueasy.com/read.php?tid=140

http://www.laosaowang.com/home/space-11-do-blog-id-49.html

http://www.hack590.com/soft/show.asp?id=146&jdfwkey=ovnnq1

ByShell 一个穿越主动防御的木马

http://tech.ddvip.com/2008-01/120094592640939.html

[ Last edited by 理想未来 on 2009-11-21 at 03:22 ]

※ ※ ※ 本文纯属【理想未来】个人意见，与【微点交流论坛】立场无关※ ※ ※

2009-11-21 03:09

饭桶小白
高级用户

积分 558
发帖 556
注册 2009-5-9

#2

不用怕，不用担心...出了原理，就不怕微点不出规则！哈哈哈哈哈....真希望多点黑客出来晒晒过微点的方法！晒的越多，微点就越强悍！

※ ※ ※ 本文纯属【饭桶小白】个人意见，与【微点交流论坛】立场无关※ ※ ※

2009-11-21 07:45

yuantone
新手上路

积分 4
发帖 4
注册 2009-10-29

#3

分明是一种淫意，自解压缩灰鸽子微点照样报啊，若是不报那些挂马的外挂运行后不都中招了？

※ ※ ※ 本文纯属【yuantone】个人意见，与【微点交流论坛】立场无关※ ※ ※

2009-11-21 08:22

理想未来
禁止发言

积分 386
发帖 382
注册 2008-12-10

Quote:

Originally posted by 饭桶小白 at 2009-11-21 07:45:
不用怕，不用担心...出了原理，就不怕微点不出规则！哈哈哈哈哈....真希望多点黑客出来晒晒过微点的方法！晒的越多，微点就越强悍！

呵呵，一样的想法，只要有一个方法或者行为过微点，那么微点升级规则之后
马上就会通杀这一类型的病毒了。 O(∩_∩)O

※ ※ ※ 本文纯属【理想未来】个人意见，与【微点交流论坛】立场无关※ ※ ※

2009-11-21 20:36

论坛跳转:

可打印版本 | 推荐 | 订阅 | 收藏

[ 联系我们 - 东方微点 ] 北京东方微点信息技术有限责任公司福建东方微点信息安全有限责任公司闽ICP备05030815号