病毒免杀技术之特征码免杀

本文是 i 春秋论坛作家「zusheng」表哥关于免杀技术分享的技术类文章，感兴趣的小伙伴不可错过哦~

公众号旨在为大家提供更多的学习方法与技能技巧，文章仅供学习参考。

1、特征码

特征码又称电脑病毒特征码，它主要由反病毒公司制作，一般都是被反病毒软件公司确定为只有该病毒才可能会有的一串二进制字符串，而这字符串通常是文件里对应程式码或汇编指令的地址。

杀毒软件会将这一串二进制字符串用某种方法与目标文件或处理程序作对比，从而判定该文件或进程是否感染病毒。

2、免杀原理

• 修改入口点.或直接入口点加1

  
  

• 加壳加花伪装
  

  
  

• 修改特征码
  

3、MYCCL简介

常用的定位木马病毒特征码的工具有三款，分别是CCL、MultiCCL、MYCCL。

CCL程序出现后，使得特征码修改已经成为了对付杀毒软件的常用手法，但是杀毒软件开始使用多重复合特征码来对付特征码修改，就是说只有你同时改掉程序所有的守护特征码此程序才不被杀。

CCL这样的定位工具无法直接定位出特征码，要定位复合特征码必须手工划分，而MYCCL是CCL的改进版，可以进行多重特征码的定位，针对金山等杀软的反向定位等功能，并实现自动化代码定位和显示。

MyCCL定位原理

假设一段木马程序代码是这样（0代表NULL，X代表程序代码，a、b、c等代表特征码）：

当文件同时包含a.b.c三种特征码的时候，杀软就报毒啦。这就是所谓的复合特征码。当然杀软在定义复合特征码的时候可能有好几种组合，好几套特征码。当是复合特征码的时候，在用CCL来定位结果是很困难的。而MyCCL在CCL的基础上又进步了。这里我们手动用MyCCL来生成5个文件。

从File2开始就有了abc特征码的组合，File2到File5就被杀了。被杀以后再用MyCCL进行二次定位，这样我们就知道特征码c的位置了。然后再把002h那行置0，再生成一次。

第二次生成5个文件：

因为002h被我们置0了，这里只有File5有abc特征码了，所以File5被杀，这时另一处c也暴露出来了，这样我们就把所有c特征码都定位出来了。MYCCL解决了CCL定位复合特征码的困难。