multiCCL_f

特别说明： 本软件谢绝任何支持或使用3721（及及该公司其他产品如雅虎助手等）的人士使用。 multiCCL 　　　　　by niu-cow in NE365 开发调试环境及工具 : win2k+sp4 dev-cpp 4.992 Lcc_win32 MASM32 v9.0 Radasm ollydbg 1.10 winHex 12.5 包含文档： 1. multiCCL_f.exe 文件特征码专用版 2. multiCCL_m.exe 内存特征码专用版 3. multiCCL_inj.exe 注入代码块内存定位专用版 4. memtest.exe 　用作内存定位时加载dll或运行exe或向目标进程注入的辅助程序 　　　　　　　　　（为了防止主程序被杀毒软件Kill，用了远程线程注入） 5. multiCCL_readme.txt 本说明文档 6. multiCCL原理图示.htm 基本原理图示 功能： 原来已有的 文件特征码定位功能 (对 PE文件 和 非PE文件)－－此功能已较稳定 本版新增功能：内存特征码定位（对PE文件)－－－－－－－－－此功能测试中 因为现在杀毒软件针对特征码定位器设置了某些干扰，最终决定把文件定位和 　　内存定位做成两个独立的部分。 其实代码基本一样的，只为方便日后的维护和升级。 ----------------------------------- ......内存定位.重要提示....... 1.定位期间不要浏览任何放有病毒样本的文件夹 以免被杀毒软件的实时监控删掉 2. 现在打开杀毒软件的实时检测（保护级别在自定义中设置得严格些） 实时检测的执行动作可设置为： a. 提示用户操作 b. 禁止访问并删除 推荐选 a ，千万不要选“仅禁止访问”，“隔离”也不要选 3. 当然也可以按提示手动扫描内存 执行动作设为“仅报告”或“提示用户操作” 只要杀毒软件报告检测结果就行了，不需要它删除或禁用什么 4. 防火墙不要监视远程线程 因为multiCCL为了避免主程序被杀毒软件kill，用远程线程加载样本 　　（另外，正在找有关驱动方面的资料） －－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－ －－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－ 现在重点测试内存特征码的定位功能。 通过后再添加。现在的界面也还有点马虎，用cmd界面也是为测试 方便，因为随时都可输出中间信息。 （（听 tankaiha 一说还真不想写GUI界面了）） 需要说明的问题是： 　　　　1.　开始定位一个样本时，如果发现样本目录中存在旧的记录文件， 　　　　　　　　　　程序会读取并认可 旧记录中的特征码。 如果想完全重新开始定位，应该先把旧的记录文件删除或改名， 之后再打开multiCCL 。 2. 输出目录里不要放置任何您想保留的文件，以免给您带来损失。 定位过程中将删除里面的一些文件。 另一个简单的做法是：先手动在样本所在目录下建一个名为 　　　　　　　　　　　　　output 的子目录，然后在选择目录的对话框点 “取消”，这样输出文件就都放到这个output 目录下了。 3.　设置保护片段时，如果所保护的片段本身是独立的特征码，就会 　　　　　　　导致定位失败，因为所生成的文件会全部被杀，而且一直如此。 　　　　　　　　所以在设置前， 　　　　　　　　　先要确认所保护的片段不是独立的特征码。 v 0.100 beta 之后的版本用的是等分法，限制区域的优化效果， 对于文件特征码来说是很不明显的， 而对于内存特征码的定位还是比较明显的。 ;　　要注意的是，文件定位每次提醒杀毒时，一定要把识别出的文件全部删除， 否则程序会判断错误的。（内存定位就没关系了） 记录文件格式： 只要注意以下几个字段和键值就可以了： [Characto