各种类型文件头特征码

最新推荐文章于 2022-11-15 19:31:49 发布
最新推荐文章于 2022-11-15 19:31:49 发布
阅读量8.8k 收藏 20
点赞数 6
分类专栏： 信息安全 文章标签： 特征码

本文首发链接
查看我的个人博客：https://hubinqiang.com

1. 从Ultra－edit-32中提取出来的

FileTypeExtensionsHeader
JPEGjpgFFD8FF
PNGpng89504E47
GIFgif47494638
TIFFtif49492A00
Windows Bitmapbmp424D
CADdwg41433130
Adobe Photoshoppsd38425053
Rich Text Formatrtf7B5C727466
XMLxml3C3F786D6C
HTMLhtml68746D6C3E
Email [thorough only]eml44656C69766572792D646174653A
Outlook ExpressdbxCFAD12FEC5FD746F
Outlookpst2142444E
MS Word/Excelxls.or.docD0CF11E0
MS Accessmdb5374616E64617264204A
WordPerfectwpdFF575043
Postscripteps.or.ps252150532D41646F6265
Adobe Acrobatpdf255044462D312E
QuickenqdfAC9EBD8F
Windows PasswordpwlE3828596
ZIP Archivezip504B0304
RAR Archiverar52617221
Wavewav57415645
AVIavi41564920
Real Audioram2E7261FD
Real Mediarm2E524D46
MPEGmpg000001BA
MPEGmpg000001B3
Quicktimemov6D6F6F76
Windows Mediaasf3026B2758E66CF11
MIDImid4D546864

2. 从winhex中取出的文件头列表

FileTypeExtensionsHeader
JPEGjpg;jpeg0xFFD8FF
PNGpng0x89504E470D0A1A0A
GIFgifGIF8
TIFFtif;tiff0x49492A00
TIFFtif;tiff0x4D4D002A
Bit mapbmpBM
AOL ARTart0x4A47040E000000
AOL ARTart0x4A47030E000000
PC Paintbrushpcx0x0A050108
Graphics Metafilewmf0xD7CDC69A
Graphics Metafilewmf0x01000900
Graphics Metafilewmf0x02000900
Enhanced Metafileemf0x0100000058000000
Corel DrawcdrCDR
CADdwg0x41433130
Adobe Photoshoppsd8BPS
Rich Text Formatrtfrtf
XMLxml
HTMLhtml;htm;php;php3;php4;phtml;shtmltype
EmailemlDelivery-date:
Outlook Expressdbx0xCFAD12FE
MS Office/OLE2doc;xls;dot;ppt;xla;ppa;pps;pot;msi;sdw;db0xD0CF11E0A1B11AE1
MS Accessmdb;mda;mde;mdtStandard J
WordPerfectwpd0xFF575043
OpenOffice Writersxwwriter
OpenOffice Calcsxccalc
OpenOffice Mathsxmmath
OpenOffice Impresssxiimpress
OpenOffice Drawsxddraw
Adobe FrameMakerfm
PostScripteps.or.ps;ps;eps%!PS-Adobe
Adobe Acrobatpdf%PDF-1.
Quickenqdf0xAC9EBD8F
QuickBooks Backupqbb0x458600000600
Sagesly.or.srt.or.slt;sly;srt;slt0x53520100
Sage Backup1SAGEBACKUP
Lotus WordPro v9lwp0x576F726450726F
Lotus 123 v91230x00001A00051004
Lotus 123 v5wk40x00001A0002100400
Lotus 123 v3wk30x00001A0000100400
Lotus 123 v1wk10x2000604060
Windows Passwordpwl0xE3828596
ZIP Archivezip;jar0x504B0304
ZIP Archive (outdated)zip0x504B3030
RAR ArchiverarRar!
GZ Archivegz;tgz0x1F8B08
BZIP Archivebz2BZh
ARJ Archivearj0x60EA
7－ZIP Archive7z7z集
WavewavWAVE
AVIaviAVI
Real Audioram;ra.ra?0
Real Mediarm.RMF
MPEGmpg;mpeg0x000001BA
MPEGmpg;mpeg0x000001B3
Quicktimemovmoov
Windows Mediaasf0x3026B2758E66CF11
MIDImidMThd
Win32 Executableexe;dll;drv;vxd;sys;ocx;vbxMZ
Win16 Executableexe;dll;drv;vxd;sys;ocx;vbxMZ
ELF Executableelf;;0x7F454C4601010100
为什么我是菜鸟
关注
  • 6
    点赞
  • 踩
  • 20
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
遥测文件截取器软件设计与实现
10-25
为解决大容量遥测数据文件的快速分割，软件针对遥测文件以帧为基本单位且每帧头都含有时码的特点，设计按特征参数截取、按时间截取以及按帧序数截取等三种方法以满足不同的截取要求。遥测参数的解算调用已成熟的动态链接库，对于一些耗时的运算使用了二分搜索等优化算法。该软件操作方便、截取效率高，在型号应用中发挥了重要作用。
PETotal V1.7
03-11
注意：本程序是网上收集而来，所有权归原作者所有！ 2010-03-01 PETotal V1.7 改善： 1. 检查壳和编译信息的特征码信息，转移到外部文件中，支持自定义特征码 功能追加： 1. 新增添加导入函数功能，方便花指令调用函数 2010-02-27 PETotal V1.6 改善： 1. 为文件捆绑专门做了个寄主文件，只能绑定到这个寄主文件， petotal不再做免杀软件的载体了(请务必把petotal和host放在同一目录) 2. 支持拖入快捷方式分析，直接拖入桌面的快捷方式即可分析 功能追加： 1. 新增附加数据的分析和提取附加数据 2010-02-21 PETotal V1.5 BUG修改： 1. winrar等软件打开出错 2. 提取资源无法保存在中文目录 3. 输入表显示乱码的问题 功能追加： 1. 文件捆绑功能（可选择释放隐藏文件还是在内存运行隐藏文件） 2010-02-19 PETotal V1.3 功能追加： 1. 支持添加自定义花指令 2. 支持自定义shellcode探框的消息内容 3. 新增提取图标和位图的资源文件功能 2010-02-13 PETotal V1.2 功能追加： 可以自动添加花指令，免杀功能 也可以手动添加空白Section，然后修改入口地址，自己通过第三方工具加花指令 2010-02-10 PEScan V1.1 功能追加： 可以探测一部分加壳的信息和编译器的信息 2010-02-07 PEExplorer V1.0 功能概述： 1. 支持换肤 2. 可以看可执行文件（exe，dll，sys）的版本信息， PE头信息（可用于效验文件的三个字段）和 这个可执行文件使用的DLL和函数，以及输出地函数接口 3. 支持拖拽功能，可以直接拖拽文件到界面，即可分析 4. 可以检查可执行文件是否已经数字签名了
员工年龄确认程序文件.pdf
12-24
员工年龄确认程序 1、 目的 为了规范人事招聘制度和避免公司招聘到童工的风险，且身份证信息真实，特 制定本程序文件。 2、 适用范围 所有新员工的招聘。 3、 职责 人事部招聘文员初步核对身份证年龄、真伪，前台文员第二次验证，入职文员最后核实。 4、管理指引 4.1.新面试的员工，招聘、前台及人事文员负责将身份证照片与本人容貌进行核对，确认实 属本人身份证件。 4.2. 身份证真伪辨别（参照以下指引） 4.2. 1 第二代身份证视觉鉴别方法 针对第二代居民身份证采用的直观和数字防伪措施，有关部门或个人在对居民身份证进行 查验或检查时，可以采用以下七种方法： （1）核对相片。判别证件照片与持证人的一致性。 （2）彩虹印刷。居民身份证底纹采用彩虹、精细、缩微印刷方式制作，颜色衔接处 相互融合自然过渡，颜色变化部分没有接口。 （3）查看底纹中缩微文字字符串。使用放大镜（10 倍及以上）观测。 （4）使用紫外灯光观测荧光印刷的"长城"图案。 （5）查看定向光变色"长城"图案。自然光条件下，垂直观察看不到图案。和法线 （垂直于图案平面的直线）成较大夹角时：在正常位置观察，图案反射光颜色为绿色； 当旋转 70 至 90 度时，图案反向光颜色为紫色。 （6）查看光变光存储"中国 CHINA"字符。可观测到"中国 CHINA"字样，字符串周 转有渐变花纹，外沿呈椭圆形。 （7）第二代身份证在制作时公安部专门为二代证的"造"了三个字：身份证反面的"居、 民、身" ，第二代证上的这三个字与一般电脑字库中的字有细微的区别,真证上"居、民"两个 字的横笔右边的三角与"尸"字头的右侧竖笔齐平;"身"字中间两横右侧不与竖笔相连。而制 假证者使用的是普通电脑排版，用的是电脑字库中的宋体字，而电脑字库中的"居、民"两字 横笔右侧均长出竖笔； "身"字两横笔右侧与竖笔相连。 （8）现将这三个字分列如下，大家不妨参照对比： （9）身份证字体： 电脑字库宋体： 居 民 身 （10）引进身份证鉴别仪器进行鉴定，具体操作参照鉴别仪器操作指引。 4.2. 2 借身份证入厂的辨别： 4.2. 2.1 人事文员在招聘时要特别留意查对身份证： 首先辨别身份证上的年龄是否与其本 人相符合； 证件相片是否与其本人相同。 4.2. 2.2 当证件模糊不清或一时辨认不清时， 则应： 询问应聘者的家庭地址与出生年月日， 有时特意报错内容，要应聘者予以纠正； 寻找身份证或特征部分位置作比较，或找定脸 部某一特征作比较； 在身份证或应聘者器官位置作比较，如耳朵的高度与口、鼻子比较， 下颌的宽度、口、鼻的距离，眉毛的长度与生长的倾斜度，眼的形状、额头的宽度等都可 以作比较； 检查应聘者其它证书，如毕业证、计生证等。 4.2. 2.3 入厂后，根据应聘者所提供的人事资料、身份证复印件、相片，人事部人事文员及 主管分级检查，如有疑问重新返回下一级作重新鉴定，确认后并在人事表格中签名作实。 4.2. 3 引进身份证鉴别仪器进行鉴定 4.2. 3.1 身份证真伪自动校核（此功能适用于 15 位老式身份证和 18 位新式身份证。 ） 4.2. 3.2 接通 220V 交流电源，打开主座后边开关，按前面板右侧"黑色键"前面板中间灯 亮，预热 30 秒， 将身份证正面（头像朝外，有照片，印章面朝上）插入右侧长条形孔内， 此时如： 自动识别绿灯亮——表示身份证是真的可能； 自动识别红灯亮——需待查。 4.2. 3.3 身份证插入深度要插到底，身份证表面要干净无污物。一般"黑色键"不应长期工 作有损紫光灯管寿命并影响检验准确度 4.2. 4 身份证荧光检查 按"黑色键"前面板中间灯亮，将身份证插入检验仪的后窗口处： 4.2. 4.1 15 位和 18 位身份证：检查印章部位放置后视窗左下角处，用黄色滤光片时印章应 有明亮的反光，表明身份证是真的。 4.2. 4.12. 18 位新身份证背面有黄色荧光字 IDENTITYCARD"身份证"字标记。 4.2. 5 身份证 18 位校验码的校核： （此功能只适有于 18 位新式身份证） 。 4.2. 5.1 接通 220V 交流电源，打开主座后边开关，按"红色键"数码管红灯亮，再按"取 消键"数码显示"01" 。 4.2. 5.2 从左向右依次按身份证上的 18 位数码，按第 1 位数时红色数码管显示 02，按"1 位"数时，数码宇航局显示数也随着增加 1 位，当按到 18 位数时，数码管显示"CC" ，这时按 "确认键" ： 如果 18 位数值电脑检测校核正确：左侧绿色灯亮； 如果 18 位数值电脑检测校核不正确：右侧红灯亮，校验码有错，需再查。 再按一次"取消键" ，数码管又显示"01" ，为下一次身份证检测做好准备。 4.2. 5.3 键盘操作时手指压力一定要
sublime_terminal：从当前文件或根项目文件夹启动终端
02-21
崇高码头 用于在当前文件或当前根项目文件夹中打开终端的快捷方式和菜单条目。 特征 在包含当前编辑文件的文件夹中打开终端 在包含当前编辑文件的项目文件夹中打开一个终端 安装 下载并使用命令面板中的Package Control：安装Package命令。 使用程序包控制可确保终端自动保持最新状态。 用法 在文件上打开终端在Windows和Linux上按ctrl + shift + t ，在OS X上按cmd + shift + t 在项目文件夹中打开终端在Windows和Linux上按ctrl + alt + shift + t ，在OS X上按cmd + alt + shift + t 除了按键绑定，还可以通过编辑器上下文菜单和侧边栏上下文菜单打开终端。 套餐设置 可以通过访问首选项>软件包设置>终端>设置–默认菜单项来查看默认设置。 为确保升级软件包时设置不会丢失，请确保所有编辑都保存
修改特征码教程 修改特征码
11-20
修改特征码教程 修改特征码 修改特征码教程 修改特征码 修改特征码教程 修改特征码
File Header文件头，通过检查文件头来判断文件类型
Luis
07-12 2379
<br />各种类型文件头<br />由这些文件头即使文件后缀被乱改也可以通过查看二进制文件查出文件的匹配格式,当然这就是一些播放器识别文件的方法<br />1、从Ultra－edit-32中提取出来的<br /><br />JPEG (jpg)，文件头：FFD8FF <br />PNG (png)，文件头：89504E47 <br />GIF (gif)，文件头：47494638 <br />TIFF (tif)，文件头：49492A00 <br />Windows Bitmap (bmp)，文件头：42
文件头、文件尾、特征码、常见文件的特征码
m0_59856804的博客
11-15 1464
文件头、文件尾、特征码、常见文件的特征码
Text编码格式
wan__zao的专栏
12-26 2165
在文本和代码，常常涉及到字符编码和分隔符号。   一、对于分隔符：       换行：windows ,'\n\r'（1310） ;  linux/unix ,'\n';   Mac ,'\r';        二、对于字符编码：转自http://www.ruanyifeng.com/blog/2007/10/ascii_unicode_and_utf-8.html 字符编码笔
CTF常见文件类型的文件头
qq_62376678的博客
10-16 719
ctf的misc杂项部分经常遇到一些需要通过文件头去判别文件类型的题目。下图为一些常见类型的文件头。
基于AVFoundation和OpenCV的二维码扫描, 当距离较远时拉近镜头完成扫码.zip
最新发布
04-05
OpenCV（Open Source Computer Vision Library）是一款开源的计算机视觉库，专门为图像和视频处理任务设计，广泛应用于学术研究、工业应用以及个人项目中。以下是关于OpenCV的详细介绍： 历史与发展 起源：OpenCV于1999年由英特尔公司发起，旨在促进计算机视觉技术的普及和商业化应用。该项目旨在创建一个易于使用、高效且跨平台的库，为开发者提供实现计算机视觉算法所需的基础工具。 社区与支持：随着时间的推移，OpenCV吸引了全球众多开发者和研究人员的参与，形成了活跃的社区。目前，OpenCV由非盈利组织OpenCV.org维护，并得到了全球开发者、研究机构以及企业的持续贡献和支持。 主要特点 跨平台：OpenCV支持多种操作系统，包括但不限于Windows、Linux、macOS、Android和iOS，确保代码能够在不同平台上无缝运行。 丰富的功能：库中包含了数千个优化过的函数，涵盖了计算机视觉领域的诸多方面，如图像处理（滤波、形态学操作、色彩空间转换等）、特征检测与描述（如SIFT、SURF、ORB等）、物体识别与检测（如Haar级联分类器、HOG、DNN等）、视频分析、相机校正、立体视觉、机器学习（SVM、KNN、决策树等）、深度学习（基于TensorFlow、PyTorch后端的模型加载与部署）等。 高效性能：OpenCV代码经过高度优化，能够利用多核CPU、GPU以及特定硬件加速（如Intel IPP、OpenCL等），实现高速图像处理和实时计算机视觉应用。 多语言支持：尽管OpenCV主要使用C++编写，但它提供了丰富的API绑定，支持包括C、Python、Java、MATLAB、JavaScript等多种编程语言，方便不同领域的开发者使用。 开源与免费：OpenCV遵循BSD开源许可证发布，用户可以免费下载、使用、修改和分发库及其源代码，无需担心版权问题。 架构与核心模块 OpenCV的架构围绕核心模块构建，这些模块提供了不同层次的功能： Core：包含基本的数据结构（如cv::Mat用于图像存储和操作）、基本的图像和矩阵操作、数学函数、文件I/O等底层功能。 ImgProc：提供图像预处理、滤波、几何变换、形态学操作、直方图计算、轮廓发现与分析等图像处理功能。 HighGui：提供图形用户界面（GUI）支持，如图像和视频的显示、用户交互（如鼠标事件处理）以及简单的窗口管理。 VideoIO：负责视频的读写操作，支持多种视频格式和捕获设备。 Objdetect：包含预训练的对象检测模型（如Haar级联分类器用于人脸检测）。 Features2D：提供特征点检测（如SIFT、ORB）与描述符计算、特征匹配与对应关系估计等功能。 Calib3d：用于相机标定、立体视觉、多视图几何等问题。 ML：包含传统机器学习算法，如支持向量机（SVM）、K近邻（KNN）、决策树等。 DNN：深度神经网络模块，支持导入和运行预训练的深度学习模型，如卷积神经网络（CNN）。 应用领域 OpenCV广泛应用于： 科研与教育：作为计算机视觉教学和研究的基础工具，OpenCV简化了算法原型开发与验证过程。 工业自动化：在视觉检测、机器人导航、产品质量控制等工业场景中，OpenCV用于实时图像分析与决策。 安防监控：用于人脸识别、行人检测、行为分析等智能监控系统。 医疗影像分析：在医疗领域，OpenCV可用于医学图像处理、病灶检测、诊断辅助等应用。 自动驾驶：在车辆视觉感知系统中，OpenCV用于道路标志识别、障碍物检测、车道线识别等任务。 多媒体应用：如图像编辑软件、AR/VR应用、游戏开发等，利用OpenCV进行图像和视频处理。 物联网与嵌入式系统：在资源受限的嵌入式设备上，OpenCV提供轻量级的计算机视觉解决方案。 学习与社区资源 OpenCV拥有丰富的官方文档、教程、示例代码以及活跃的开发者社区，包括GitHub、StackOverflow、官方论坛等，为学习和使用OpenCV提供了有力支持。此外，有许多书籍、在线课程、博客文章和研讨会专门讲解OpenCV的使用和计算机视觉技术。 综上所述，OpenCV作为一款功能强大、高效、跨平台且开源的计算机视觉库，为开发者提供了实现各类图像和视频处理任务所需的工具箱，其广泛的应用领域和活跃的社区支持使之成为计算机视觉领域不可或缺的开发工具。
文件特征码提取工具
06-13
该工具考虑到的情况比较全面。它有强大的文件筛选能力和强大的定位提取特征码位置的能力，而且能够根据您的需要连续提取特征码。 文件筛选点通过基址 + 偏移 + 变址的方式定位。基址 ＝ 文件起始（文件结束位置，特殊文件起点， 前一文件过滤点）；偏移 = 固定偏移。 变址 ＝ 在相对基址偏移某一固定值处取一个双字（单字、字节、或不取）。 特征码提取点有四种选择：文件起始，文件结束位置，特殊文件起点， 前一文件过滤点。
常见的文件头格式解析-附件资源
03-05
常见的文件头格式解析-附件资源
码头工人PHP
02-23
Docker-PHP 使用PHP-FPM可以轻松地完成构造。 特征 Imagem基础 imagem基本con com： O ID / GID可以使用www-data来定义como 1000：1000； 否php.ini的环境配置文件； globalmente安装 Os seguintes pacotes de sistema： 高山： 阴影 libpng开发 jpeg-dev libxml2-dev libxslt-dev libzip开发 freetype-dev PostgreSQL开发 libxml2-dev zlib-dev 开发人员 gettext-dev Os seguintes pacotes PHP： bcmath（Somente Debian） bz2（Somente Debian） dom gd（支持PNG，JPG和TrueType
软件病毒特征码定位软件multiCCL
08-02
特别说明： 本软件谢绝任何支持或使用3721（及及该公司其他产品如雅虎助手等）的人士使用。 multiCCL 　　　　　by niu-cow in NE365 开发调试环境及工具 : win2k+sp4 dev-cpp 4.992 Lcc_win32 MASM32 v9.0 Radasm ollydbg 1.10 winHex 12.5 包含文档： 1. multiCCL_f.exe 文件特征码专用版 2. multiCCL_m.exe 内存特征码专用版 3. multiCCL_inj.exe 注入代码块内存定位专用版 4. memtest.exe 　用作内存定位时加载dll或运行exe或向目标进程注入的辅助程序 　　　　　　　　　（为了防止主程序被杀毒软件Kill，用了远程线程注入） 5. AutoStartScanDll.dll 自动操作模块，使得部分操作自动化 6. multiCCL_readme.txt 本说明文档 7. multiCCL原理图示.htm 基本原理图示 功能： 原来已有的 文件特征码定位功能 (对 PE文件 和 非PE文件)－－此功能已较稳定 本版新增功能：内存特征码定位（对PE文件)－－－－－－－－－此功能测试中 因为现在杀毒软件针对特征码定位器设置了某些干扰，最终决定把文件定位和 　　内存定位做成两个独立的部分。 其实代码基本一样的，只为方便日后的维护和升级。 ----------------------------------- ......内存定位.重要提示....... 1.定位期间不要浏览任何放有病毒样本的文件夹 以免被杀毒软件的实时监控删掉 2. 现在打开杀毒软件的实时检测（保护级别在自定义中设置得严格些） 实时检测的执行动作可设置为： a. 提示用户操作 b. 禁止访问并删除 推荐选 a ，千万不要选“仅禁止访问”，“隔离”也不要选 3. 当然也可以按提示手动扫描内存 执行动作设为“仅报告”或“提示用户操作” 只要杀毒软件报告检测结果就行了，不需要它删除或禁用什么 4. 防火墙不要监视远程线程 因为multiCCL为了避免主程序被杀毒软件kill，用远程线程加载样本 　　（另外，正在找有关驱动方面的资料） －－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－ －－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－ 现在重点测试内存特征码的定位功能。 通过后再添加。现在的界面也还有点马虎，用cmd界面也是为测试 方便，因为随时都可输出中间信息。 （（听 tankaiha 一说还真不想写GUI界面了）） 需要说明的问题是： 　　　　1.　开始定位一个样本时，如果发现样本目录中存在旧的记录文件， 　　　　　　　　　　程序会读取并认可 旧记录中的特征码。 如果想完全重新开始定位，应该先把旧的记录文件删除或改名， 之后再打开multiCCL 。 2. 输出目录里不要放置任何您想保留的文件，以免给您带来损失。 定位过程中将删除里面的一些文件。 另一个简单的做法是：先手动在样本所在目录下建一个名为 　　　　　　　　　　　　　output 的子目录，然后在选择目录的对话框点 “取消”，这样输出文件就都放到这个output 目录下了。 3.　设置保护片段时，如果所保护的片段本身是独立的特征码，就会 　　　　　　　导致定位失败，因为所生成的文件会全部被杀，而且一直如此。 　　　　　　　　所以在设置前， 　　　　　　　　　先要确认所保护的片段不是独立的特征码。 v 0.100 beta 之后的版本用的是等分法，限制区域的优化效果， 对于文件特征码来说是很不明显的， 而对于内存特征码的定位还是比较明显的。 ;　　要注意的是，文件定位每次提醒杀毒时，一定要把识别出的文件全部删除， 否则程序会判断错误的。（内存定位就没关系了） 记录文件格式： 只要注意以下几个字段和键值就可以了： [CharactorCodz] ;特征码总数 CharactorTotal= ;特征码的记录格式是 H_起始偏移_结束偏移_长度_…… ;一般只要注意 起始偏移 结束偏移 就够了。记录的是文件偏移， ;　用十六进制表示 ;特征码1 Codz1= ;特征码2 Codz2= ;…… ;当OK=1时表示定位成功完成，ok=0表示定位没有完成 ok= －－－－－－－－－－－ ;文件定位的记录文件是 multiCCL_f_Log.txt ;内存定位的记录文件是 multiCCL_m_Log.txt ;都放在样本文件所在的目录下。 －－－－－－－－－－－ ;看内存定位结果时，还有一个字段需要注意的： [antiLocateCodz] newCodz=1 OK=1 CharactorTotal= Codz1= Codz2= …… ;这是杀毒软件针对内存定位干扰码，（　antiLocateCodz　） ;定位不出内存特征码或修改内存特征码无效时, ;可以考虑修改入口点（修改代码或转移入口点）， ;若以上修改还是无效，则试试修改干扰码。 ;---------------------------- ;另外也请看看更新记录，里面也有部分说明 ; ; 同时也请帮助统计定位一个样本特征码所需的时间，大致记录下就行 ; 结果请反馈到： http://vxer.cn/bbs/read.php?fid=9&tid=112&page=1 ;----------------------------------------------- ;统计内容包括： ;-------- ;基本信息: 哪种杀毒软件的XXX文件定位（病毒库版本XXXX) ;1 样本文件大小: ;2 总共定位出特征码片段的数量: ;3 总共需要杀毒软件扫描几次: ;4 定位总用时： ;5 定位结果评价: 基本可用/有较大偏差/很不可靠 ;---------------------------------------------- ;BTW: 本程序针对的目标是杀毒软件的复合特征码的定位， 　　　当然也包括单一特征码了。 ;免责声明：本程序只供学习，不得用于商业。本程序可能存在某些缺陷， 　　　　　　及其他可能隐含的问题， 　　　　　使用中可能造成的一切后果，均由使用者自行负责。 如果您对此很在意则请勿使用。 ;感谢您的测试，使用中请保留软件文档的完整，发现任何问题请到NE365的BBS上反馈。 ;（借用一下NE365的空间　http://vxer.cn/bbs　，一并致谢NE365 ;及各位网友的帮助和测试　，大家多多支持NE365吧） ; ;特别说明：本软件谢绝任何支持或使用 3721 的人士使用。 　　　　　　　　　　　　niu-cow 2006-05-22 --------------------------------------------- 大致上找到了特征码没完没了的原因了 　　很可能是因为保护区域设置得过大，其中含有相当数量的隐含病毒特征， 导致启发式扫描的极高的实现机率。　实际测试中也发现当没有设置保护区域时， 定位出的特征码就很有限。 　　看来，设置合理的保护区域，对于定位是非常重要的， 尤其是针对“启发式扫描”（NOD32称之为“高级智能侦测模式”）的定位。 　　尽管以上只是猜测，不过本人认为这下被猜中了。 niu-cow 2006-05-31 20:08 ---------------- 　　在tanknight(myCCL的作者)的BLOG上看到NOD32定位的有关讨论，据说定位 精度太高时，对NOD32的定位往往失败。一般控制在8--16字节为宜。 　　依照这个原理增加了个控制定位精度的模块，重复的现象有所减少，但 问题好象还没有解决。 niu-cow 2006-06-10 17:04 ------------------------------------------------------------------ ======================================================================================== ------------------------------------------------------------------ 更新历史： v 1.200 （当前版本） 1.为文件特征码定位部分增加了模拟鼠标键盘动作的自动操作模块， 这下可以在定位时抽空喝杯开水了(有关说明在模块的设置界面） 建议先手动操作定两三个特征码，之后设置使用自动操作 2.内存定位时exe的加载方式作了改变，这个版本用CREATE_SUSPEND参数 使进程或线程创建时处于挂起状态（类似于被调试器加载，因为 据网友反馈说部分杀毒软件的内存扫描对于OLLYDBG加载的程序 起作用，而对于MYCCL、multiCCL、CCL等的加载不起作用）。 dll的加载没改（因为目前还没找到更好的方法） 注：本版的memtest.exe、memtiCCL_m.exe、multiCCL_inj.exe 和之前的版本均无法兼容，不要混用。 2007-07-17 v 1.150 1.解决了memtest.exe被杀时，主程序的SendMessage无法返回的问题 2.为注入型的提升权限（只有当拥有Administrators以上权限时才起 作用） 这样就可以注入某些系统进程。 注：本版的memtest.exe、memtiCCL_m.exe、multiCCL_inj.exe 和之前的版本均无法兼容，不要混用。 2006-11-29 v 1.140 1.修正了第一次生成Except.txt（用于设置保护区域定位精度等）时， 未能生成完整的模板，导致很多使用者第一次使用时无所适从， 2.将内存定位的一个容易引起误解的“判断……”改为“将判断……” (以上两处BUG感谢网友woaicomputer等的反馈) 3.增加了定位注入数据块的特征码的功能（主要用于对付flux等） 方法是：a 想办法从内存中抓取注入的数据块 （这个要自己想办法） b 用multiCCL_inj.exe处理数据块并注入了目标进程， 结合杀毒软件扫描内存，进行判断定位 注：memtest.exe 再次升级，以适用于multiCCL_inj.exe 2006-11-15 v 1.130 (仅针对内存定位模块） 1.改变EXE的加载方式为创建进程（原来用LoadLibrary） 2.增加对保护区域设置的检测，这样加载失败的机率更少 　　　　　（本版的 multiccl_m.exe 和 memtest.exe 与过去的版本不兼容） 2006-11-5 v 1.120 (仅针对内存定位模块) 因为有的杀毒软件监视远程线程，用注入法要先关闭这个监视 感觉这样有些麻烦，改用发消息让宿主程序主动加载 （ 此版的 multiccl_m.exe 和 memtest.exe 得配合使用了） 2006-10-23 v 1.110 (仅针对内存定位模块) 有网友(无涯)反馈说内存定位时有问题 发现问题的系统是WIN2003 本人在WIN2K+SP4下测试未发现问题 从出错截图看，问题很可能在杀进程的函数 检查源代码，只发现一个进程句柄没有及时关闭，修正了这个函数， 作为试探性修改，看看问题是否解决。 2006-07-14 v 1.100 : 1- 修正了处理干扰码的方式，并在记录中用~~作标记，或许有点用。 (注：干扰码也可能是特征码的一部分) 2- 修正了定位头端时的还原方式。 3- 生成文件时增加一秒停顿。 这个版本的两处修正都只是试探性的修改。 2006-07-04 v 1.010 : 仅修正了内存定位的模块，使其生成的文件数更少（定头端时） 这样每轮加载次数最多35次，绝大多数时候是28次 （尾端20次，头端8次） 文件定位仍用v 1.000版 2006-06-20 v 1.000 : 从本版本开始，已经是正式版了~~~~ 1- 记录文件文件名中 包含了样本文件名，以有所区别， 感谢pipapi的建议。 2- 增加了一个控制定位精度的功能。 具体是在Except.txt文件中改变dwX的值 当dwX=1 时精度为一字节（最高），如果存在旧的Except.txt 则请自行增加这个字段，如下(前后都不要有空格)： [dwX] dwX=1 降低精度的目的是减少一些干扰（如NOD32的启发式扫描), 经实际测试发现仍然无法完全避免。 （一般降为 12-16 字节左右为宜，dwX的值用十进制） 保护区域设置的合适一些，不要太大才是最重要的。 　　　　　　　　　　　　　　　　　2006-06-09 v 0.120 beta: 1- 实际使用中发现，杀毒软件的“启发式扫描” （NOD32的称“高级智能侦测模式”的扫描速度实在慢， 为提高效率，减少每次生成文件的数量， 当然多扫一遍了（以 1 MB 计算）。 这样一来，对磁盘空间的需求也减少了一半。不过现在 的硬盘都很大，不会在乎这点的。 此修正针对文件定位（也包括内存定位前的干扰码定位） 2- 提示音作了细小的调整。 2006-05-31 v 0.110 beta: 1- 增加了内存定位功能（二分法），这样每定位一处特征码 最多只需加载64次（其中定尾端20次，头端32次） 2- 修正了卸载方式。 3- 彻底屏蔽限制点区能。 4- 文件定位仍使用 v 0.100 beta 版 2006-05-25 v 0.100 beta: 1- 修正了winXP下当软件路径带空格时出错的问题， 感谢 最近的星球 的测试和反馈 2- 改用了等分法（原来用二分法），效率提高明显。 　　　　　　　　　 测试过程中发现的一个偶然的错误却解决了算法中的一个 　细节问题，进一步提高了效率（与理论效率相比） 激动ing ,每次最多可能生成64个文件 使用新版本时，把旧版本的记录文件重命名或删除吧， 以免造成潜在的冲突。 3- 增加了定位限制点的功能，就是说只定位限制点之前的部分 且直接从此点开始， 　　限制点之后的所有数据都将被随机数据串填充。 　　　　　　　　　　　　　　若需要保护某区数据，请与保护区域配合使用。 限制点的格式为 8 位的十六进制值，以表示文件偏移。 且只当标志设为1时起作用，限制标志为0时不起作用。 特别说明： 这个功能只是预留，目前测试表明没什么用处。 　　目前的版本只有文件定位功能，就不要使用限制点了。 4- 使用新算法的multiCCL版本号从 v 0.100 beta 开始。 目前只有文件定位功能。先测试BUG。 2006-05-22 v 0.017 beta-p: 再次作一小的修正，因为发现和卡巴对0.012版类似干扰， 这次是别的杀毒软件了，也不清楚原理是什么，干脆连 同干扰码一起定位了，这样还省心些。 （以后前面冒出的干扰码就不怕了， 今后的升级只要应付覆盖区冒出的干扰码就行了） 本BUG系astronomer反馈，致谢 2006-05-18 v 0.017 beta : 再次修正随机数据的生成方式，修正的效果有待测试 因为定位NOD32对彩虹桥英文1.02版的文件特征码时 发现有干扰。（感谢yxrx的测试） 　　　　　　　　　　　　　　　　2006-05-18 v 0.016 beta-p: 1-修正一个针对已找出的特征码的覆盖方式， 因为针对ewido定位时，发现特征码不断地“往前长”， 看看更改后能否通过。 (只为只是小的修正，界面上仍标识为 v 0.016 ) 感谢 honhon 的测试和反馈。 2-用LCC_win32+RadAsm重写宿主程序（内存定位用），体积 更小了。 　　　　　　　　　　　　　　　2006-05-16 v 0.016 beta : 1-修正了随机数据串的生成方式 （感谢abc27的针对NOD32的测试） 2=修正了其他已发现的次要的BUG。 2006-05-13 v 0.015 beta : 1-增加了内存定位的功能，为防止加载样本时被杀毒软件关 闭，启动了一个靶程序，用远程线程注入到宿主进程 2-当样本文件所在目录存在旧的记录文件时，程序将读取旧 记录文件中所记录的已定位出的特征码，并认可这些特 征码。 新增这个功能主要是考虑到有些杀毒软件的特征码片段 的数量很大，每次从头再来显然太浪费时间了。 尤其是相对烦琐的内存定位，万一中途意外中断， 丢弃之前的结果从头再来是不可容忍的。 3-修正了一些已发现的BUG（比较次要，不影响使用） 4-针对杀毒软件的干扰做了些应对性的改变。 2006-04-30 v 0.014 beta : 1-改用随机数据串填充，因为发现有的杀毒软件用检测填充 0来反定位（他们动作蛮快的哈） 2-把记录文件放到要定位的样本文件所在的目录下了，因为 　　　　　　　　　　　　考虑到以后杀毒软件可能会检测改写记录文件来反定位， 　　　　　　　　　　　　　和输出文件放在一起不妥。 3-修正了一处因优化中带来的定位重复造成失败的BUG 感谢frip反馈 4-增加了保护片段（或区域设置），这是为了对付NDD32这类 　　　　　　　　　　　　关联输入表的特征码。（设置方法软件会有提示的） （此功能效果有等测试，感谢111111113提供有关针对NDD32的建议） 因为此版修复和更新相对较大，就跳到0.014 版了，本来想写内存定位的， 不过这两天忙于对付杀毒软件的反定位，内存定位就留到下个版本了。 　　　　　　　　　　　　（其实很想休息几天的，有点累） 2006-04-24 v 0.012 alpha : 1-修正了记录中特征码长度多出一个字节的错误。 ( tandaiha发现 ) 2-当发现特征码片段的长度超过32byte时，就取这32位作为片段结果 反正只要篡改片段里的任何一个字节就行，定出这么长就够了， 发现有的杀毒软件的取样片段（如卡巴斯基 vs AngleShell ) 　　　　　　　　　　　　　　的长度有点不可思议，硬要找出片段的头端简直是浪费时间。 　　　　　　　　　　　所以，在分析定位结果时，特征码片段的尾端一般是精确的， 　　　　　　　　　　　　　当片段长度 <32bytes（记录中用的是十六进制的20) 时， 头端也是精确的，否则头端可能还在更前面。 反正记录结果对于修改来说，已经够用了。 2006-04-22 v 0.011 alpha : 重新排列了按键及暂停，便操作更简洁 2006-04-21 v 0.010 alpha : 原始版本，算法调试基本通过 2006-04-21
常见压缩算法简介与压缩文件格式特征
11-23
文档简单总结了常用压缩算法的特点，条理清晰，并对比介绍了常用的两种压缩文件编码格式ZIP和RAR的特征。
各种类型文件头标准编码.docx
04-10
收录各种类型文件头标准编码（ctf常用），适合学习misc的新手参考使用
经典特征码修改方法TXT文档
01-17
经典特征码修改txt文档 解压后便可观看。。。。。。。。
禁止游戏的好东东
06-02
自己写的，可以对本机内的游戏实行禁止，它的运行机制类似于杀毒软件，通过监测进程，然后查找可执行文件，然后再对文件进行特征码分析，在库中的话会直接将其进程杀死。 呼...好累。用了将近半个月的时间，头...
文件特征码的提取
05-28
文件特征码提取是指从文件中提取出具有代表性的特征码，通常用于文件分类、相似度比较、恶意软件检测等领域。常用的文件特征码提取方法主要有以下几种： 1. 哈希值提取：将文件转换成哈希值，常用的哈希算法有MD5、SHA1等，哈希值可以作为文件的唯一标识符。 2. N-gram特征提取：将文件内容转换成N-gram序列，N-gram是指连续的N个字符或单词，可以用于文本分类、恶意软件检测等领域。 3. 图像特征提取：对于图像文件，可以使用局部特征描述符提取方法，如SIFT、SURF、ORB等，提取图像的局部特征码。 4. 元数据提取：文件的元数据包括文件名、大小、创建时间、修改时间、作者、版本号等信息，这些信息可以作为文件的特征码。 下面是一个使用MD5哈希值提取文件特征码的Python代码示例： ```python import hashlib # 定义一个函数，用于计算文件的MD5哈希值 def get_file_md5(filename): with open(filename, 'rb') as f: md5_obj = hashlib.md5() while True: data = f.read(4096) if not data: break md5_obj.update(data) return md5_obj.hexdigest() # 调用函数，计算文件的哈希值 filename = 'example.txt' file_md5 = get_file_md5(filename) # 输出文件的哈希值 print(file_md5) ``` 在这个示例中，我们定义了一个`get_file_md5`函数，用于计算指定文件的MD5哈希值。然后，我们调用这个函数，传入要计算哈希值的文件名，获取文件的哈希值。最后，我们输出文件的哈希值。这个哈希值可以作为文件的特征码，用于文件的分类、相似度比较、恶意软件检测等领域。

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值