一、 序

　　杀毒软件检测木马，后门等黑器时，最传统也是最有效的方法之一是特征码比较。越是名气大的黑器越是被追杀的体无完肤。有时候好不易突破了对方防火墙的堵截，想传个心爱的后门过去，可立足未稳就已经被对方的杀毒软件枪毙了。当然，各种加壳软件能在一定程度上减小后门被发现的可能性，但现在杀毒软件自动脱壳的功能越来越强，给文件加壳终究是一种治标不治本的方法。因此，最好还是能从程序本身入手，将特征码找出来并修改掉，就算不加壳也能确保不被查杀。不放心的话，再加个极品壳，来个双保险，岂不爽哉！

　　二、 基本原理

　　想要修改特征码就必须先找出它的所在。冰狐兄有篇名为《杀毒软件能奈我何——网络神偷特征码修改实战》的文章介绍了字节替换的原理，总结起来就一句话：如果文件中的特征码被我们填入的数据（比如0）替换了，那杀毒软件就不会报警，以此确定特征码的位置。这个方法简单而有效，但是手动操作起来工作量太大。受作者启发，我编写了个小程序来自动实现特征码定位的功能。

　　三、 参数设置和注意事项

　　CCL的原理是将原文件中部分字节替换为0，然后生成新文件，再根据杀毒软件来检测这些文件的结果判断特征码的位置。使用CCL之前应该先设置一下参数，包括操作方式是自动还是手动，生成文件的路径。

　　自动操作时，有一个参数很重要，就是每生成一个文件等待的秒数。因为我们要保证杀毒软件在这个几秒钟内对替换过的文件进行了检测，并能删除该文件（如果含特征码的话），然后CCL根据刚才的生成文件是否被删除来决定下面的操作。如果间隔时间过短，杀毒软件没有来得及检测，CCL就进入了下一轮操作，嘿嘿，轻者判断结果出错，重者系统很可能会崩溃的！建议先把时间设大一些，比如7到10秒。

　　应该明确的是，这种检测对已加壳的文件是无效的，因为带壳文件被替换的字节不是原程序的真身，而是加壳后的数据。不多说了，下面进入实战演练！