Windows PE 病毒的感染与变形技术研究 - 信息工程大学学报.PDF

Vo l. 9 No. 1 第 9 卷第 1 期 信息工程大学学报 Journal of Information Engineering University Mar.2008 2008 年 3 月 Windows PE 病毒的感染与变形技术研究 吴卉，舒辉，董卫宇 (信息工程大学信息工程学院，河南郑州 450002) 摘要:主要针对 Windows F PE 病毒的特点，结合反病毒技术，介绍并比较了 PE 病毒传统的和 EPO 的感染技术，以及加密、多态和变形技术，同时提出了改进的 EPO 感染方法和变形方法， 最后对感染与变形技术的发展趋势作了展望O 关键词:感染;变形病毒;反病毒 中固分类号:TP309.5 文献标识码:A 文章编号:1671 -0673(2008)01 -0085 -05 Infecting and Metamorphic Technology of PE Virus ßased on Windows System WU Hui , SHU Hui , DONG Wei-yu (Institute of Information Engineering , Information Engineering University , Zhengzhou 450002 , China) Abstract: This paper introduces and compares the traditional and EPO infecting technology , encryp- tion techniques , polymorphic and metamorphic technology , aims at the trait of PE virus based on Windows system , associated with the antivirus technology , brings forward the improved method of EPO infection and metamorphism , and prospects the developing trend of infecting and metamorphic technology. Key words: infection; metamorphic virus; antivirus 20 世纪 80 年代以来，计算机病毒一直严重威 文件线性的数据流结构方便了文件的组织和执行， 胁着计算机与网络系统的安全，特别是近年来，面 但同时也给病毒提供了栖身之地。 PE 病毒的感染 向 Windows 操作系统的 PE 病毒急剧增加，相关技 涉及到两个方面的问题:①获得控制权，使病毒得 术也日趋成熟。早期的病毒是使用传统的感染技 到执行;②确定病毒代码插入到文件中的位置。 术进行传播，为了增加传播速度和范围，大多数病 传统 PE 病毒感染文件的方法是在文件中添 毒开始利用系统和软件漏洞来传播。但随着补丁 加一个新节，然后向该节中添加病毒代码和病毒执 机制和防火墙的广泛使用，利用漏洞进行传播的病 行后的返回代码，并修改文件头中的程序入口点 毒很容易被扼制，因此感染又逐渐成为病毒传播的