DOS病毒的基本原理与DOS病毒分析.pptxVIP

DOS病毒的基本原理与DOS病毒分析第1页/共26页 主要内容病毒重定位的含义与基本方法引导型病毒的基本原理文件型病毒的基本原理感染COM文件的基本方法及COM文件病毒的清除感染EXE文件的基本方法及EXE文件病毒的清除第4章 DOS病毒的基本原理与DOS病毒分析第2页/共26页 4.1.1 病毒为什么需要重定位病毒不可避免也要用到变量(常量)，当病毒感染HOST程序后，由于其依附到不同HOST程序中的位置各有不同，病毒随着HOST载入内存后，病毒中的各个变量(常量)在内存中的位置自然也会随着发生变化4.1 病毒的重定位病毒在感染前的Var2位置病毒感染HOST后Var2的位置第3页/共26页 4.1.2 病毒如何重定位 call delta ;这条语句执行之后，堆栈顶端为delta在内存中的真正地址delta:pop ebp ;这条语句将delta在内存中的真正地址存放在ebp寄存器中 …… lea eax,[ebp+(offset var1-offset delta)] ;这时eax中存放着var1在内存中的真实地址如果病毒程序中有一个变量var1，那么该变量实际在内存中的地址应该是ebp＋(offset var1－offset delta)，即参考量delta在内存中的地址＋其它变量与参考量之间的距离=其它变量在内存中的真正地址有时候我们也采用(ebp－offset delta)＋offset var1的形式进行变量var1的重定位4.1 病毒的重定位第4页/共26页 4.2.1 引导型病毒的基本原理4.2 引导型病毒引导型病毒基本原理引导型病毒13H中断第5页/共26页 4.2.2 引导型病毒的触发与INT 13H引导型病毒的触发用染毒盘启动计算机时，引导型病毒先于操作系统获取系统控制权(被首次激活)，处于动态因首次激活时修改INT 13H入口地址使其指向病毒中断服务程序，从而处于可激活态当系统/用户进行磁盘读写时调用INT 13H，调用的实际上是病毒的中断服务程序，从而激活病毒，使病毒处于激活态病毒被激活之后，即可根据感染条件实施暗地感染、根据爆发破坏条件破坏系统并表现自己调用BIOS磁盘服务功能读写扇区调用INT 13H子功能02H读扇区调用INT 13H子功能03H写扇区4.2 引导型病毒第6页/共26页 4.2.3 引导型病毒样例分析(参见源代码)该引导型病毒，通过截流盗取INT 13H中断监视系统的运行并感染软盘引导扇区、硬盘主引导扇区感染前在相应扇区备份引导扇区/主引导扇区通过分析MBR或DBR，或将其与正常的MBR/DBR进行比较，若发现异常，可以断定感染了引导型病毒病毒修改中断向量，通过分析比较中断向量，也可发现病毒的存在4.2 引导型病毒第7页/共26页 4.2.3 引导型病毒样例分析示例病毒的清除方法比较简单，将病毒备份的扇区内容或感染前我们主动备份的引导扇区/主引导扇区内容，写入软盘引导扇区/硬盘主引导扇区即可提取引导区C:\debug-L100 盘号 0 1-n dosboot.62s-rcxCX 0000:200-W-Q覆盖引导区C:\debug-n dosboot.62s-L-w100 盘号 0 1-q4.2 引导型病毒第8页/共26页 4.2.3 引导型病毒样例分析在恢复引导区之前，应清除内存中的病毒或使内存中的病毒处于灭活状态用干净软盘引导启动系统，可以清除内存中的病毒，也可采用如下方法将内存中的病毒灭活：在无毒环境下(例如用无毒的同版本系统盘启动)，用无毒的Debug将中断向量表取出存在一个文件中 当内存中有病毒时用上述文件覆盖中断向量表。中断向量表恢复正常，内存中通过修改向量表截流盗取中断向量的病毒将无法再激活4.2 引导型病毒第9页/共26页 4.2.4 引导型病毒的特点与清除引导型病毒的几个技术要点与特点驻留内存隐形技术加密技术引导型病毒的优点隐蔽性强、兼容性强，只要编写的好，是不容易发现的通用于DOS、Windows、Windows 9x操作系统引导型病毒的缺点传染速度慢杀毒容易4.2 引导型病毒第10页/共26页 4.2.4 引导型病毒的特点与清除引导型病毒的判断与清除由于引导程序本身完成的功能比较简单，所以我们可以判断该引导程序的合法性(看JMP指令的合法性)病毒驻留在内存，时刻监视系统的运行，伺机感染。缩小内存大小值，影响读写文件速度。检查引导扇区、检查内存容量可以发现病毒如果主引导区感染了病毒，用格式化程序FORMAT不能清除该病毒(BR病毒可以用FORMAT清除)可以用FDisk/MBR命令修复MBR、清除该病毒，但可能导致