計算機病毒原理與防范基礎(編輯修改稿)
2025-06-22 18:27 本頁面
【文章內(nèi)容簡介】 DOS/WINDOWS系統(tǒng)操作系統(tǒng)中共使用了 6種不同的文件系統(tǒng)： FAT1 FAT1 FAT3 NTFS、 、 WinFS。 LINUX系統(tǒng)使用的 主要是 Ext Ext3，也能識別 FAT16分區(qū)。 FAT12：文件名只能是 ；磁盤容量最大 8M；文件磁片嚴重 HAT16:大容量磁盤利用率低；分區(qū)創(chuàng)建的越大，造成的浪費越大。 FAT32：文件分配表擴大后，速度減慢；不能向下兼容；當分區(qū) 小于 512M時，該格式不起作用，單個文件不能超過 4G。 NTFS：有出色的安全性和穩(wěn)定性，且不易產(chǎn)生故善人碎片，對用戶權限有非常嚴格的限制。但兼容性不好 ：可支持 2T的分區(qū)，是可恢復的文件系統(tǒng)；支持對分區(qū)、 文件夾和文件的壓縮以及動態(tài)分區(qū)。 WinFS:建立在 NTFS文件系統(tǒng)之上。請上微軟官方網(wǎng)站查看。 Ext2：是 LINUX/GUN系統(tǒng)中的標準文件系統(tǒng)。存取文件性能好。 Ext3：是上述系統(tǒng)的下一代，目前離實用階段還的一段距離。是一個日志式文件系統(tǒng)。 在 Windows9x、 NT、 2022下，所有的 Win32可執(zhí)行文件 (除 VxD與 DLL)都是基于 Microsoft設計的一種新的文件格式：可移植的執(zhí)行體 ,即 PE格式。該格式的一些特性源自 UNIX的 COFF(命令目標文件 )文件格式。 Windows下感染可執(zhí)行文件的病毒，就必須對 PE格式的可執(zhí)行文件進行修改。 PE文件結(jié)構(gòu)格式如下： Home Page Game Directions MZ MSDOS頭部 MSDOS實模式殘余程序（ DOS stub) PE\0\0 PE文件標志 PE文件頭 PE文件可選頭部 節(jié)表（ section table) 節(jié) 1 節(jié) 2 節(jié) 3 ?? 節(jié) n PE文件格式 API函數(shù)進行 文件搜索 算法進行搜索 地址 ,在其附近搜 索 Kernel32模塊 基地址 分別給出固定的 Kernel32模塊基 地址 我們在編程用常量和變量 時，一般直接用名字訪問 , 編譯后通過偏移地址訪問 , 而計算機病毒在感染宿主 程序時 ,要插入到宿主程序 的代碼空間 ,肯定要用到變 量和常量 .當病毒感染 host 程序后 ,由于依附到 host程 序中的位置不同 ,病毒隨 host載入內(nèi)存后 ,病毒的各 變量常量在內(nèi)存中的位置 自然也隨之變化 .病毒必須 采用重定位技術才能使自己 正常運行 WIN32病毒分析 PE病毒的 重定位技術 獲取 API 函數(shù)地址 感染目標搜索 概 念 組 成 分 類 特 征 植入方法 特 洛 伊 木馬 一種能夠在受害者毫無察覺的情況下滲透到系統(tǒng)的代碼 硬件部分 軟件部分 具體連接部分 遠程控制型 密碼發(fā)送型 鍵盤記錄型 毀壞型 FTP型 多媒體型 隱蔽性 自動運行性 欺騙性
規(guī)章制度相關推薦
鄂ICP備17016276號-1