計(jì)算機(jī)病毒原理與防范基礎(chǔ)(編輯修改稿)
2025-06-22 18:27 本頁(yè)面
【文章內(nèi)容簡(jiǎn)介】 DOS/WINDOWS系統(tǒng)操作系統(tǒng)中共使用了 6種不同的文件系統(tǒng)： FAT1 FAT1 FAT3 NTFS、 、 WinFS。 LINUX系統(tǒng)使用的 主要是 Ext Ext3，也能識(shí)別 FAT16分區(qū)。 FAT12：文件名只能是 ；磁盤容量最大 8M；文件磁片嚴(yán)重 HAT16:大容量磁盤利用率低；分區(qū)創(chuàng)建的越大，造成的浪費(fèi)越大。 FAT32：文件分配表擴(kuò)大后，速度減慢；不能向下兼容；當(dāng)分區(qū) 小于 512M時(shí)，該格式不起作用，單個(gè)文件不能超過(guò) 4G。 NTFS：有出色的安全性和穩(wěn)定性，且不易產(chǎn)生故善人碎片，對(duì)用戶權(quán)限有非常嚴(yán)格的限制。但兼容性不好 ：可支持 2T的分區(qū)，是可恢復(fù)的文件系統(tǒng)；支持對(duì)分區(qū)、 文件夾和文件的壓縮以及動(dòng)態(tài)分區(qū)。 WinFS:建立在 NTFS文件系統(tǒng)之上。請(qǐng)上微軟官方網(wǎng)站查看。 Ext2：是 LINUX/GUN系統(tǒng)中的標(biāo)準(zhǔn)文件系統(tǒng)。存取文件性能好。 Ext3：是上述系統(tǒng)的下一代，目前離實(shí)用階段還的一段距離。是一個(gè)日志式文件系統(tǒng)。 在 Windows9x、 NT、 2022下，所有的 Win32可執(zhí)行文件 (除 VxD與 DLL)都是基于 Microsoft設(shè)計(jì)的一種新的文件格式：可移植的執(zhí)行體 ,即 PE格式。該格式的一些特性源自 UNIX的 COFF(命令目標(biāo)文件 )文件格式。 Windows下感染可執(zhí)行文件的病毒，就必須對(duì) PE格式的可執(zhí)行文件進(jìn)行修改。 PE文件結(jié)構(gòu)格式如下： Home Page Game Directions MZ MSDOS頭部 MSDOS實(shí)模式殘余程序（ DOS stub) PE\0\0 PE文件標(biāo)志 PE文件頭 PE文件可選頭部 節(jié)表（ section table) 節(jié) 1 節(jié) 2 節(jié) 3 ?? 節(jié) n PE文件格式 API函數(shù)進(jìn)行 文件搜索 算法進(jìn)行搜索 地址 ,在其附近搜 索 Kernel32模塊 基地址 分別給出固定的 Kernel32模塊基 地址 我們?cè)诰幊逃贸Ａ亢妥兞? 時(shí)，一般直接用名字訪問(wèn) , 編譯后通過(guò)偏移地址訪問(wèn) , 而計(jì)算機(jī)病毒在感染宿主 程序時(shí) ,要插入到宿主程序 的代碼空間 ,肯定要用到變 量和常量 .當(dāng)病毒感染 host 程序后 ,由于依附到 host程 序中的位置不同 ,病毒隨 host載入內(nèi)存后 ,病毒的各 變量常量在內(nèi)存中的位置 自然也隨之變化 .病毒必須 采用重定位技術(shù)才能使自己 正常運(yùn)行 WIN32病毒分析 PE病毒的 重定位技術(shù) 獲取 API 函數(shù)地址 感染目標(biāo)搜索 概 念 組 成 分 類 特 征 植入方法 特 洛 伊 木馬 一種能夠在受害者毫無(wú)察覺的情況下滲透到系統(tǒng)的代碼 硬件部分 軟件部分 具體連接部分 遠(yuǎn)程控制型 密碼發(fā)送型 鍵盤記錄型 毀壞型 FTP型 多媒體型 隱蔽性 自動(dòng)運(yùn)行性 欺騙性
規(guī)章制度相關(guān)推薦
鄂ICP備17016276號(hào)-1