第三章計(jì)算機(jī)病毒結(jié)構(gòu)分析(1)(編輯修改稿)
2024-10-22 19:24 本頁(yè)面
【文章內(nèi)容簡(jiǎn)介】 文件頭 其它信息 重定位表的字節(jié)偏移量 重定位表 重定位表 可重定位程序映像 二進(jìn)制代碼 ? // MZ格式可執(zhí)行程序文件頭 ? struct HeadEXE ? { ? WORD wType。 // 00H MZ標(biāo)志 ? WORD wLastSecSize。 // 02H 最后扇區(qū)被使用的大小 ? WORD wFileSize。 // 04H 文件大小 ? WORD wRelocNum。 // 06H 重定位項(xiàng)數(shù) ? WORD wHeadSize。 // 08H 文件頭大小 ? WORD wReqMin。 // 0AH 最小所需內(nèi)存 ? WORD wReqMax。 // 0CH 最大所需內(nèi)存 ? WORD wInitSS。 // 0EH SS初值 ? WORD wInitSP。 // 10H SP初值 ? WORD wChkSum。 // 12H 校驗(yàn)和 ? WORD wInitIP。 // 14H IP初值 ? WORD wInitCS。 // 16H CS初值 ? WORD wFirstReloc。 // 18H 第一個(gè)重定位項(xiàng)位置 ? WORD wOverlap。 // 1AH覆蓋 ? WORD wReserved[0x20]。//1CH 保留 ? WORD wNEOffset。 // 3CH NE頭位置 ? }。 NE格式 ? 為了保持對(duì) DOS的兼容性并滿足 Windows的需要， NE格式的可執(zhí)行文件中保留了 MZ格式的頭，同時(shí) NE文件又加了一個(gè)自己的頭，之后才是可執(zhí)行文件的可執(zhí)行代碼。 NE類(lèi)型包括了 EXE、 DLL、DRV和 FON四種類(lèi)型的文件。 NE格式的關(guān)鍵特性是：它把程序代碼、數(shù)據(jù)、資源隔離在不同的可加載區(qū)中；藉由符號(hào)輸入和輸出，實(shí)現(xiàn)所謂的運(yùn)行時(shí)動(dòng)態(tài)鏈接。 NE裝載 ? 16位的 NE格式文件裝載程序（ NE Loader）讀取部分磁盤(pán)文件，并生成一個(gè)完全不同的數(shù)據(jù)結(jié)構(gòu)，在內(nèi)存中建立模塊。 ? 當(dāng)代碼或數(shù)據(jù)需要裝入時(shí)，裝載程序必須從全局內(nèi)存中分配出一塊，查找原始數(shù)據(jù)在文件的位置，找到位置后再讀取原始的數(shù)據(jù)，最后再進(jìn)行一些修正。 ? 每一個(gè) 16位的模塊（ Module）要負(fù)責(zé)記住現(xiàn)在使用的所有段選擇符，該選擇符表示該段是否已經(jīng)被拋棄等信息。 MSDOS頭 DOS文件頭 保留區(qū)域 Windows頭偏移 DOS Stub程序 信息塊 NE文件頭 段表 資源表 駐留名表 模塊引用表 引入名字表 入口表 非駐留名表 代碼段和數(shù)據(jù)段 程序區(qū) 重定位表 3 COM文件病毒原理 ? 感染過(guò)程： – 將開(kāi)始的 3個(gè)字節(jié)保存在 code中． – 將這 3個(gè)字節(jié)更改為 0E9H和 COM文件的實(shí)際大小的二進(jìn)制編碼。 – 將病毒寫(xiě)入原 COM文件的后邊。 – 在病毒的返回部分，將 3個(gè)字節(jié)改為 0E9H和表達(dá)式（當(dāng)前地址－ COM文件的實(shí)際大?。《敬a大?。┑亩M(jìn)制編碼，以便在執(zhí)行完病毒后轉(zhuǎn)向執(zhí)行原程序。 E9 ｘｘ ｘｘ Ｒｅｓｕｍｅ： Ｅ９ ＸＸ ＸＸ E9 ＡＡ ＡＡ ＡＡ ＡＡ ＸＸ ＸＸ 源代碼： jump 源代碼示例講解 三、 32位操作系統(tǒng)病毒示例分析 ? １ PE文件結(jié)構(gòu)及其運(yùn)行原理 ? ２ Win32文件型病毒編制技術(shù) ? ３從 ring3到 ring0概述 １ PE文件結(jié)構(gòu)及其運(yùn)行原理 （ 1） PE文件格式總體結(jié)構(gòu) ? PE（ Portable Executable：可移植的執(zhí)行體） – 是 Win32環(huán)境自身所帶的可執(zhí)行文件格式。 – 它的一些特性繼承自 Unix的 Coff(Common Object File Format)文件格式。 – 可移植的執(zhí)行體意味著此文件格式是跨 win32平臺(tái)的，即使Windows運(yùn)行在非 Intel的 CPU上，任何 win32平臺(tái)的 PE裝載器都能識(shí)別和使用該文件格式。 – 當(dāng)然，移植到不同的 CPU上 PE執(zhí)行體必然得有一些改變。 ? 除 VxD和 16位的 Dll外，所有 win32執(zhí)行文件都使用 PE文件格式。因此，研究 PE文件格式是我們洞悉 Windows結(jié)構(gòu)的良機(jī)。 PE文件結(jié)構(gòu)總體層次分布 DOS MZ header ‘ MZ’格式頭 DOS stub Dos樁程序 PE header PE文件頭 Section table 節(jié)表 Section 1 第 1個(gè)節(jié) Section 2 第 2個(gè)節(jié) … … Section n 第 n個(gè)節(jié) – 所有 PE文件必須以一個(gè)簡(jiǎn)單的 DOS MZ header開(kāi)始。有了它，一旦程序在 DOS下執(zhí)行， DOS就能識(shí)別出這是有效的執(zhí)行體。 – DOS stub實(shí)際上是個(gè)有效的 EXE，在不支持 PE文件格式的操作系統(tǒng)中，它將簡(jiǎn)單顯示一個(gè)錯(cuò)誤提示，類(lèi)似于字符串 “該程序不能在 DOS模式下運(yùn)行”或者程序員可根據(jù)自己的意圖實(shí)現(xiàn)完整的 D
畢業(yè)設(shè)計(jì)相關(guān)推薦
鄂ICP備17016276號(hào)-1