第三章計算機病毒結構分析(1)(編輯修改稿)
2024-10-22 19:24 本頁面
【文章內(nèi)容簡介】 文件頭 其它信息 重定位表的字節(jié)偏移量 重定位表 重定位表 可重定位程序映像 二進制代碼 ? // MZ格式可執(zhí)行程序文件頭 ? struct HeadEXE ? { ? WORD wType。 // 00H MZ標志 ? WORD wLastSecSize。 // 02H 最后扇區(qū)被使用的大小 ? WORD wFileSize。 // 04H 文件大小 ? WORD wRelocNum。 // 06H 重定位項數(shù) ? WORD wHeadSize。 // 08H 文件頭大小 ? WORD wReqMin。 // 0AH 最小所需內(nèi)存 ? WORD wReqMax。 // 0CH 最大所需內(nèi)存 ? WORD wInitSS。 // 0EH SS初值 ? WORD wInitSP。 // 10H SP初值 ? WORD wChkSum。 // 12H 校驗和 ? WORD wInitIP。 // 14H IP初值 ? WORD wInitCS。 // 16H CS初值 ? WORD wFirstReloc。 // 18H 第一個重定位項位置 ? WORD wOverlap。 // 1AH覆蓋 ? WORD wReserved[0x20]。//1CH 保留 ? WORD wNEOffset。 // 3CH NE頭位置 ? }。 NE格式 ? 為了保持對 DOS的兼容性并滿足 Windows的需要， NE格式的可執(zhí)行文件中保留了 MZ格式的頭，同時 NE文件又加了一個自己的頭，之后才是可執(zhí)行文件的可執(zhí)行代碼。 NE類型包括了 EXE、 DLL、DRV和 FON四種類型的文件。 NE格式的關鍵特性是：它把程序代碼、數(shù)據(jù)、資源隔離在不同的可加載區(qū)中；藉由符號輸入和輸出，實現(xiàn)所謂的運行時動態(tài)鏈接。 NE裝載 ? 16位的 NE格式文件裝載程序（ NE Loader）讀取部分磁盤文件，并生成一個完全不同的數(shù)據(jù)結構，在內(nèi)存中建立模塊。 ? 當代碼或數(shù)據(jù)需要裝入時，裝載程序必須從全局內(nèi)存中分配出一塊，查找原始數(shù)據(jù)在文件的位置，找到位置后再讀取原始的數(shù)據(jù)，最后再進行一些修正。 ? 每一個 16位的模塊（ Module）要負責記住現(xiàn)在使用的所有段選擇符，該選擇符表示該段是否已經(jīng)被拋棄等信息。 MSDOS頭 DOS文件頭 保留區(qū)域 Windows頭偏移 DOS Stub程序 信息塊 NE文件頭 段表 資源表 駐留名表 模塊引用表 引入名字表 入口表 非駐留名表 代碼段和數(shù)據(jù)段 程序區(qū) 重定位表 3 COM文件病毒原理 ? 感染過程： – 將開始的 3個字節(jié)保存在 code中． – 將這 3個字節(jié)更改為 0E9H和 COM文件的實際大小的二進制編碼。 – 將病毒寫入原 COM文件的后邊。 – 在病毒的返回部分，將 3個字節(jié)改為 0E9H和表達式（當前地址－ COM文件的實際大小－病毒代碼大?。┑亩M制編碼，以便在執(zhí)行完病毒后轉向執(zhí)行原程序。 E9 ｘｘ ｘｘ Ｒｅｓｕｍｅ： Ｅ９ ＸＸ ＸＸ E9 ＡＡ ＡＡ ＡＡ ＡＡ ＸＸ ＸＸ 源代碼： jump 源代碼示例講解 三、 32位操作系統(tǒng)病毒示例分析 ? １ PE文件結構及其運行原理 ? ２ Win32文件型病毒編制技術 ? ３從 ring3到 ring0概述 １ PE文件結構及其運行原理 （ 1） PE文件格式總體結構 ? PE（ Portable Executable：可移植的執(zhí)行體） – 是 Win32環(huán)境自身所帶的可執(zhí)行文件格式。 – 它的一些特性繼承自 Unix的 Coff(Common Object File Format)文件格式。 – 可移植的執(zhí)行體意味著此文件格式是跨 win32平臺的，即使Windows運行在非 Intel的 CPU上，任何 win32平臺的 PE裝載器都能識別和使用該文件格式。 – 當然，移植到不同的 CPU上 PE執(zhí)行體必然得有一些改變。 ? 除 VxD和 16位的 Dll外，所有 win32執(zhí)行文件都使用 PE文件格式。因此，研究 PE文件格式是我們洞悉 Windows結構的良機。 PE文件結構總體層次分布 DOS MZ header ‘ MZ’格式頭 DOS stub Dos樁程序 PE header PE文件頭 Section table 節(jié)表 Section 1 第 1個節(jié) Section 2 第 2個節(jié) … … Section n 第 n個節(jié) – 所有 PE文件必須以一個簡單的 DOS MZ header開始。有了它，一旦程序在 DOS下執(zhí)行， DOS就能識別出這是有效的執(zhí)行體。 – DOS stub實際上是個有效的 EXE，在不支持 PE文件格式的操作系統(tǒng)中，它將簡單顯示一個錯誤提示，類似于字符串 “該程序不能在 DOS模式下運行”或者程序員可根據(jù)自己的意圖實現(xiàn)完整的 D
畢業(yè)設計相關推薦
鄂ICP備17016276號-1