【文章內(nèi)容簡(jiǎn)介】 Executable”意味著此文件格式是跨 win32 平臺(tái)的 ： 即使 Window、運(yùn)行在非 Intel 的 CPU 上 ， 任何 win32 平臺(tái)下的 PE 裝載器都能識(shí)別和使用該文件格式。當(dāng)然 ， 移植到不同的 CPU 上 PE執(zhí)行文件必然得有一些改變。所有 win32 執(zhí)行程序 (除了 VxD 和 16 位的 DLL外 )都使用 PE 文件格式 ， 包括 NT 的內(nèi)核模式驅(qū)動(dòng)程序。 第 7 頁 共 26 頁 PE 文件主體結(jié)構(gòu)如圖 2 所示。 PE 文件使用的是一個(gè)平面地址空間 ， 所有代碼和數(shù)據(jù)都被合并在一起 ， 組成一個(gè)很大的結(jié)構(gòu)。文件的內(nèi)容被分割為不同的區(qū)塊 (Section， 又稱區(qū)段、節(jié) )，區(qū)塊中包含代碼或數(shù)據(jù) ， 各個(gè)區(qū)塊按頁邊界對(duì)齊 ， 區(qū)塊沒有大小限制 ， 是一個(gè)連續(xù)結(jié)構(gòu)。每個(gè)區(qū)塊都有它自己在內(nèi)存中的一套屬性 ， 如該區(qū)塊是否包含代碼、是否只讀或可讀 /寫等。 每一個(gè)區(qū)塊都有不同的名字 ， 這個(gè)名字用來表示區(qū)塊的功能。例如 ， 一個(gè)叫 rdata 的區(qū)塊表明它是一個(gè)只讀區(qū)塊。常見的區(qū)塊有 text， rdata， data， idata和 rsrc 等。各種塊的具體含義詳見圖 3 塊名的具體含義。 PE 文件最大的優(yōu)點(diǎn)是在磁盤上的數(shù)據(jù)結(jié)構(gòu)與內(nèi)存中的結(jié)構(gòu)是一致的 ， 如圖 4 物理結(jié)構(gòu)與內(nèi)存結(jié)構(gòu)對(duì)照?qǐng)D。 圖 2 PE文件主體結(jié)構(gòu) 第 8 頁 共 26 頁 圖 3 塊名與對(duì)應(yīng)的解釋 圖 4 物理結(jié)構(gòu)與內(nèi)存結(jié)構(gòu) 特征碼 選擇與采集 特征碼 采集的好壞直接影響到整個(gè)實(shí)驗(yàn)的結(jié)果 ， 如果所采集的樣本具有一定的普遍性和代表性的話 ， 那么理論值與實(shí)際值差別不會(huì)有很大出入 ， 甚至直接應(yīng)用到產(chǎn)品中去 ； 如果 木馬特征碼特性 帶有局部性 ， 不能代表一般性的話 ，即使得出結(jié)論 ， 也會(huì)使實(shí)驗(yàn) 結(jié)果與實(shí)際產(chǎn)生很 大的偏離。所以采集特征碼的方式在本工具中被列為了重點(diǎn)。本工具 的根本目的是要找出木馬文件在文件靜態(tài)特征上的特征 ， 即文件在執(zhí)行以前所具有的特征差異 ， 重點(diǎn)是木馬文件的靜態(tài)特性。所以在選擇 特征碼 時(shí) ， 既要選擇有代表性的 PE 文件 ， 又要滿足一定的數(shù)量。 特征碼庫的設(shè)計(jì) 由于是簡(jiǎn)單木馬的查殺 ， 所以直接采用了 ini 文件手動(dòng)設(shè)置特征碼庫 ， 特征碼庫 ini 文件如圖 5。 注 ： [mnum]的 值 代表收錄的木馬特征碼個(gè)數(shù) ； 第 9 頁 共 26 頁 [n]代表的是具體第 n+1 個(gè)病毒； Name 代表的是木馬文件的文件名； Size 代表的是木馬文件的文件大小 (以 byte 計(jì)算 )； MD5 代表的是木馬文件的 MD5 值； 圖 5 特征碼庫的具體格式 信息摘要技術(shù)中的 MD5 算法 MD5 的全稱是 MessageDigest algorithm 5， MD5 是一種不可逆的 算法 ， 即對(duì)生成的密文求逆 ， 對(duì)應(yīng)著無窮個(gè)逆。在 90 年代初山 MIT Laboratory for Computer Science(IT 計(jì)算機(jī)科學(xué)實(shí)驗(yàn)室 )和 RSA Data Security（ RSA 數(shù)據(jù)安全公司 )的 Ronald 開發(fā)出來 ， 經(jīng) MD2， MD3 和 MD4 發(fā)展而來。它的作用是讓大容量信息在用 數(shù)字簽名軟件簽署私人密鑰前被“壓縮”成一種保密的格式 (就是把一個(gè)任意長度的字節(jié)串變換成一定長的大整數(shù) )。 不管是 MD2， MD4還 是 MD5， 它們都需要獲得一個(gè)隨機(jī)長度的信息 ， 產(chǎn)生一個(gè) 128 位的信息摘要。雖然這些算法的結(jié)構(gòu)或多或少有些相似 ， 但是 MD2 的設(shè)計(jì)與 MD4 和 MD5 完全 不 同 ， 是因?yàn)?MD2 是為 8 位機(jī)器做過設(shè)計(jì)優(yōu)化的 ， 而 MD4 和 MD5 卻是而向 32 位的電腦。這三個(gè)算法的描述和 C 語言源代碼在 Inter rfcs1321 中有詳細(xì)的描述 ， 這是一份最具權(quán)威的文檔 ， 由 Ronald 在 1992 年 8 月向 IFFT提 交。 和 Wiener 曾經(jīng)考慮過一個(gè)在散列中暴力搜尋沖突的函數(shù)(bruteforce hash function)， 而目他們猜測(cè)一個(gè)被設(shè)計(jì)專門用來搜索 MD5 沖突的機(jī)器 (這臺(tái)機(jī)器在 1994 年的制造成 本 大約是一百萬美元 )可以平均每 24 天就找 第 10 頁 共 26 頁 到一個(gè)沖突 ， 但從 1991 年到 2021 年這 10 年間 ， 竟沒有出現(xiàn)替代 MD5 算法的MD6 或被叫做其他什么名字的新算法這一點(diǎn) ， 我們就可以看出這個(gè)瑕疵沒有太多的影響 MD5 的安全性。上而所有這些都不足以成為 MD5 的在實(shí)際應(yīng)用中的問題 ， 并且由于 MD5 算法的使 用不需要支付任何版權(quán)費(fèi)用的 ， 所以在一般的情況下 (非絕密應(yīng)用領(lǐng)域 ， 但即便是應(yīng)用在絕密領(lǐng)域內(nèi) ， MD5 也不失為一種非常優(yōu)秀的中間技術(shù) )， MD5 怎么都應(yīng)該算得上是非常安全的了。 MD5 算法的原理及應(yīng)用 MessageDigest 泛指字節(jié)串 (Message)的 Hash 變換 ， 就是把一個(gè)任意長度的字節(jié)串變換成一定長的大整數(shù)。請(qǐng)注意我使用了 “字節(jié)串 ”而不是 “字符串 ”這個(gè)詞 ， 是因?yàn)檫@種變換只與字節(jié)的值有關(guān) ， 與字符集或編碼方式無關(guān)。 MD5 將任意長度的 “字節(jié)串 ”變換成一個(gè) 128bit 的大整數(shù) ， 并且它是一個(gè)不可逆的字符串變換算 法 ， 換句話說就是 ， 即使看到源程序和算法描述 ， 也無法將一個(gè) MD5的值變換回原始的字符串 ， 從數(shù)學(xué)原理上說 ， 是因?yàn)樵嫉淖址袩o窮多個(gè) ，這有點(diǎn)像不存在反函數(shù)的數(shù)學(xué)函數(shù)。 MD5 的典型應(yīng)用是對(duì)一段 Message(字節(jié)串 )產(chǎn)生 fingerprint(指紋 )， 以防止被 “篡改 ”。舉個(gè)例子 ， 將一段話寫在一個(gè)叫 文件中 ， 并對(duì)這個(gè) 產(chǎn)生一個(gè) MD5 的值并記錄在案 ， 然后可以傳播這個(gè)文件給別人 ， 別人如果修改了文件中的任何內(nèi)容 ， 對(duì)這個(gè)文件重新計(jì)算 MD5 時(shí)就會(huì)發(fā)現(xiàn)。如果再有一個(gè)第三方的認(rèn)證機(jī)構(gòu) ， 用 MD5 還可以防止文件作者的 “抵賴 ”， 這就是所謂的數(shù)字簽名應(yīng)用。 MD5 的應(yīng)用非常廣泛 ， 如加密和解密技術(shù)等等。在 認(rèn)證中 ， EAP－ MD5 認(rèn)證采用 MD5 算法 ， 用戶密碼不以明文方式在網(wǎng)上傳輸 ，從而保證了認(rèn)證信息的安全。同時(shí) ， 它還被應(yīng)用于加密和解密技術(shù)上 ， 譬如在Unix 系統(tǒng)中用戶的密碼就是使用 MD5 算法（或其他類似的算法）加密后存儲(chǔ)在文件系統(tǒng)中。當(dāng)用戶登錄的時(shí)候 ， 系統(tǒng)把用戶輸入的密碼計(jì)算成 MD5 值 ， 然后再去和保存在文件系統(tǒng)中的 MD5 值進(jìn)行比較 ， 進(jìn)而確定輸入的密碼是否正確。通過這樣的步驟 ， 系統(tǒng)在并不知道用戶明文 密碼的情況下就可以確定用戶登錄的合法性 ， 也就是說 ， 用戶的密碼是以 MD5 值（或類似的其它算法）的方式保存的 ， 用戶 Login 的時(shí)候 ， 系統(tǒng)是把用戶輸入的密碼計(jì)算成 MD5 值 ， 然后再去和系統(tǒng)中保存的 MD5 值進(jìn)行比較 ， 而系統(tǒng)并不 “知道 ”用戶的密碼是什么。這樣不但可以避免普通用戶的密碼被系統(tǒng)管理員知道 ， 而且還在一定程度上增加了密碼被破解的難度。另外 ， 大家比較熟悉的即時(shí)通信軟件 MyIM 也使用MD5 算法。利用 MD5 算法來進(jìn)行文件校驗(yàn)的方案 ， 被大量應(yīng)用在軟件下載站點(diǎn)、論壇數(shù)據(jù)庫和系統(tǒng)文件安全等方面。 第 11 頁 共 26 頁 MD5 作特征碼簡(jiǎn)介 本文 描述了 MD5 報(bào)文摘要算法 ， 此算法將對(duì)輸入的任意長度的信息進(jìn)行計(jì)算 ， 產(chǎn)生一個(gè) 128 位長度的 “指紋 ”或 “報(bào)文摘要 ”， 假定兩個(gè)不同的文件產(chǎn)生相同的報(bào)文摘要或由給定的報(bào)文摘要產(chǎn)生原始信息在計(jì)算上是行不通的。 MD5 算法適合用在文件判定應(yīng)用中 ， 在此應(yīng)用中 ， 一個(gè)大的文件必須在類似 RSA 算法的公用密鑰系統(tǒng)中用私人密鑰加密前被 “壓縮 ”在一種安全模式下。 MD5 算法能在 32 位機(jī)器上能以很快的速度運(yùn)行。 MD5 的作用是對(duì)一段信息 (message)生成信息摘要 (messagedigest)， 該摘要對(duì)該信息具有唯一性 ， 可以作為特征碼。 用于驗(yàn)證文件的有效性 (是否有丟失或損壞的數(shù)據(jù) )， 對(duì)木馬 文件 的判定 ， 在哈希函數(shù)中計(jì)算散列值輸入一個(gè)任意長度的字節(jié)串 ， 生成一個(gè) 128 位的整數(shù)。由于算法的某些不可逆特征 ， 在加密應(yīng)用上有較好的安全性。并且 ， MD5 算法的使用不需要支付任何版權(quán)費(fèi)用。唯一性和不可逆性都不是絕對(duì)的 ， 從理論上分析是一種多對(duì)一的關(guān)系 ， 但兩個(gè)不同的信息產(chǎn)生相同摘要的概率很小。不可逆是指從輸出 結(jié)果中 反推輸入所需的運(yùn)算量和計(jì)算時(shí)間太大 ， 使用窮舉字典的方法又需要太多的存儲(chǔ)空間。所以用 MD5 來作為特征碼是很有高效性和穩(wěn)定性的。 2 需求分析及 方案設(shè)計(jì) 本 工具 要完成的功能 本工具的運(yùn)行是基于 Windows 平臺(tái)的，選用所熟悉的開發(fā)工具及開發(fā)環(huán)境進(jìn)行本工具 的設(shè)計(jì)與開發(fā)。 設(shè)計(jì)開發(fā)一個(gè) 木馬檢測(cè)工具 ，本設(shè)計(jì)要求實(shí)現(xiàn)部分功能 —— （ 1）能對(duì)特征碼庫進(jìn)行設(shè)置；（ 2）本工具能自動(dòng)的讀取特征碼庫中的特征碼；（ 2）本工具能檢測(cè)指定盤符的文件，并進(jìn)行相應(yīng)的檢測(cè)。（ 4）本工具能進(jìn)行的檢測(cè)有普通查殺和特征碼查殺。 環(huán)境需求 操作系統(tǒng)： Windows XP SP2 開發(fā)平臺(tái)： Visual C++ 可行性研究 本程序的開發(fā)利用 Visual C++作為開發(fā)工具。使用其作為程序的開發(fā) 工具，是因?yàn)樗捎妹嫦驅(qū)ο蟮木幊谭椒?把程序和數(shù)據(jù)封裝起來作為一個(gè)對(duì)象，并為每個(gè)對(duì)象賦予相應(yīng)的屬性；事件驅(qū)動(dòng)的編程機(jī)制 通過事件執(zhí)行對(duì)象的操作，在設(shè)計(jì)應(yīng)用程序時(shí)，不必建立具有明顯的開始和結(jié)束的程序，而是編寫若干個(gè)過程，通過這些過程執(zhí)行指定的操作；提供完善的指令控制語句，給開發(fā) 第 12 頁 共 26 頁 高性能的系統(tǒng)提供了保障，保證了代碼的模塊化要求，而且 Visual C++本身就自帶一些庫函數(shù)能夠提供一些功能，更利于本工具的開發(fā)。 3 木馬查殺功能的實(shí)現(xiàn) 工具模塊介紹 模塊 一 ：驅(qū)動(dòng)器的選擇 ， 該模塊可以選擇機(jī)器上所以本地硬盤和移動(dòng) 盤 模塊二：普通查殺的選擇 ， 即快速查殺 ， 通過比較文件名和文件大小來查殺。 模塊三：特征碼查殺的選擇 ， 即 MD5 特征碼查殺 ， 通過讀取特征庫里的數(shù)據(jù)與文件特征碼進(jìn)行比較來進(jìn)行查殺。 模塊四：顯示查殺成功的文件。 模塊五：顯示正在查殺的文件夾。 圖 6 木馬查殺工具的功能模塊界面 木馬特征碼的讀取 由于本工具用的是 ini 文件作為特征庫文件 ， 所以木馬查殺工具開始運(yùn)行第一件事就是對(duì)特征庫文件的讀取 ， 獲得病毒的特征碼。讀取的方法是首先打開和工具同一目錄下的 文件 ， 首先讀取得到總共的病毒數(shù) ， 然后依次循環(huán)讀出 每個(gè) section 下的屬性值 ， 即對(duì)應(yīng)的文件的 name 屬性和 size 屬性 ， 也就是文件名和文件大小。下是基于 ini 特征庫文件讀取的代碼： CString CIniFile::GetFileString(CString Section, CString Item, CString Value) { 第 13 頁 共 26 頁 ReadIniFile()； //打開文件 if(bFileExist == FALSE || () 0) return Value； //文件打開出錯(cuò)或文件為空 ， 返回 默認(rèn)值 int i = 0； int iFileLines = ()； CString strline,str； while(iiFileLines) { strline = (i++)； ()； if((0)==39。[39。)//查找 Section， 第一個(gè)必須為 [ { str=((]))； //去掉 ]右邊 str=(()([)1)； //去掉 [左邊 ()； ()； if(Section == str)//找到 Section { while(iiFileLines) { strline = (i++)； ()； if((0)==39。[39。) return Value； //如果到達(dá)下一個(gè) []， 即找不到 ， 返回默認(rèn)值 str = ((=))； //去掉 =右邊 ()； ()； if(Item == str)//找到 Item { str=(()(=)1)； //去掉 =左邊 ()； ()； return str； 第 14 頁 共 26 頁 } } return Value； //找不到 ， 返回默認(rèn)值 } } } return Value； //找不到 ， 返回默認(rèn)值 } 獲得文件 MD5 特征碼 本工具使用