病毒分析03讲.ppt

文档介绍：病毒分析第3讲
授课教师:赵树升
授课日期:2012
1、PE病毒原理
2、PE病毒常用技术
3、防PE病毒方法
4、编写专杀工具
5、恶意程序与流氓软件
赵树升计算机病毒分析 2012
赵树升计算机病毒分析 2012
1、Windows文件病毒:PE病毒
病毒可能以三种方式对PE文件进行修改,也可能进行压缩或加密。修改的三种方式分别为添加节、扩展节和插入节,下面分别介绍其原理,并以相应的代码予以说明。
赵树升计算机病毒分析 2012
(1) 添加节感染
所谓添加节就是在文件的最后建立一个新节,同时在节表结构的后面建立一个节表,用以描述该节。程序的入口地址被修改为指向最后含有病毒代码的节。原理如图1。
我们先演示一个程序,在图2中显示有5个可执行文件,其大小分别为4K、20K、55K、11K、16K字节。有一天,发现该目录下有几个文件感染了SD-1号病毒,程序运行时先弹出一个信息框,如图3,再运行原来的程序,同时发现病毒在同目录下修改了一个文件。再观察目录下文件大小的变化,如图4。可以看到,,。它们的字节数增加了,其它两个可执行文件大小没有变化,运行也没有感染。可见,该种感染方式修改了可执行文件大小
赵树升计算机病毒分析 2012
赵树升计算机病毒分析 2012
赵树升计算机病毒分析 2012
感染前结构
赵树升计算机病毒分析 2012
感染后结构
赵树升计算机病毒分析 2012