毕业设计（论文）简述PE病毒在WINDOWS下的实现

1、简述pe病毒在windows下的实现摘要在计算机病毒技术与反病毒技术激烈斗争的今天，病毒技术的复杂多变，发展迅速给计算机用户同时也给反病毒技术带了巨大的挑战。本文详细剖析了时下较流行的windows 32位操作系统平台下最为常见的pe病毒机制，配合以代码实现的方式，从一个病毒编写者的角度展示病毒基本原理，并以此为契机从而做到更好的防范病毒。第一部分分别介绍了windows病毒的基本原理、分类，并着重介绍pe病毒基本原理，基本机制；第二部分则根据pe病毒原理用编写实际代码的方式实现一个感染正常exe文件(如winrar.exe)、关机并通过u盘传播等功能的病毒程序；第三部分则通过功能测试(白盒测

2、试)、杀毒软件测试，总结并展望病毒技术；最后通过此次课题的研究成果，结合当今主流反病毒技术，总结windows pe病毒防范技术。关键字：windows病毒；pe病毒；反病毒技术；pe文件格式；pe病毒实现the research and implementation of pe documentary virus base on win32 platformabstractnowadays, computer virus technology is growing rapidly as fast as development speed of anti-virus technology.co

3、mputer virus technology is becoming complex and changing rapidly. it brings enormous challenges to anti-virus technology. this paper analyzes the most common pe virus mechanism base on win32 platform that is explained by the way of code realization. the article also demonstrates the basic mechanism

4、of virus from the perspective of the virus creator and gives the suggestion to achieve a better anti-virus result. at the beginning, the article introduces the basic knowledge of windows virus and classification. this part highlights the basic tenets of pe virus and basic mechanism. the second part

5、compiles the code realization according to the principles. it can infect an exe program (e.g. winrar.exe) and spread by u disk. the third part shows the result of passing the test (white box testing) and makes the summary and forecast. the last part summarizes the windows pe anti-virus technology th

6、rough the research on this topic with mainstream anti-virus technology.key words:windows virus; pe virus; anti-virus technology; pe format; implementation of virus program目录 论文总页数32页1引言12计算机病毒概述12.1计算机病毒的定义12.2计算机病毒的基本性质与本质23 windows病毒43.1windows病毒分类43.1.1pe病毒43.1.2脚本病毒43.1.3宏病毒43.2 pe病毒原理43.2.1 pe文

7、件格式43.2.2检验pe文件的有效性73.2.3病毒重定位83.2.4获取api函数地址93.2.5文件操作124 windows pe文件病毒的研究及实现144.1病毒程序实现144.1.1病毒程序编写背景144.1.2病毒程序基本功能介绍154.1.3病毒程序编写环境154.1.4病毒程序简要流程框图154.1.5病毒程序主模块-jerry.asm164.1.6病毒程序搜索api函数模块-searchapi.asm164.1.7病毒程序感染exe文件模块-modify_pe.asm174.1.8病毒程序感染及u盘传播模块-effectu.asm204.1.9病毒程序发作模块-burst.

8、asm214.2病毒程序测试224.2.1病毒程序测试环境224.2.2病毒程序测试过程234.2.2病毒程序测试结果244.3病毒程序总结分析284.3.1病毒传播能力分析284.3.2病毒潜伏能力分析284.3.3病毒破坏能力分析284.3.4病毒程序自我总结284.3.5病毒程序完善方向29结 论29参考文献291引言随着计算机和互联网技术的快速发展，计算机正走进社会的各个领域，走进千家万户，计算机系统已经能够实现生活、管理、办公的自动化，成为人类社会不可或缺的一部分。然而，计算机系统并不安全，其不安的因素有计算机系统自身的、自然不可抗拒的，也有人为的。计算机病毒就是最不安全因素之一。计

9、算机病毒是计算机技术和以计算机为核心的社会信息化进程发展到一定阶段的必然产物，是计算机犯罪的一种的新的衍化形式。自从第一例计算机病毒出现以来，随着计算机技术、网络技术的迅猛发展，计算机病毒也日益猖獗，成为了计算机网络安全、信息安全最大公害。各种计算机病毒的产生和蔓延，已经给计算机系统安全造成了巨大的威胁和损害，其造成的计算机资源的损失和破坏，不但会造成资源和财富的巨大浪费，而且有可能造成社会性的灾难，正因为如此，我们就应坚决地走到反病毒的行列中来。我们研究病毒，最终目的是为了消灭病毒。大多数计算机用户对病毒不了解才会造成病毒的横行，对于精通病毒原理的人来说，病毒是毫无攻击力的。我们要做到彻底地

10、消灭病毒，那么就不能全依靠少数编写杀毒软件的人，而是要做到了解病毒基本原理，了解病毒只是为了认识病毒，消除对病毒的恐惧心理，最终达到能够防毒、清除病毒的目的。所以对于病毒基本原理的学习，对计算机病毒编写的学习是非常有意义的。windows pe病毒是所有病毒中数量极多、破坏性极大的、技巧性最强的一类病毒。譬如cih、funlove、中国黑客等。本文就以此类病毒为突破口，从基本原理到病毒代码的编写测试，完成一个基本的windows pe病毒模型，从而更加了解pe病毒，更好的防治病毒。本文第一部分介绍计算机基本知识；第二部分着重介绍计算机病毒中的windows病毒，从内核级学习pe文件格式，pe病

11、毒原理；第三部分结合第二部分的准备知识，分别介绍每个代码模块功能及实现；第四部分则介绍了针对pe病毒的一些解决方案；最后一部分对计算机的防治做了展望。2计算机病毒概述2.1计算机病毒的定义计算机病毒(computer virus)是一种人为的制造的、能够进行自我复制的、具有对计算机资源破坏作用的一组程序或指令的集合。这是计算机病毒的广义定义。类似生物病毒，它能把自身附着在各种类型的文件上或寄生在存储媒介中，能对付计算机系统和网络进行各种破坏，同时有独特的复制能力和传染性，能够自我复制主动传染；另一方面，当文件被复制或在网络中从一个用户送到另一个用户时被动传染，他们就随同文件一起蔓延开来。在19

12、94年2月18日公布的中华人民共和国计算机信息系统安全保护条例中，计算机病毒被定义为：“计算机病毒是指编制或者在计算机程序中插入的破坏计算机功能或者破坏数据，影响计算机使用并且能够字我复制的一组计算机指令或者程序代码”。这一定义具有一定的法律性和权威性。是对计算机病毒的狭义定义。2.2计算机病毒的基本性质与本质计算机病毒种类繁多，特征各异，其中主要的有：自我复制能力；很强的感染性；一定的潜伏性；特定的触发性；很大的破坏性。1计算机病毒的可执行性(程序性)程序性是计算机病毒的基本特征，也是计算机病毒最基本的一种表现形式。程序性也就决定了计算机病毒的可防治性、可清除性。计算机病毒程序与其他合法程序

13、一样，是一段可执行的程序，但他不是一个完整的程序，而是寄生在其他可执行程序上的一段程序，因此他享有一切可执行程序所能得到的权力。计算机的控制权是关键问题。反病毒技术就是要提前取得计算机系统的控制权，识别出计算机病毒的代码和行为，阻止起取得系统控制权，并及时将其清除。2计算机病毒的传染性病毒一次源于生物学，传染也相应成了计算机病毒最基本的特性。计算机病毒的传染性是指病毒具有把自身复制到其他程序的能力。在生物界，病毒通过传染从一个生物体扩散到另一个生物体。在适当的条件下，他可得到大量的繁殖，并使被感染的生物体表现出病症甚至死亡。同样，计算机病毒也会通过各种渠道通过已被感染的计算机扩散到未被感染的计

14、算机，在某些情况下造成被感染的计算机工作失常甚至瘫痪。是否具有传染性，是判断一个程序是否为计算机病毒的首要条件。传染性也决定了计算机病毒的可判断性。3计算机病毒的非授权性计算机病毒未经授权而执行。正常的程序是由用户调用，再由系统分配资源，完成用户交给的任务，其目的对用户是可见的、透明的。而病毒隐藏在正常程序中，窃取正常程序的系统控制权，其目的对用户是未知的，是未经用户允许的。4计算机病毒的隐蔽性计算机病毒通常附在正常程序中或磁盘较隐蔽的地方，也有个别的以隐含文件的形式出现，目的是不让用户发现他的存在。如果不经过代码分析，病毒程序与正常程序是不容易区分开来的，而一旦病毒发作表现出来，往往已经给计

15、算机系统造成了不同程度破坏。正是由于隐蔽性，计算机病毒得以在用户没有察觉的情况下扩散并游离与世界上的百万台计算机中。计算机病毒的隐蔽性通常表现在以下两个方面： 传染的隐蔽性。大多数病毒的代码设计得非常精巧而又短小，一般只有几百字节到几k，而pc对文件的存取速度非常快，所以病毒会在转瞬之间便可将这些病毒程序附着在正常文件之上，一般不具有外部表象，不易被人发现。 病毒程序存在的隐蔽性。病毒程序通常以隐蔽的方式存在，且被病毒感染的计算机在多数情况下仍能维持起部分功能，不回因为感染上病毒而使整台计算机不能使用。计算机病毒设计的精巧之处也在这里。5计算机病毒的潜伏性一个编制精巧的计算机病毒程序，进入系统

16、之后一般不会马上发作。潜伏性越好，其在系统中的存在时间就会越长，病毒的传染范围就会越大。潜伏性通常表现以下两个方面： 病毒程序不用专门的检测程序是检查不出来的，一旦得到运行机会就繁殖、扩散，继续为害。 计算机病毒中往往有一种触发机制，不满足触发条件时，计算机病毒除了传染外不做其他的破坏，只有当触发条件满足时，才会激活病毒的发作模块而出现中毒的症状。6计算机病毒的可触发性计算机病毒因某个事件或数值的出现，诱使病毒实施感染或进行攻击的特性，称为可触发性。为了隐蔽自己，病毒必须潜伏，少做动作。如果完全不做动作，病毒既不能感染也不能进行破坏，失去杀伤力。病毒既要隐蔽又要维持杀伤力，就必须具有可触发性。

17、病毒的触发机制是用来控制感染和破坏动作的频率的。病毒的触发机制越多，则传染性越强。7计算机病毒的破坏性所有的计算机病毒都是一种可执行的程序，而这一可执行程序又必然要运行，因此，所有的计算机病毒都对计算机系统造成不同程度的影响，轻这降低计算机系统工作效率、占用系统资源，重者导致数据丢失、系统崩溃。计算机病毒的破坏性，决定了病毒的危害性。8计算机病毒的寄生性病毒程序嵌入到宿主程序中，依赖与宿主程序的执行而生存，这就是计算机病毒的寄生性。病毒程序在侵入到宿主程序中后，一般对宿主程序进行一定的修改，宿主程序一旦执行，病毒程序就被激活，从而可以进行自我复制和繁衍。9、计算机病毒的诱惑欺骗性某些病毒常以某

18、种特殊的表现方式，引诱、欺骗用户不自觉的触发、激活病毒，从而实施起感染、破坏功能。如情书变种病毒之一vbs.loveletter.f，传播自身的电子邮件附件名为“virus warning.jpg.vbs”，主题为“dangerous virus warning”，其内容是“there is a dangerous virus circulating.please click attached picture to view it and learn to avoid it”。3 windows病毒3.1windows病毒分类3.1.1pe病毒win32可执行文件，如*.exe、*.dll、*

19、.ocx等，都是pe格式文件。感染pe格式文件的win32病毒，简称pe病毒。在绝大多数病毒爱好者中，真正的病毒技术在pe病毒中才会得到真正的体现。pe病毒同时也是所有病毒中数量极多、破坏性极大、技巧性最强的一类病毒。3.1.2脚本病毒脚本(script)病毒是以脚本程序语言(如vb script、javascript、php)编写而成的病毒。脚本病毒编写比较简单，并且编写的病毒具有传播快、破坏力大等特点。例如，爱虫病毒、新欢乐时光病毒等。就都是用vbs(vb script)编写的，被称做vbs脚本病毒。但脚本病毒必须透过microsoft的wsh(windows scripting host

20、)才能够启动执行以及感染其他文件。3.1.3宏病毒宏病毒是单独的一类病毒，因为它与传统的病毒有很大的不同，他不感染.exe、.com等可执行文件，而是将病毒代码以“宏”的形式潜伏在microsoft office文档中，当采用office软件打开这些染毒文件时，这些代码就会被执行并产生破坏作用。由于“宏”是使用vba(visual basic for application)这样的高级代码写的，因此其编写过程相对来说比较简单，而功能又十分强大。宏病毒的产生标志着制造病毒不再是专业程序员的专利，任何人只要掌握一些基本的“宏”编写技巧即可编写出破坏力极大的宏病毒。随着微软office软件在全世界的

21、不断普及，宏病毒成为传播最广泛、危害最大的一类病毒。3.2 pe病毒原理3.2.1 pe文件格式目前主流的操作系统是windows操作系统，病毒要在windows操作系统上进行传播和破坏，其病毒文件也必须遵循pe文件的格式结构，。目前流行的计算机病毒以蠕虫、木马等类型病毒为住，这一类的病毒文件也大都是pe格式的文件，因此，我们在这一节会详细介绍pe格式文件，这是分析病毒程序的基础。什么是pe文件格式pe即portable executable,可移植、可执行，他是win32可执行文件的标准格式。他的一些特性继承自unix的coff(common object file forma

22、t)文件格式。portable executable就意味着此文件是跨win32平台的，即使windows运行在非intel的cpu上，任何win32平台的pe装载器都能识别和使用该文件格式。因而，研究学习pe文件格式，除了有助于了解病毒的传染原理之外，还给我们提供了洞悉windows结构的良机。pe文件格式详细剖析pe文件的构成如下：表1 pe文件格式pe文件结构的总体层次分布dos mz headerdos stubpe headersection tablesection 1section 2section n1dos小程序pe文件以一个简单的dos mz header开始

23、。有了它，一旦程序在dos下执行时，就能被dos识别出这是否是有效的执行体，然后紧随mz header之后的是dos stub(dos 插桩程序)实际上就是一个在dos环境下简单调用21h中断显示“this program can not be run in dos mode”或者“this program must be run under win32”之类信息的小程序。2nt映像头紧接着dos stub的是pe header。pe header是pe相关结构image_ni_headers(nt映像头)的简称，他存放了pe整个文件信息分布的重要字段。nt映像头包含了许多pe装载器用到的重要

24、域。nt映像头的结构定义如下：image_nt_header structsignature dd ?fileheader image_file_header optionalheader image_optional_header32 image_nt_header ends而这三部分分别有着各自的数据结构(参见windows.inc文件)。 signature dd ?字串“50450000”标志着nt映像头的开始，也是pe文件中与windows有关内容的开始。他的位置是在dos程序头中的偏移3ch处的4个字节给出的。 fileheader image_file_header struct

25、00h machine 机器类型02h numberofsection 文件中节的个数04h timedatastamp 生成该文件的时间08hpointertosymboltable coff符号表的偏移0ch numberofsymbols 符号数目10h sizeofoptionalheader 可选头的大小12h characteristics 标记(exe或dll)image_file_header ends其中第2项 numberofsection 和第6项sizeofoptionalheader对于学习病毒是需要重点关注的。 optionalheader 由于optionalhe

26、ader数据定义较多，现只列出与学习病毒较重要的一些域。image_optional_header32 struct04h sizeofcode 代码段的总尺寸10h addressofentrypoint 程序开始执行位置14h baseofcode 代码节开始的位置1ch imagebase 可执行文件的默认装入的内存地址20h sectionalignment 可执行文件装入内存时节的对齐数字24h filealignment 文件中节的对齐数字，一般是一个扇区38h sizeofimage 装入内存后映像的总尺寸3chsizeofheaders nt映像头+节表的大小40hchecks

27、um 校验和44hsubsystem 可执行文件的子系统5ch numberrvaandsize 数据目录的项数，一般是1660hdatadirectory 数据目录image_optional_header32 ends3节表紧接着nt映像头之后的是节表。节表实际上是一个结构数组，其中每个结构包含了该节的具体信息(每个结构占用28h)。该成员的数目由映像文件头(image_file_header)结构中numberofsection域决定的。节表的结构定义如下：image_section_header struct00hname 节名08hphyscicaladdress obj文件用做表示

28、本节的物理地址virtualsize exe文件中表示节的实际字节数0chvirtualaddress 本节的相对虚拟地址10hsizeofrawdata 本节的经过文件对齐后的尺寸14hpointertorawdata 本节原始数据在文件中的位置18hpointertorelocation obj中表示该节重定位信息的偏移1chpointertolinenumbers 行号偏移20hnumberofrelocations 本节要重定位的数目22hnumberoflinenumbers 本节在行号中的行号数目24hcharacteristics 节属性image_section_header

29、ends其中第2项 virtualsize 、第3项virtualaddress、第4项sizeofrawdata、第5项pointertorawdata、第10项characteristics需要重点关注的。3.2.2检验pe文件的有效性检验pe文件的有效性对于有效地感染文件起着非常大的作用，因为只有在清楚了需要被感染的病毒文件是有效的pe文件时，才可以感染并且达到效果。如何才能校验指定文件是否为一有效pe文件呢? 这个问题很难回答，完全取决于想要的精准程度。可以检验pe文件格式里的各个数据结构，或者仅校验一些关键数据结构。大多数情况下，没有必要校验文件里的每一个数据结构，只要一些关键数据结

30、构有效，我们就认为是有效的pe文件了。1校验程序流程 首先检验文件头部第一个字的值是否等于 image_dos_signature (5a4dh,即mz)，是则 dos mz header 有效。 一旦证明文件的 dos mz header 有效后，就可用e_lfanew(3ch处来)来定位 pe header 了。 比较 pe header 的第一个字的值是否等于 image_nt_header (4550h,即pe)。如果前后两个值都匹配，那我们就认为该文件是一个有效的pe文件。2校验程序核心部分代码的实现如下： edi已经指向image_dos_header结构。然后比较dos mz h

31、eader的首字是否等于字符串mz，这里利用了windows.inc中定义的image_dos_signature常量。若比较成功，则转到判断pe header，否则设validpe 值为false，意味着文件不是有效pe文件。mov edi, pmapping assume edi:ptr image_dos_header .if edi.e_magic=image_dos_signature 。 已定位到pe header，需要读取dos mz header中的e_lfanew域值。该域含有pe header在文件中相对文件首部的偏移量。edi加上该值正好定位到pe header的首字节。

32、比较它是否是字符串pe。这里在此用到了常量image_nt_signature，相等则认为是有效的pe文件。add edi, edi.e_lfanew assume edi:ptr image_nt_headers .if edi.signature=image_nt_signature mov validpe, true .else mov validpe, false .endif3.2.3病毒重定位为什么要重定位病毒首先第一步就需要重定位，那到底为什么要重定位呢？我们在写正常程序的时候根本不用去关心变量(常量)的位置，因为源程序在编译的时候它的内存中的位置都被计算好了。程序

33、装入内存时，系统不会为它重定位。编程时我们需要用到变量(常量)的时候直接用变量名访问(编译后就是通过偏移地址访问)就行了。同时，病毒不可避免也要用到变量(常量)，当病毒感染host程序后，由于其依附到host程序中的位置各有不同，病毒随着host载入内存后，病毒中的各个变量(常量)在内存中的位置自然也会随着发生变化。假如病毒在编译后，其中一变量var的地址(004010xxh)就已经以二进制代码的形式固定了，当病毒感染host程序以后(即病毒相关代码已经直接依附到host程序中)，由于病毒体对变量var的引用还是对内存地址004010xxh的引用(病毒的这段二进制代码并不会发生改变)，而在ho

34、st上的004010xxh的位置实际上已经不再存放变量var了，如果这个时候再用004010xxh的位置来调用var那么肯定是无法成功的。这样就造成了病毒对变量的引用不准确，势必导致病毒无法正常运行。既然如此，病毒就非常有必要对所有病毒代码中的变量进行重新定位。如何重定位既然重定位是基本且非常重要的东西，那么重定位的具体方法就显得尤其重要了。本设计采用的是现在最普遍也是最有效的方法。我们先学习下call指令。call指令一般用来调用一个子程序或用来进行转跳，当这个语句执行的时候，它会先将返回地址(即紧接着call语句之后的那条语句在内存中的真正地址)压入堆栈，然后将ip置为cal

35、l语句所指向的地址。当子程序碰到ret命令后，就会将堆栈顶端的地址弹出来，并将该地址存放在ip中。根据以上的描述，我们就可以采取一种调用call命令的方式来获得当前的重定位值。重定位核心代码实现如下：call relocaterelocate: pop ebp.lea eax,ebp+(offset var-offset relocate) 这条语句执行之后，堆栈顶端为relocate在内存中的真正地址。 这条语句将relocate在内存中的真正地址存放在ebp寄存器中。 这时eax中存放着var在内存中的真实地址。当pop语句执行完之后，ebp中放的是什么值呢？很明显是病毒程序中标号relo

36、cate在内存中的真正地址。如果病毒程序中有一个变量var，那么该变量实际在内存中的地址应该是ebp+(offset var-offset relocate)，即参考量relocate在内存中的地址+其它变量与参考量之间的距离=其它变量在内存中的真正地址。有时候我们也采用(ebp-offset relocate)+offset var的形式进行变量var的重定位。还有一些其它重定位的方法，但是它们的基本原理都是一样的。3.2.4获取api函数地址为什么要获取api函数地址win32 pe病毒和普通win32 pe程序一样需要调用api函数，但是普通的win32 pe程序里面有一个

37、引入函数表，该函数表对应了代码段中所用到的api函数在动态连接库 (如kernel32.dll,user32.dll)中的真实地址。这样，调用api函数时就可以通过该引入函数表找到相应api函数的真正执行地址。但是，对于win32 pe病毒来说，他一般只有一个代码段，他并不存在引入函数段。既然如此，病毒就无法像普通pe程序那样直接调用相关api函数，而应该先找出这些api函数在相应动态链接库中的地址。如何获取api函数地址3.2.5文件操作关于文件搜索1文件搜索函数搜索文件是病毒寻找目标文件的非常重要的功能。在win32汇编中，通常采用三个api函数进行文件搜索。

38、findfirstfile 该函数根据文件名查找文件。 findnextfile 该函数根据调用findfirstfile函数时指定的一个文件名查找下一个文件。 findclose 该函数用来关闭由findfirstfile函数创建的一个搜索句柄。2文件搜索算法文件搜索一般采用递归算法进行搜索，也可以采用非递归搜索方法，这里我们仅介绍递归的算法findfile proc 指定找到的目录为当前工作目录。 开始搜索文件(*.*)。 该目录搜索完毕？是则返回，否则继续。 找到文件还是目录？是目录则调用自身函数findfile，否则继续。 是文件，如符合感染条件，则调用感染模块，否则继续。 搜索下一个

39、文件(findnextfile)，转到继续。findfile endp内存映射文件内存映射文件提供了一组独立的函数，是应用程序能够通过内存指针像访问内存一样对磁盘上的文件进行访问。这组内存映射文件函数将磁盘上的文件的全部或者部分映射到进程虚拟地址空间的某个位置，以后对文件内容的访问就如同在该地址区域内直接对内存访问一样简单。这样，对文件中数据的操作便是直接对内存进行操作，大大地提高了访问的速度，这对于计算机病毒来说，对减少资源占有是非常重要的。1内存映射文件函数 createfilemapping该函数用来创建一个新的文件映射对象。 mapviewoffile 该函数将一个文件映

40、射对象映射到当前应用程序的地址空间。 unmapviewoffile 该函数在当前应用程序的内存地址空间解除对一个文件映射对象的映射。 closehandle 该函数用来关闭一个内核对象，其中包括文件、文件映射、进程、线程、安全和同步对象等。2内存映射文件方法在计算机病毒中，通常采用如下几个步骤： 调用createfile函数打开想要映射的host程序，返回文件句柄hfile。 调用createfilemapping函数生成一个建立基于host文件句柄hfile的内存映射对象，返回内存映射对象句柄hmap。 调用mapviewoffile函数将整个文件(一般还要加上病毒体的大小)映射到内存中。

41、得到指向映射到内存的第一个字节的指针(pmem)。 用刚才得到的指针pmem对整个host文件进行操作，对host程序进行病毒感染。 调用unmapviewfile函数解除文件映射，传入参数是pmem。 调用closehandle来关闭内存映射文件，传入参数是hmap。 调用closehandle来关闭host文件，传入参数是hfile。感染pe文件1文件感染操作相关函数 createfile 该函数可打开和创建文件、管道、邮槽、通信服务、设备以及控制台。 closehandle 该函数用来关闭一个内核对象，其中包括文件、文件映射、进。 setfilepointer 该函数在一个

42、文件中设置当前的读写位置。 readfile 该函数用来从文件中读取数据。 writefile 该函数用来将数据写入文件。 setendoffile 该函数针对一个打开的文件，将当前文件位置设为文件末尾。 getfilesize 该函数得到指定文件的大小。 flushfilebuffers 该函数针对指定的文件句柄，刷新内部文件缓冲区。2文件感染的基本步骤(添加病毒新节的方式) 判断目标文件开始的两个字节是否为“mz”。 判断pe文件标记“pe”。 判断感染标记，如果已被感染过则跳出继续执行host程序，否则继续。 获得directory(数据目录)的个数，(每个数据目录信息占8个字节)。 得

43、到节表起始位置。(directory的偏移地址+数据目录占用的字节数=节表起始位置)。得到目前最后节表的末尾偏移(紧接其后用于写入一个新的病毒节)节表起始位置+节的个数*(每个节表占用的字节数28h)=目前最后节表的末尾偏移。 开始写入节表。a) 写入节名(8字节)。b) 写入节的实际字节数(4字节)。c) 写入新节在内存中的开始偏移地址(4字节)，同时可以计算出病毒入口位置上节在内存中的开始偏移地址+(上节大小/节对齐+1)节对齐=本节在内存中的开始偏移地址。d) 写入本节(即病毒节)在文件中对齐后的大小。e) 写入本节在文件中的开始位置。上节在文件中的开始位置+上节对齐后的大小=本节(即病

44、毒)在文件中的开始位置。f) 修改映像文件头中的节表数目。g) 修改addressofentrypoint(即程序入口点指向病毒入口位置)，同时保存旧的addressofentrypoint，以便返回host继续执行。h) 更新sizeofimage(内存中整个pe映像尺寸=原sizeofimage+病毒节经过内存节对齐后的大小)。i) 写入感染标记(后面例子中是放在pe头中)。j) 写入病毒代码到新添加的节中。k) 将当前文件位置设为文件末尾。pe病毒感染其他文件的方法还有很多，譬如pe病毒还可以将自己分散插入到每个节的空隙中，他的好处就是病毒不增长，但难度较大。3文件感染需要注意的细节为了

45、提高自己的生存能力，病毒是不应该破坏host程序的，既然如此，病毒应该在病毒执行完毕后，立刻将控制权交给host程序。返回host程序相对来说比较简单，病毒在修改被感染文件代码开始执行位置(addressofentrypoint)时，应该保存原来的值，这样，病毒在执行完病毒代码之后用一个跳转语句跳到这段代码处继续执行即可。注意，在这里，病毒先会做出一个“现在执行程序是否为病毒启动程序”的判断，如果不是启动程序，病毒才会返回host程序，否则继续执行程序其它部分。4 windows pe文件病毒的研究及实现4.1病毒程序实现4.1.1病毒程序编写背景21世纪是信息的时代，信息成为一种重要的战略资

46、源，信息科学成为最活跃学科领域之一，信息技术改变着人们的生活和工作方式，信息产业成为新的经济增长点。信息的安全保障能力成为一个国家综合国力的重要组成部分。随着计算机和互联网技术的快速发展和广泛应用，计算机网络系统的安全受到严重的挑战，来自计算机病毒和黑客的攻击及其其他方面的威胁越来越大。其中，计算机病毒更是计算机安全中很难根治的主要威胁之一。通过对计算机病毒的认识，研究以达到更加深刻地了解病毒，只有了解计算机病毒的原理，掌握计算机病毒的防治技术，正确认识计算机病毒，才可更加有效地对抗计算机病毒和减少计算机病毒带来的损失。4.1.2病毒程序基本功能介绍1传播性 实现对本机指定exe文件的感染，本

47、机被病毒感染的exe程序在正常运行时会激活病毒并继续感染下一个需要感染的exe程序，且在不满足发作条件的情况下可以正常运行，并无异样。 主机间的传播通过u盘来传播，在本机已经感染的情况下，如果有u盘已经插入，则会感染u盘，如果用户下次在另一台主机上使用u盘若警惕行不高，则极容易被感染病毒。2潜伏性 病毒在固定的一个时间段内发作，病毒文件也为系统文件并且隐藏，有一定的隐蔽性，病毒会寄生在host中，和系统目录下，只有在满足发作条件时才会影响用户使用。其他时候，程序都能正常使用。3破坏性 在主机感染了病毒程序后，任务管理器会被禁用、注册表无法打开。 记事本程序无法运行，每直接运行一次notepad

48、.exe都会激活一次病毒程序。 winrar被感染，每使用winrar都可能激活一次病毒。 病毒发作时会出现中病毒的提示框，并显示病毒的长度。 病毒发作时会自动关机。4.1.3病毒程序编写环境windows xp 操作系统vmware workstation虚拟机ultraedit-32文本编辑器masm32v8编译器ollydbg动态跟踪调试器4.1.4病毒程序简要流程框图框图将程序的5个模块的功能流程做了粗略的表达。如图1。4.1.5病毒程序主模块-jerry.asm主模块实现病毒的重定位，查找kernel32基地址，调用searchapi搜索相应的api函数地址，文件操作，调用modif

49、y_pe感染host文件，调用effectu感染主机和u盘，调用burst发作。流程参照图1。图1 主程序流程图4.1.6病毒程序搜索api函数模块-searchapi.asm1基本流程图通过已知函数名称和kerner32引出表来查找所需api函数地址并存放，方便以后使用。相关理论知识参照2.2.4获取api函数地址。基本搜索流程如图2。2核心代码lea edi,ebp+agetmodulehandle ;edi指向api函数地址存放位置lea esi,ebp+lpapiaddrs ;esi指向api函数名字串偏移地址loop_get_api:lodsd ;eax,ds:esicmp eax,

50、0jz end_get_api add eax,ebppush eax ;第一次eax中放着getmodulehandlea函数名字串的真实位置push dword ptr ebp+k32base ;kernel32.dll基地址call getapiadd ;searchapi.asm中过程getapia proto :dword,:dwordstosdjmp loop_get_api ;获得api地址,参见searchapi.asm文件end_get_api:图2 searchapi运行流程图4.1.7病毒程序感染exe文件模块-modify_pe.asm1基本流程图这是病毒将自身寄生到h

51、ost中，感染部分的模块。基本感染流程如图3。图3 modify_pe运行流程图2核心代码cmp word ptr esi,zm ;pe文件判断第一步jne couldnotinfectcmp word ptr esi,ep ;pe文件判断第二步 jne couldnotinfect cmp dword ptr esi+8,jerr ;文件是否已经感染je loop_get_path ;如果已经感染过了，试图感染下一个指定文件mov ebp+pe_header,esi ;保存pe_header指针 mov ecx,esi+74h ;得到directory的数目 imul ecx,ecx,8 lea eax,ecx+esi+78h ;eax=data directory结束地址=节表起始地址 movzx ecx,word ptr esi+6h ;节数目 imul ecx,ecx,28h ;得到所有节表的大小 add eax,ecx ;节结尾xchg eax,esi ;eax-pe_header,esi-最后节开始偏移(即病毒节开始处);-以上得到了新节的起始地址，以下是利用起始对病毒节的操作-mov dword ptr esi,rej. ;节名.jerry mov dword ptr esi+8,viruslen ;节的实际