logo

您所在位置网站首页 > 海量文档  > 计算机 > 计算机应用/办公自动化

AV引擎之虚拟机脱壳技术_CN.pdf 31页

本文档一共被下载: ,您可全文免费在线阅读后下载本文档。

  • 支付并下载
  • 收藏该文档
  • 百度一下本文档
  • 修改文档简介
全屏预览

下载提示

1.本站不保证该用户上传的文档完整性,不预览、不比对内容而直接下载产生的反悔问题本站不予受理。
2.该文档所得收入(下载+内容+预览三)归上传者、原创者。
3.登录后可充值,立即自动返金币,充值渠道很便利
AV引擎-虚拟机脱壳技术 大成天下-数据安全实验室 linxer 目 录 • 壳的简要介绍 • 脱壳的必要性 • 常用自动脱壳方法 • 基于虚拟机的自动脱壳技术 – 简易x86 CPU仿真 – 仿真API – PE loader技术 – 建立程序执行环境 – 壳用到的系统特性仿真 – dump技术 • 虚拟机脱壳的限制 • 其他应用 • 演示 一、壳的简要介绍 • 压缩壳: – 减小程序体积,便于保存传输,阻止逆向分析。 • 加密壳: – 利用各种Anti技术来防止程序被调试、逆向、破解。 二、脱壳的必要性 • 基于特征码的传统反病毒技术仍然发挥主导作用。 • 越来越多的木马后门使用加壳来逃避特征码检测。 – 我们统计表明,目前95%以上的病毒加壳。 – 60%的病毒使用了常见壳来保护自身。 – 流行壳列表:/toppacker.html • 对病毒细节的了解需求 三、常用自动脱壳方法 • 静态脱壳: – 分析加壳算法,写出逆过程来脱壳,但目前很多壳比较复杂,对各 类加密壳,这种方法显得苍白。 • 调试器脱壳: – 利用调试器,让加壳程序自己解码,暴露”原始”状态来达到脱壳效 果,但外壳程序anti能力强悍时,常让这种方法无能为力。 • 虚拟机脱壳: – 仿真CPU和一些系统特性,让加壳程序在虚拟机里面运行来脱壳, 仿真系统特性的多少决定脱壳能力。 四、基于虚拟机的自动脱壳技术 • 4.1 简易x86 CPU仿真 – 4.1.1 环境仿真: • 普通寄存器,段寄存器,标志位寄存器,EIP寄存器和调试寄存器等。 – 4.1.2 反汇编器: • 负责机器码的识别 – 4.1.3 寻址系统: • 对内存寻址方式进行解析,并负责计算出虚拟地址。 – 4.1.4 指令解释系统: • 完成相应指令的动作行为。 4.2 API仿真 • 仿真具备实际功能的API: – 比如ReadFile这类API • 仿真负责堆栈平衡的API: – 比如SetWindowLong,对这类API只要在仿真的函数中把压入的 参数弹出,并返回函数调用成功即可。 4.2.1 仿真API的导入 • 三种API导入方式: 虚拟机里导入的并不是仿真API的地址,而是API的一个代号ID ,程序执行过程中根据API ID调用相应的仿真API函数。 – load的时候导入 – 程序执行过程中用仿真的GetProcAddress导入 – 根据具体模块,自行分析模块的导出表,实现API导入 4.2.2 仿真API的调用 • 当eip寄存器存在着API ID的时候,表示要调用仿真API,这可以在执 行完每条指令后判定,这虽然完美可行,但效率低。由于用于发生函数 调用的指令有限,可以在这些指令解析函数里判定是否要调用API,这 些指令主要有: – call [xx

发表评论

请自觉遵守互联网相关的政策法规,严禁发布色情、暴力、反动的言论。
用户名: 验证码: 点击我更换图片

“原创力文档”前称为“文档投稿赚钱网”,本站为“文档C2C交易模式”,即用户上传的文档直接卖给(下载)用户,本站只是中间服务平台,本站所有文档下载所得的收益归上传人(含作者)所有【成交的100%(原创)】。原创力文档是网络服务平台方,若您的权利被侵害,侵权客服QQ:3005833200 电话:19940600175 欢迎举报,上传者QQ群:784321556