AV引擎之虚拟机脱壳技术_CN.pdfVIP

  1. 1、本文档共31页,可阅读全部内容。
  2. 2、原创力文档(book118)网站文档一经付费(服务费),不意味着购买了该文档的版权,仅供个人/单位学习、研究之用,不得用于商业用途,未经授权,严禁复制、发行、汇编、翻译或者网络传播等,侵权必究。
  3. 3、本站所有内容均由合作方或网友上传,本站不对文档的完整性、权威性及其观点立场正确性做任何保证或承诺!文档内容仅供研究参考,付费前请自行鉴别。如您付费,意味着您自己接受本站规则且自行承担风险,本站不退款、不进行额外附加服务;查看《如何避免下载的几个坑》。如果您已付费下载过本站文档,您可以点击 这里二次下载
  4. 4、如文档侵犯商业秘密、侵犯著作权、侵犯人身权等,请点击“版权申诉”(推荐),也可以打举报电话:400-050-0827(电话支持时间:9:00-18:30)。
  5. 5、该文档为VIP文档,如果想要下载,成为VIP会员后,下载免费。
  6. 6、成为VIP后,下载本文档将扣除1次下载权益。下载后,不支持退款、换文档。如有疑问请联系我们
  7. 7、成为VIP后,您将拥有八大权益,权益包括:VIP文档下载权益、阅读免打扰、文档格式转换、高级专利检索、专属身份标志、高级客服、多端互通、版权登记。
  8. 8、VIP文档为合作方或网友上传,每下载1次, 网站将根据用户上传文档的质量评分、类型等,对文档贡献者给予高额补贴、流量扶持。如果你也想贡献VIP文档。上传文档
查看更多
AV引擎之虚拟机脱壳技术_CN.pdf

AV引擎-虚拟机脱壳技术 大成天下-数据安全实验室 linxer 目 录 • 壳的简要介绍 • 脱壳的必要性 • 常用自动脱壳方法 • 基于虚拟机的自动脱壳技术 – 简易x86 CPU仿真 – 仿真API – PE loader技术 – 建立程序执行环境 – 壳用到的系统特性仿真 – dump技术 • 虚拟机脱壳的限制 • 其他应用 • 演示 一、壳的简要介绍 • 压缩壳: – 减小程序体积,便于保存传输,阻止逆向分析。 • 加密壳: – 利用各种Anti技术来防止程序被调试、逆向、破解。 二、脱壳的必要性 • 基于特征码的传统反病毒技术仍然发挥主导作用。 • 越来越多的木马后门使用加壳来逃避特征码检测。 – 我们统计表明,目前95%以上的病毒加壳。 – 60%的病毒使用了常见壳来保护自身。 – 流行壳列表:/toppacker.html • 对病毒细节的了解需求 三、常用自动脱壳方法 • 静态脱壳: – 分析加壳算法,写出逆过程来脱壳,但目前很多壳比较复杂,对各 类加密壳,这种方法显得苍白。 • 调试器脱壳: – 利用调试器,让加壳程序自己解码,暴露”原始”状态来达到脱壳效 果,但外壳程序anti能力强悍时,常让这种方法无能为力。 • 虚拟机脱壳: – 仿真CPU和一些系统特性,让加壳程序在虚拟机里面运行来脱壳, 仿真系统特性的多少决定脱壳能力。 四、基于虚拟机的自动脱壳技术 • 4.1 简易x86 CPU仿真 – 4.1.1 环境仿真: • 普通寄存器,段寄存器,标志位寄存器,EIP寄存器和调试寄存器等。 – 4.1.2 反汇编器: • 负责机器码的识别 – 4.1.3 寻址系统: • 对内存寻址方式进行解析,并负责计算出虚拟地址。 – 4.1.4 指令解释系统: • 完成相应指令的动作行为。 4.2 API仿真 • 仿真具备实际功能的API: – 比如ReadFile这类API • 仿真负责堆栈平衡的API: – 比如SetWindowLong,对这类API只要在仿真的函数中把压入的 参数弹出,并返回函数调用成功即可。 4.2.1 仿真API的导入 • 三种API导入方式: 虚拟机里导入的并不是仿真API的地址,而是API的一个代号ID ,程序执行过程中根据API ID调用相应的仿真API函数。 – load的时候导入 – 程序执行过程中用仿真的GetProcAddress导入 – 根据具体模块,自行分析模块的导出表,实现API导入 4.2.2 仿真API的调用 • 当eip寄存器存在着API ID的时候,表示要调用仿真API,这可以在执 行完每条指令后判定,这虽然完美可行,但效率低。由于用于发生函数 调用的指令有限,可以在这些指令解析函数里判定是否要调用API,这 些指令主要有: – call [xx

文档评论(0)

天痕情魔 + 关注
实名认证
文档贡献者

随遇而安,随心而动

1亿VIP精品文档

相关文档