第8章 计算机病毒常用技术综述.pptVIP

计算机病毒与反病毒技术 主要内容 计算机病毒的隐藏技术 计算机病毒驻留内存技术 计算机病毒的变形技术 计算机病毒的反跟踪、反调试、反分析技术 8.1.1 引导型病毒的隐藏技术 引导病毒的隐藏方法 8.1.2 文件型病毒的隐藏技术 文件型病毒在打开文件的时候将文件的内容恢复到未感染的状态，在关闭文件的时候重新进行感染 由于访问文件的方式、方法非常多，所以实现完全的文件型病毒隐藏是一件非常困难的事情。一套较完整的隐藏技术应该改包括对如图所示几个方面的处理 8.1.3 宏病毒的隐藏技术 宏病毒的隐藏技术比较简单 在Word、Excel等软件中禁止菜单“文件→模板”或者“工具→宏” 通过宏病毒代码删除菜单项 宏病毒用自己的FileTemplates和ToolsMacro宏替代系统缺省的宏 也可以采用5.3节中讨论的隐藏技术 8.1.4 Windows病毒的隐藏技术 以系统服务程序方式进行隐藏 拦截枚举进程的API函数 动态嵌入式隐藏 8.2.1 加密解密技术与病毒的多态性 多态病毒的框架 多态病毒是改进了的加密病毒，由变化的解密头和加密的代码组成。多态病毒运行时，先执行的是解密代码，对加密代码解密，然后执行刚解密的代码，也就是实现传播的主体代码 8.2.1 加密解密技术与病毒的多态性 8.2.1 加密解密技术与病毒的多态性 多态病毒加密与普通加密的差别 每条解密指令都不是固定的，上面的固定代码实际上只是一种可能，病毒每次复制自身的时候，这些代码都会随机改变 密钥在复制自身时，也要重新生成 宏I3、I2使得每条指令占用10个字节的空间(之所以选择10个字节，是因为几乎所有指令，特别是病毒常用的，都小于10个字节，保证了有剩余空间，又不会造成太大浪费，是一种折衷)，在10个字节的剩余空间中插入随机生成的垃圾代码，这些垃圾代码也是随机选择的 8.2.1 加密解密技术与病毒的多态性 8.2.2 使用改变可执行代码技术的多态病毒 由于在运行过程中改变机器语言的指令是非常困难的，所以这种技术主要使用在宏病毒中。在运行过程中，病毒可以随机的改变变量名，指令的顺序等，但是不影响病毒所实现的功能 一些复杂的引导型病毒也采用了这种技术，在引导区或者分区表中，包含了一小段代码来加载实际的病毒代码，这段代码在运行的过程中是可以改变的 由于动态修改机器语言代码的复杂性，完成在文件型病毒中使用动态代码修改技术有相当的难度，但是已发现存在病毒使用了这种技术 “厚度”(Ply)病毒在病毒体中随机的移动指令，然后利用跳转(JMP)或者调用(CALL)指令使病毒代码仍然可以实现原来的功能 “TMC”病毒没有在运行过程中改变代码，但是在感染的时候，整个代码的分段、偏移量和填充代码的分布都是可以随机变化的 8.2.3 多态性的级别 根据病毒使用多态技术的复杂程度，可以将多态病毒划分成以下几个级别： 半多态 病毒拥有一组解密算法，感染的时候从中随机的选择一种算法进行加密和感染 具有不动点的多态 病毒有一条或者几条语句是不变的，其他病毒指令都是可变的 带有填充物的多态 解密代码中包含一些没有实际用途的代码来干扰分析者的视线 算法固定的多态 解密代码所使用的算法是固定的，但是实现这个算法的指令和指令的次序是可变的 8.2.3 多态性的级别 算法可变的多态 使用了上述所有的技术，同时解密的算法也是可以部分或者全部改变的 完全多态 算法多态，同时病毒体可以随机的分布在感染文件的各个位置，但是在运行的时候能够进行拼装，并且可以正常工作 对于前面3种多态病毒，使用病毒特征码或者改进后的病毒特征码是可以发现病毒的(所谓改进后的特征码，就是包括一些非比较字节的特征串) 对于第4种多态病毒，由于代码的变化是有限的，所以通过增加多种情况的改进后的特征码，应该也可以处理 至于第5和第6种多态病毒，依靠传统的特征码技术是完全无能为力的 8.2.3 多态性的级别 一个真正意义的多态应该可以创建每次都不同的自解密代码和不同的加密代码 一个优秀的多态引擎可以作到： 创建不同的解密代码：产生不同的指令，完成相同的功能；这些指令集可以交换位置 在真实的解密代码中间创建垃圾指令 可移动(可以包含在任意程序中) 所有的是机制必须随机进行 解密器大小可变 尽量快且小 解密器越大越复杂，效果越好，但也越慢，必须找到一个平衡点 8.2.4 多态病毒的原理 最简单的多态病毒 8.2.4 多态病毒的原理 这段代码的工作流程是： 获得重定位信息 将加密代码的偏移保存在edi中，将加密代码的大小保存在ecx中 循环解密每一个字节 解密完成后，病毒主体开始执行，进行获得地址、判断发作、感染文件、返回宿主等病毒的常规工作 8.2.4 多态病毒的原理 改变指令顺序 多态很重要的一个工作就