Linux_Unix环境中ELF格式病毒的分析.pdfVIP

Linux/Unix系统ELF格式病毒解析 Linux/Unix环境中ELF格式病毒的分析 (1) (2) (2) 谢瑶 潘剑峰 朱明 (1) (2) （中国科学技术大学 电子工程与信息科学系， 自动控制系 安徽合肥 230027 ） 摘要：本文结合 Linux/Unix 病毒实例，分析了 Linux/Unix 系统 ELF 文件格式病毒的原理，并 从五个方面讲述实现技术的关键：病毒体寄生 ELF 文件技术，寄主程序入口重定位，病毒体地 址无关代码，LKM 可重载内核技术，以及网络功能的实现。最后，提出对这一类病毒检测与防 范的方法及策略。 关键词：Linux/Unix 系统，ELF 文件病毒，病毒寄生，地址无关代码（PIC ），可重载内核LKM Analysis of ELF Virus in Linux/Unix Systems Yao Xie, Jianfeng Pan, Ming Zhu (Department of Electronic Engineering and Information Science, Department of Automatic control, University of Science and Technology of China, Anhui, 230027) Abstract: The technical details about the infection mechanism of ELF virus are studies by analyzing a specific case of ELF virus. Five critical technical aspects of ELF virus are analyzed which include: parasite in host file, redirect executive entry of host to realize virus self-execution, PIC (Position Independent Code), LKM (Loadable Kernel Modules) and Internet propagation of virus. Finally, we presented several practical strategies for virus detection and protection. Key Words: Linux/Unix System, ELF virus, Virus Parasite, PIC (Position Independent Code), LKM (Loadable Kernel Mode) 1 引言 Internet 的飞速发展，使得电脑病毒也呈现出传播更快、破坏性更大的发展趋势，由此造成 巨大的经济损失并直接危害社会的各个方面。目前Linux服务器环境越来越流行，因此分析研究 Linux环境下病毒实现机制，探索相应的检测方法，已变得十分迫切。 攻击Linux 的最常用技术之一就是使用内核代码，即使用可加载内核模块（LKM ）。另外， Linux系统通用的ELF可执行文件格式【1】在提高系统程序可移植性的同时，也带来了易被病 毒感染的不安全因素。本文结合一个Linux/Unix环境下ELF格式病毒的实例【2 】，分析此类病毒 的实现原理，给出了相应的检测与防范对策。 2 Linux/ Unix 病毒特点 Linu/Unix病毒一般具有三种功能：直接寄生宿主文件，感染系统内核，网络升级。本文实 例具有此类病毒的典型特点：寄生性，传染性以及自启动性。因此，首先病毒须以某种方式寄 生于宿主，这就意味着病毒需要修改宿主插入自身代码。当被感染宿主执行时，宿主源代码与 病毒体共同映射到程序进程空间，病毒抢先于宿主执行，之后将控制权交还宿主。其次，病毒 本身