Win32侵染式病毒的宿主入口技术.pdfVIP

维普资讯 第 21卷 第 6期 山 东 理 工 大 学 学 报(自然 科 学 版) Vol|21No．6 2007年 11月 JournalofShandongUniversityofTechnology(NaturalScienceEdition) NOV．2007 文章编号 ：1672—6197(2007)06—0091—03 Win32侵染式病毒的宿主人 口技术 苏 波 ，曹凤莲 ，吕秋平 (1．莱芜职业技术学院计算机系，山东 莱芜 271100； 2．商丘科技职业学院，河南 商丘 476000) 摘 要 ：分析 了Win32病毒编制中宿主入 口技术的原理并给出了实现这种技术的流程，并基 于此原理，初步提 出了利用加壳和校检码检测来对抗宿主入 口技术的设想． 关键词 ：Win32病毒；宿主入 口技术；PE文件 中图分类号 ：TP309．5 文献标识码 ：A Entry—pointobscuringofW in32infectiousvirus SU Bo ，CAO Feng—lian ，LV Qiu—ping (1．DepartmentofComputerScience，LaiwuVocationalandTechnologyCollege，Laiwu271100，China： 2．ShangqiuScienceandTechnologyCollege，Shangqiu476000，China) Abstract：Theentry—pointobscuringintheW in32viruscodingwasanalyzedandtheroutine in itscodingwasgiven．Ananti—virustechnicwasproposedbyusingtheshell—codeandMD5 checking． Keywords：W in32virus；entry—pointobscuring；PE files 现代的反病毒软件其中很重要的一种反病毒 windows系统下的PE格式[1(Win32架构下 的 技术就是对文件入口的启发式检测和对文件入 口 EXE可执行文件)的一种技术．首先介绍一下 PE 特征进行检验，这种技术使得对那些采用常规技 文件格式以及常规病毒 的控制权取得技术 ，将有 术编写的病毒的查杀和预防变得简单和高效．宿 助于更加透彻的了解宿主入口技术． 主入 口技术 (Entry—PointObscuring)就是一种针 PE文件从磁盘文件到 内存 的映射是采用 了 对这种情况而发展起来 的一种病毒编制的高级技 线性映射机制 ，按 照内存映射中从地址低端到地 术．研究和分析这种技术对当今的反病毒 以及网 址高端的排列次序．文件结构如图 1所示 ]． 络安全技术是必要的． 在 PE头结构的 AddressOfEntryPoint中存 储着PE文件的 “程序入 I：IRVA”，操作系统在装 1 常规病毒的控制权取得方法 载 PE文件进入内存后 ，会从这个程序入 口RVA 处开始执行．大多数常规病毒都会读取这个 RVA 本文讨论 的宿主入 口技术主要是指感染 值，然后将病毒代码复制到程序代码 中去，进行块 收稿 日期 ：2007一O1一O5 作者简介 ：苏 波 (1976一)，男，讲师，硕士 维普