6- 病毒技巧.pptVIP

* 病毒代码的优化 病毒代码的优化，应该是对病毒代码所占空间和运行所占时间两方面的优化。 不推荐使用以下：1）寄存器清0 方法: 1)?mov eax, ? ? ;5 bytes 更优化的方法如下: 2) sub eax, eax ? ? ? ? ? ;2 bytes 3) xor eax, eax ? ? ? ? ? ? ;2 bytes * 病毒代码的优化 2.测试寄存器是否为0 3.测试寄存器是否为0FFFFFFFFh 4.置寄存器为0FFFFFFFFh 5.寄存器清0并移入低字数值 6.关于push, 寄存器操作总要比内存操作要快 7.乘法 8.字符串操作 见书. * 计算机病毒Computer Virus 王斌 wb_csut@mail.csu.edu.cn, QQ 第六章 病毒技巧 病毒的隐藏技术 花指令 计算机病毒的简单加密 病毒的多态 病毒的变形技术 病毒代码的优化 异常处理 病毒的自我保护 * 病毒的隐藏技术 引导型病毒 文件型病毒 宏病毒 Windows环境下的病毒 * 引导型病毒的隐藏 * 引导型病毒对付杀毒软件的方法 * 文件型病毒的隐藏技术 * 在WORD／EXCEL中禁止菜单：文件－模板 或者 工具－宏就可以隐藏病毒。 通过宏病毒代码删除菜单项。 宏病毒用自己的FileTemplates和ToolsMacro宏替代系统缺省的宏 。 宏病毒的隐藏技术 * Windows病毒的隐藏技术 修改文件时间、大小； 在文件空隙中插入病毒片断：CIH在节中寻找空隙； Win98下隐藏进程：在进程管理器中将无法看到病毒进程； Win2000下创建服务进程：在Win2000环境中，将病毒创建为服务进程以后，用户无法关闭进程； 创建远程进程。 * 花指令 所谓花指令就是在我们的程序之间加入一些似乎没有什么意义的代码，这些代码不会妨碍程序正常的运行，但是在静态反汇编时，却会让原本正常的代码解释成难以读懂、甚至有些怪异的汇编代码。 * 花指令 start: push eax push ebx push ecx push edx call delta db 12，34h delta: pop ebp sub ebp, offset delta pop edx pop ecx pop ebx pop eax end start ? ? ? ? ?? ? start: 50 ? ? ? ? ? ? push ? ?eax 53 ? ? ? ? ? ? push ? ?ebx 51 ? ? ? ?? ? ? push ? ?ecx 52 ? ? ? ? ? ? push ? ?edx E802000000 ? call ? ?fn_0040100B 0C34 ? ? ? ? ? or ? ? ?al,34h ? ? ? 0040100B ? ? ? ?? ? ? fn_0040100B ? ? ? 0040100B 5D ? ? ? ? ? ? pop ? ? ebp 0040100C 81ED0B104000 sub ? ? ebp,40100Bh 5A ? ? ? ? ?? ? pop ? ? edx 59 ? ? ? ? ? ? pop ? ? ecx 5B ? ? ? ?? ? ? pop ? ? ebx 58 ? ? ? ? ? ? pop ? ? eax * 花指令 反汇编程序在工作时，它会按照某些规则对代码进行匹配以将二进制代码解释成汇编语句。 不同的机器指令包含的字节数并不相同，有的是单字节指令，有的是多字节指令。对于多字节指令来说，反汇编软件需要确定指令的第一个字节的起始位置，也就是操作码的位置，这样才能正确地反汇编这条指令，否则它就可能反汇编成另外一条指令了。 * start: push eax push ebx push ecx push edx call delta db 12h delta: pop ebp sub ebp, offset delta pop edx pop ecx pop ebx pop eax end st