《Win32病毒入门ring3篇》.pdfVIP

Win32病毒入门 -- ring3篇 by pker / CVC.GB 目录 1、 声明 1 2、 前言 1 3、 对读者的假设 1 4、 PE文件结构 1 5、 关于FASM 5 5.1、 导入表 6 5.2、 导出表 9 5.3、 强大的宏 11 6、 重定位的奥秘 13 7、 SEH 14 8、 API函数地址的获得 17 8.1、 暴力搜索kernel32.dll 17 8.2、 搜索导出表，获取API地址 20 9、 实现一个最简单的病毒 23 10、EPO 28 11、多态 （Polymorphism） 30 11.1、随机数发生器 31 11.2、动态代码生成技术 33 11.3、一个完整的引擎 33 12、变形 （Metamorphism） 46 13、结束语 46 1、声明 本文仅仅是一篇讲述病毒原理的理论性文章，任何人如果通过本文中讲述的技术或利用本文 中的代码写出恶性病毒，造成的任何影响均与作者无关。 2、前言 病毒是什么？病毒就是一个具有一定生物病毒特性，可以进行传播、感染的程序。病毒同样 是一个程序，只不过它经常做着一些正常程序不常做的事情而已，仅此而已。在这篇文章中 我们将揭开病毒的神秘面纱，动手写一个病毒 （当然这个病毒是不具有破坏力的，仅仅是一 个良性病毒）。 在网上有很多病毒方面的入门文章，但大部分都很泛泛，并不适合真正的初学者。真正的高 手没有时间也不屑于写这样一篇详细的入门文章，所以我便萌发了写这样一篇文章的冲动， 一来是对自己的学习进行一下总结，二来也是想让像我一样的初学者能少走一些弯路。如果 你有一定的病毒编写基础，那么就此打住，这是一篇为对病毒编程完全没有概念的读者编写 的，是一篇超级入门的文章 :P 3、对读者的假设 没错，这是一篇完整、详细的入门文章，但是如果读者对编程还没有什么认识我想也不可能 顺利地读下去。本文要求读者： 1) 有基本的C/C++语言知识。因为文章中的很多结构的定义我使用的是C/C++的语法。 2) 有一定的汇编基础。在这篇文章中我们将使用FASM编译器，这个编译器对很多读者来说 可能很陌生，不过没关系，让我们一起来熟悉它 :P 3) 有文件格式的概念，知道一个可执行文件可以有ELF、MZ、LE、PE之分。 好了，让我们开始我们的病毒之旅吧!!! 4、PE文件结构 DOS下，可执行文件分为两种，一种是从CP/M继承来的COM小程序，另一种是EXE可执行文件， 我们称之为MZ文件。而Win32下，一种新的可执行文件可是取代了MZ文件，就是我们这一节 的主角 -- PE文件。 PE （Portable Executable File Format）称为可移植执行文件格式，我们可以用如下的表 来描述一个PE文件： ++ | DOS MZ文件头 | ^ ++ DOS部分 | DOS块 | v ++ | PE\0\0 | ^ ++ | | IMAGE_FILE_HEADER结构 | PE文件头 ++ | | IMAGE_OPTIONAL_HEADER32结构 | v ++ | |+ ^ |