- 1、原创力文档(book118)网站文档一经付费(服务费),不意味着购买了该文档的版权,仅供个人/单位学习、研究之用,不得用于商业用途,未经授权,严禁复制、发行、汇编、翻译或者网络传播等,侵权必究。。
- 2、本站所有内容均由合作方或网友上传,本站不对文档的完整性、权威性及其观点立场正确性做任何保证或承诺!文档内容仅供研究参考,付费前请自行鉴别。如您付费,意味着您自己接受本站规则且自行承担风险,本站不退款、不进行额外附加服务;查看《如何避免下载的几个坑》。如果您已付费下载过本站文档,您可以点击 这里二次下载。
- 3、如文档侵犯商业秘密、侵犯著作权、侵犯人身权等,请点击“版权申诉”(推荐),也可以打举报电话:400-050-0827(电话支持时间:9:00-18:30)。
- 4、该文档为VIP文档,如果想要下载,成为VIP会员后,下载免费。
- 5、成为VIP后,下载本文档将扣除1次下载权益。下载后,不支持退款、换文档。如有疑问请联系我们。
- 6、成为VIP后,您将拥有八大权益,权益包括:VIP文档下载权益、阅读免打扰、文档格式转换、高级专利检索、专属身份标志、高级客服、多端互通、版权登记。
- 7、VIP文档为合作方或网友上传,每下载1次, 网站将根据用户上传文档的质量评分、类型等,对文档贡献者给予高额补贴、流量扶持。如果你也想贡献VIP文档。上传文档
查看更多
计算机病毒大总结
计算机病毒定义:编制或在计算机程序中插入的破坏计算机功能或破坏数据,影响计算机使用并能够自我复制的一组计算机指令或程序代码。
计算机病毒的特点:隐蔽性,潜伏性,破坏性,传染性(基本特征),寄生性。
计算机病毒前缀:网络蠕虫(worm),木马(Trojan),脚本(Script,VBS,JS),宏病毒(Macro),后门程序(backdoor),系统病毒(这些病毒的一般公有的特性是可以感染Windows操作系统的*.exe和*.dll文件)。
符号文件的定义和作用:
定义:这里所说的“符号”就是“调试符号”,从软件调试的角度来讲,调试符号是将被调试的二进制程序和源程序联系起来的桥梁,很多重要的调试功能; 从编译器的角度来看,调试符号是编译器把源代码编译成二进制代码的过程中,为支持调试而摘录的调试信息,这些信息描述的目标对象主要包括:变量、变量类型、函数、标号(Label)、源代码行等。编译器或者其他专门的工具把这些信息收集提炼后输出到专门的文件中存储,这样的文件就是符号文件。
作用:首先,符号化的名字有助于调试过程中的记忆和对各种信息的识别;其次,通过名字就常常可以猜测出来函数或变量的作用,很大的方便调试。
Windbg打断点:bp + 地址
由于没有加载任何符号,在反汇编窗口中看到的都是一堆反汇编代码和地址
要想在WinDbg中看到程序中的符号,必须通过命令或者WinDbg菜单设置符号路径。
我们通过WinDbg的File-Symbol File Path…菜单,或者命令.sympath设置符号路径为TestDebug1.pdb所在的目录。
调试机是window7,被调试机是VMware下的XP系统,windbg中符号文件设为被调试机的。
常用调试指令:使用u 命令查看当前正在执行的代码(反汇编),以d 开头的d*系列命令用于查看内存值。命令的第二个字符用于指定按何种数据类型查看该内存中的数据,如db 是按字节查看,dd 是按双字类型查看,dw是按字查看
DLL定义:(Dynamic Link Library,简称DLL)是一个包含了若干函数的可执行模块。作用:它实质上是一个函数包,Windows应用程序可以调用这些函数来完成实际的任务。DLL在Windows环境中起着重要的作用——Windows 利用 DLL来建立Windows应用程序可以使用的Windows函数与资源。
DLL函数分:
(1)内部函数:只供内部使用,若被其他函数使用,必须声明是导入的。
(2)导出函数:可供别的程序调用。导出方式:使用关键字 _declspec(dllexport) 和导出使用def文件导出(导出格式:EXPORTS 函数名 @函数序号),def文件名和dll文件相同。
10、导入导出的区别:对于链接库函数来说是导出,对于应用程序函数是导入
11、两种链接方式:
隐式链接(Implicit linking ):若在代码中没有明确指定应用程序要装入的动态链接库,但却使用其中的某个函数,这种链接的方式称为隐式链接。包含dll的lib文件,将用到的函数声明为导入。
显式链接(Explicit linking):又称显式调用,是由编程者用API函数LoadLibrary()加载DLL、并通过GetProcessAddress()来获取应用程序要调用的导出函数指针来调用DLL的导出函数,最后通过FreeLibrary()卸载DLL。
12、DllMain函数为程序入口函数。DllMain函数在DLL被加载和卸载时被调用,在单个线程启动和终止时,DLLMain函数也被调用,ul_reason_for_call指明了被调用的原因。原因共有4种,即PROCESS_ATTACH、 PROCESS_DETACH、 THREAD_ATTACH和THREAD_DETACH,以switch语句列出。
13、远程线程注入定义:在另外一个进程中,执行自己程序代码的一种技术
14、创建远程线程的步骤:
得到远程进程的HANDLE(使用OpenProcess)
在远程进程中为DLL文件名分配内存(VirtualAllocEx)
把DLL的文件名(全路径)写到分配的内存中(WriteProcessMemory)
使用CreateRemoteThread和LoadLibrary把你的DLL映射近远程进程。
等待远程线程结束(WaitForSingleObject),即等待LoadLibrary返回。也就是说当我们的DllMain(是以DLL_PROCESS_ATTACH为参数调用的)返回时远程线程也就立即结束了。
取回远程线程的结束码(GetExitCodeThtread),即LoadLibrary的返回值――我们DLL加载后的基地址(HMODULE)
释放第2步分配的内存(V
文档评论(0)