第2章-计算机病毒结构及分析.pptVIP

5 隐蔽性病毒技术 引导型隐藏方法一 感染时，修改中断服务程序 使用时，截获INT 13调用 DOS应用程序 原来的INT13H服务程序 DOS下的杀毒软件 病毒感染后的INT13H服务程序 普通扇区 普通扇区 被病毒感染的扇区 被病毒感染的扇区的原始扇区 读扇区调用 读请求 读请求 返回数据 返回数据 返回数据 引导型隐藏方法二 针对杀毒软件对磁盘直接读写的特点。 截获 INT 21H，然后恢复感染区 最后，再进行感染 DOS命令解释程序（COMMAND..COM） 感染后的INT 21H功能40H（加载一个程序执行） 用户敲入AV.EXE执行反病毒程序 恢复被病毒感染的扇区为原来的内容 原来的INT21H功能 重新感染扇区 返回DOS命令解释程序（COMMAND..COM） 文件型病毒的隐藏技术 拦截（API, INT调用）访问 ——〉 恢复 ——〉再感染。例如，改变文件大小病毒， dir病毒等 DOS INT21H调用 INT13H（直接磁盘访问） 列目录功能（FindFirst、FindNext） 读写功能（Read、Write） 执行功能（EXEC） 其他功能（rename等） 视窗操作系统下，支持长文件名的扩展DOS调用 隐藏病毒扇区 列目录时显示感染前的文件大小 读写文件看到正常的文件内容 执行或者搜索时隐藏病毒 在支持长文件名的系统隐藏自身 宏病毒的隐藏技术 删